# تصميم الشبكات الآمنة: كيف تقسم شبكة المؤسسة إلى مناطق؟

> تصميم الشبكة الآمن يعني تقسيمها إلى مناطق، مثل المنطقة المعزولة (DMZ) والخوادم والمستخدمين وإنترنت الأشياء، والتحكم بالحركة بينها عبر جدار حماية يسمح بالحد الأدنى فقط ويمنع كل ما تبقى. بهذا يبقى اختراق جهاز واحد محصوراً في منطقته بدل أن ينتشر في الشبكة كلها.

- الرابط: https://blog.cyberpedia.site/secure-network-design-segmentation/
- التصنيف: الشبكات
- الكاتب: Jameel Hussein Tawelh
- تاريخ النشر: 12 أكتوبر 2026 (2026-10-12)

الاختراق سيحدث، والسؤال الحقيقي هو: إلى أين يستطيع المهاجم أن يصل بعده؟ هنا يظهر الفرق بين شبكة صممت بشكل آمن وشبكة مسطحة يتحدث فيها كل جهاز مع كل جهاز. تصميم الشبكة وتقسيمها إلى مناطق هو ما يحدد إن كان اختراق جهاز موظف واحد سيبقى حادثاً صغيراً أم سيتحول إلى تسريب كامل للبيانات.

## ما المقصود بتقسيم الشبكة إلى مناطق (Network Zones)؟

تقسيم الشبكة إلى مناطق يعني فصلها إلى أقسام، يضم كل قسم أنظمة متشابهة في وظيفتها ومستوى حساسيتها، ثم التحكم بحركة البيانات بين هذه الأقسام عبر جدار الحماية (Firewall) وقواعد التوجيه. يسمى هذا المبدأ أيضاً تجزئة الشبكة (Network Segmentation).

الهدف من التقسيم أمران:

- **تعريف قواعد سماح ومنع خاصة بكل منطقة**، بدلاً من قاعدة واحدة عامة للشبكة كلها.
- **تعطيل حركة المهاجم**، فكل انتقال من منطقة إلى أخرى يمر بنقطة فحص يمكن أن تمنعه أو تكشفه.

شبكة منزلك تعمل بمنطق مبسط من هذا: الراوتر المنزلي يجمع في جهاز واحد جدار حماية وراوتر وسويتش ونقطة وصول لاسلكية (Access Point)، ويفصل بين منطقتين فقط: الإنترنت والشبكة الداخلية. أما في المؤسسات، فكل وظيفة يؤديها جهاز مستقل، والشبكة الداخلية نفسها تقسم إلى عدة مناطق، ولكل منطقة قواعدها.

## ما هي المناطق الأساسية في شبكة المؤسسة؟

تتكون شبكة المؤسسة النموذجية من ست مناطق على الأقل، ترتبط كلها بجدار حماية مركزي يقرر ما يسمح له بالعبور بين كل منطقتين.

![مخطط لشبكة مؤسسة يتوسطها جدار حماية مركزي متصل بست مناطق: الإنترنت، والمنطقة المعزولة، وإنترنت الأشياء، والمستخدمين، والخوادم، والمنطقة المقيدة](https://blog.cyberpedia.site/_astro/img-01.BaYIClNx_1q06ad.webp)

| المنطقة | ماذا تضم | مستوى الثقة |
|---|---|---|
| الإنترنت (WAN) | كل ما هو خارج حدود المؤسسة | غير موثوق إطلاقاً |
| المنطقة المعزولة (DMZ) | خوادم يجب أن يصل إليها العامة، مثل خادم الموقع الإلكتروني | منخفض، لأنها مكشوفة للإنترنت |
| منطقة إنترنت الأشياء (IoT) | كاميرات المراقبة والطابعات والحساسات | منخفض، لأن هذه الأجهزة نادراً ما تحدّث |
| منطقة المستخدمين (Desktop Zone) | أجهزة الموظفين اليومية | متوسط، فهي الهدف الأول للتصيد الاحتيالي |
| منطقة الخوادم (Server Zone) | التطبيقات وقواعد البيانات الداخلية | مرتفع |
| المنطقة المقيدة (Restricted Zone) | الأنظمة الأكثر حساسية وأجهزة الإدارة | الأعلى، والوصول إليها بأضيق الحدود |

تذكر أن هذا مخطط مبسط لشرح المفهوم. الشبكات الحقيقية أكثر تعقيداً، ولفهم تدفق البيانات في مؤسسة بعينها لا بد من مراجعة مخططاتها الفعلية وسياساتها الأمنية.

## كيف تتحكم قواعد جدار الحماية بالحركة بين المناطق؟

يتحكم جدار الحماية بالحركة بين المناطق وفق **مبدأ الصلاحيات الأقل (Least Privilege)**: لا يسمح إلا بالحد الأدنى من الحركة اللازم لإنجاز العمل، وكل ما لم يسمح به صراحة يمنع. مثلاً، قد يسمح لجهاز موظف بتصفح موقع على خادم في المنطقة المعزولة، لكن لا يسمح له برفع ملفات إليه مباشرة.

### القواعد الأساسية على مستوى الطبقتين الثالثة والرابعة

لو أردنا بناء مجموعة قواعد أساسية تعتمد على عناوين IP والمنافذ فقط، فستبدو بهذا الترتيب:

1. **منع كل حركة واردة من الإنترنت افتراضياً.** هذه نقطة البداية لأي شبكة.
2. **السماح بـ SSH على المنفذ 22 لإدارة الأنظمة عن بعد**، بشرط تقييده بعناوين مديري الشبكة والأنظمة فقط.
3. **السماح بـ HTTP and HTTPS على المنفذين 80 و443 من الإنترنت إلى المنطقة المعزولة فقط**، حتى يصل الزوار إلى الموقع الإلكتروني.
4. **السماح بـ RDP على المنفذ 3389 من منطقة المستخدمين إلى منطقة الخوادم** لمن يحتاج الوصول إليها.
5. **منع كل ما تبقى.** أي حركة لا تطابق القواعد السابقة ترفض.

### مصفوفة القواعد: من يتحدث إلى من؟

أوضح طريقة لتخطيط القواعد هي مصفوفة تضع المناطق المصدر في الصفوف والمناطق الوجهة في الأعمدة، ثم تحدد لكل خانة: مسموح، أو جزئي، أو محظور.

![مصفوفة قواعد جدار الحماية بين ست مناطق، توضح الحركة المسموحة والجزئية والمحظورة من كل منطقة مصدر إلى كل منطقة وجهة](https://blog.cyberpedia.site/_astro/img-02.DFb_LbfX_Z1M9yfT.webp)
*مثال توضيحي للفكرة، وليس قالباً للتطبيق الحرفي.*

منطق هذه المصفوفة:

- **الإنترنت** يصل إلى خوادم المنطقة المعزولة فقط، ولا يعبر إلى أي مكان آخر.
- **المنطقة المعزولة** يمكن أن تتواصل خوادمها مع بعضها جزئياً، لكنها لا تعود للاتصال بالإنترنت، ولا تصل إلى الشبكة الداخلية.
- **أجهزة إنترنت الأشياء** تصل إلى الإنترنت وإلى بعضها، ولا تلمس بقية الشبكة.
- **المستخدمون** يصلون إلى الإنترنت عبر خادم وسيط (Proxy)، وإلى المنطقة المعزولة والخوادم، ووصولهم إلى بعضهم وإلى المنطقة المقيدة جزئي ومحصور بمديري الأنظمة والحالات الخاصة.
- **الخوادم والمنطقة المقيدة** لا تبدأ اتصالاً بأي مكان خارج منطقتها، فالخادم نادراً ما يحتاج للحديث مع غير الخوادم.

### ماذا يكسب فريق الحماية من هذه القواعد؟

يكسب وقتاً، ويفرض على المهاجم عوائق في كل خطوة:

- إذا تم اختراق **جهاز إنترنت أشياء**، فلن يشكل تهديداً لبقية الشبكة.
- إذا تم اختراق **جهاز موظف**، فلن يتمكن المهاجم من القفز مباشرة إلى المنطقة المقيدة.
- إذا تم اختراق **خادم**، فلن يستطيع المهاجم الاتصال بأي مكان آخر، ولا حتى بالإنترنت، ما يجعل تهريب البيانات مباشرة من الخادم شبه مستحيل.

## هل تكفي الشبكات الافتراضية (VLANs) لعزل المناطق؟

لا تكفي وحدها. الشبكة الافتراضية (VLAN) ميزة في السويتش المدار (Managed Switch) تجعل جهازاً فيزيائياً واحداً يعمل كأنه عدة سويتشات مستقلة، فيمكن أن يتصل جهاز من المنطقة المعزولة وجهاز موظف وخادم داخلي بالسويتش نفسه، دون أن يتحدثوا مع بعضهم مباشرة.

![مقارنة بين الشكل الفيزيائي لشبكة فيها سويتش واحد متصل بأربعة أجهزة، والشكل المنطقي الذي تقسم فيه شبكات VLAN 10 و20 و30 الأجهزة إلى مستخدمين وخوادم ومنطقة معزولة يربط بينها الراوتر](https://blog.cyberpedia.site/_astro/img-03.Dc0su1yV_1WTHmo.webp)

النقطة الحاسمة: الحزمة لا تنتقل من VLAN إلى أخرى إلا عبر الراوتر. وهذا يعني أمرين:

1. **العزل الحقيقي يفرض عند الراوتر أو جدار الحماية.** كثير من المؤسسات تستخدم VLANs لأغراض تشغيلية بحتة، وتظن أنها حققت العزل. لكن الـ VLAN تمنع الحزم من العبور مباشرة عبر السويتش فقط، وهذا يمكن تجاوزه. لذلك يجب تطبيق قوائم التحكم بالوصول (ACLs) وقواعد الفلترة على حركة البيانات بين VLANs.
2. **لا يكفي أن تعرف السويتش الذي يتصل به الجهاز.** للإجابة عن سؤال "في أي شبكة فرعية يقع هذا الجهاز؟" يجب أن تعرف إعدادات الـ VLANs، والمنافذ التابعة لكل منها، وإعدادات الراوتر.

### من أين تراقب الحركة بعد التقسيم؟

فهم المناطق والـ VLANs هو ما يحدد أين تضع أدوات المراقبة:

- **منفذ النسخ (Port Mirror أو SPAN)** في السويتش المدار ينسخ الحركة التي تمر عبره، فيرى الاتصال بين جهازين في الشبكة الفرعية نفسها.
- **جهاز الالتقاط (Network Tap)** يوضع على الكابل بين السويتش والراوتر، فلا يرى الحركة التي تبقى داخل السويتش. أي حركة جانبية (Lateral Movement) بين جهازين في المنطقة نفسها قد تفوته تماماً. ميزته أنه ينسخ الاتجاهين معاً دون فقدان حين يكون الرابط مشبعاً بالكامل، وهي حالة قد يعجز فيها منفذ النسخ عن نقل كل شيء.

حين يصل تنبيه أمني، أول سؤال يطرحه المحلل: من أي نقطة يمكنني جمع بيانات هذا التنبيه؟ ومن دون خريطة واضحة للمناطق، لن يجد جواباً سريعاً.

## ما الذي تضيفه جدران الحماية من الجيل الجديد (NGFW)؟

تضيف القدرة على اتخاذ القرار بناءً على **التطبيق والمستخدم**، لا على عنوان IP والمنفذ فقط. الجدار التقليدي يفلتر كميات هائلة من الحركة بكفاءة، لكنه يعجز أمام أسئلة مثل:

- كيف تمنع بروتوكولاً معيناً أياً كان المنفذ الذي يستخدمه، مع استثناء فريق تقنية المعلومات؟
- كيف تسمح لمدير بعينه بالوصول إلى موقع محجوب عن بقية الموظفين، أينما كان في العالم؟

جدار الحماية من الجيل الجديد (Next-Generation Firewall) يجيب عن ذلك بطريقتين:

- **الفحص العميق للحزم (Deep Packet Inspection):** يصنف الحركة على مستوى التطبيقات (الطبقة السابعة) عبر توقيعات لكل بروتوكول، فيتعرف عليه مهما كان المنفذ.
- **ربط الحركة بهوية المستخدم:** إما عبر برنامج وكيل (Agent) مثبت على الأجهزة، أو عبر نظام هوية مركزي مثل Active Directory.

## كيف تأخذ الثقة الصفرية التقسيم إلى مستوى أدق؟

الثقة الصفرية (Zero Trust) والتجزئة الدقيقة (Micro-segmentation) تنقلان التقسيم من مستوى المنطقة إلى مستوى الجهاز: كل جهاز لا يتصل إلا بالأجهزة التي يحتاج فعلاً للاتصال بها، وبعد التحقق من هويتها. في شبكة كهذه يصبح تنقل المهاجم صعباً للغاية.

حادثة Equifax عام 2017 مثال واضح على ثمن غياب هذا المبدأ. وفق تقرير مكتب المحاسبة الحكومي الأمريكي (GAO)، دخل المهاجمون عبر بوابة إلكترونية واحدة، ولأن قواعد البيانات لم تكن معزولة عن بعضها، وصلوا إلى 48 قاعدة بيانات إضافية لا علاقة لها بتلك البوابة، ونفذوا قرابة 9,000 استعلام.

### ما هي المبادئ الأساسية للثقة الصفرية؟

يلخص كتاب Zero Trust Networks للمؤلفين Evan Gilman and Doug Barth المنطق في افتراض واحد: **الشبكة فيها عدو بالفعل**. لا تفترض أن الحركة القادمة من جهاز داخلي سليمة، فسرقة بيانات الدخول، وهجمات الوسيط (Man-in-the-Middle)، والبروتوكولات التي لا تتطلب مصادقة، كلها تجعل المستخدم أو الجهاز غير ما يبدو عليه. ومن هنا تأتي المبادئ:

- **لا تثق بأحد:** لا تفترض أن من يبدأ الاتصال شرعي.
- **تحقق دائماً:** كل طلب وصول يتم التحقق منه قبل منحه.
- **امنح أقل صلاحية ممكنة:** كل مستخدم وكل عملية يحصل على ما يحتاجه لعمله فقط.
- **راقب باستمرار:** افترض أن الاختراق وقع، وابحث عن النشاط غير الطبيعي.

### لماذا لم تنتشر بعد؟

لأن تطبيقها الكامل صعب، وأدوات تصميم شبكات كهذه وإدارتها ما زالت تتطور. لكنك لست مضطراً لتطبيقها كاملة حتى تستفيد منها: يكفي أن تتبنى افتراض "العدو في الداخل" عند كتابة كل قاعدة في جدار الحماية. وفائدتها تمتد إلى البيئات السحابية، لأنها لا تعتمد على حدود الشبكة الفيزيائية.

## لماذا تعد الشبكة المسطحة خطراً، وكيف تدافع عنها؟

الشبكة المسطحة (Flat Network) هي شبكة بلا تقسيم حقيقي، أو بتقسيم شكلي لا يتجاوز منطقة معزولة واحدة. فيها، بمجرد أن يحصل المهاجم على موطئ قدم، يتنقل بين الأجهزة ويستغل أي خادم دون عوائق.

![مقارنة بين شبكة مسطحة ينتقل فيها المهاجم من جهاز موظف إلى كل الخوادم والبيانات، وشبكة مقسمة يمنع فيها جدار الحماية انتقاله ويبقى الضرر داخل منطقة واحدة](https://blog.cyberpedia.site/_astro/img-04.TBiRxZmO_Zx9U9j.webp)

لا يمكن إيقاف المهاجمين تماماً، لكن كل حاجز إضافي يبطئهم، والبطء يمنح فريق الحماية وقتاً للتحقيق والاحتواء قبل أن يتحول الاختراق إلى خسارة كاملة. وكلما زاد التقسيم، زاد هذا الوقت.

ومع ذلك، كثير من المؤسسات ما زالت تعمل على شبكات مسطحة. إن كنت تدافع عن واحدة منها، فعوّض غياب العزل بأمرين:

1. **تحصين الأجهزة الطرفية (Endpoints):** فعّل جدار الحماية على كل جهاز، وميزات منع الاستغلال مثل Windows Exploit Protection، ونظام منع الاختراق (IPS)، وبرنامج مكافحة الفيروسات، حتى يدافع كل جهاز عن نفسه.
2. **المراقبة المستمرة:** اربط التحصين بسياسة مراقبة قوية، حتى يتمكن مركز العمليات الأمنية (SOC) من التصرف بأسرع ما يمكن، لأن الاختراق في الشبكة المسطحة يتصاعد بسرعة.

## قائمة تحقق سريعة لتصميم شبكة آمنة

- قسّم الشبكة إلى مناطق حسب الوظيفة ومستوى الحساسية، وابدأ بالمناطق الست المذكورة أعلاه.
- اكتب مصفوفة "من يتحدث إلى من" قبل كتابة أي قاعدة في جدار الحماية.
- اجعل القاعدة الأخيرة دائماً: امنع كل ما تبقى.
- لا تعتمد على VLANs وحدها، وطبّق ACLs على الحركة بينها.
- امنع الخوادم من بدء اتصالات نحو الإنترنت إلا لحاجة موثقة.
- اعزل أجهزة إنترنت الأشياء في منطقة لا تصل إلى بقية الشبكة.
- حدد نقاط المراقبة (Port Mirror and Network Tap) بحيث ترى الحركة داخل المناطق وبينها.
- راجع القواعد دورياً، واحذف كل استثناء لم يعد له مبرر.

لمراجعة الأساسيات التي يقوم عليها هذا التصميم، اقرأ مقالنا عن [أمن الشبكات ومبدأ الدفاع في العمق](https://blog.cyberpedia.site/network-security/)، وعن [رحلة البيانات عبر طبقات TCP/IP](https://blog.cyberpedia.site/data-traffic/)، و[بروتوكول TCP وأشهر هجماته](https://blog.cyberpedia.site/tcp/).

هذا المقال مقتبس من كتاب «الدليل المتقدم لشبكات الحاسب في مجال الأمن السيبراني» من سايبربيديا.

## أسئلة شائعة

### ما هو تقسيم الشبكة إلى مناطق؟

هو فصل الشبكة إلى أقسام تضم أنظمة متشابهة في وظيفتها وحساسيتها، مثل DMZ والخوادم والمستخدمين، والتحكم بالحركة بينها عبر جدار الحماية.

### ما هي المنطقة المعزولة DMZ؟

منطقة معزولة عن الشبكة الداخلية تستضيف الخوادم التي يجب أن يصل إليها العامة، مثل خادم الموقع الإلكتروني، مع منعها من الوصول إلى الشبكة الداخلية.

### هل تكفي شبكات VLAN لعزل أجزاء الشبكة؟

لا، فالـ VLAN تمنع العبور المباشر عبر السويتش فقط ويمكن تجاوزها، لذلك يجب تطبيق ACLs وقواعد جدار الحماية على الحركة بين VLANs.

### ما الفرق بين جدار الحماية التقليدي وجدار الحماية من الجيل الجديد NGFW؟

الجدار التقليدي يقرر بناءً على عناوين IP والمنافذ، أما NGFW فيفحص الحزم بعمق ليتعرف على التطبيق ويربط الحركة بهوية المستخدم.

### لماذا تعد الشبكة المسطحة خطيرة؟

لأن المهاجم فيها ينتقل من أول جهاز يخترقه إلى أي خادم دون عوائق، فيتحول اختراق نقطة واحدة سريعاً إلى اختراق كامل.

## المصادر

- [NIST SP 800-207: Zero Trust Architecture](https://csrc.nist.gov/pubs/sp/800/207/final)
- [NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy](https://csrc.nist.gov/pubs/sp/800/41/r1/final)
- [GAO-18-559: Actions Taken by Equifax and Federal Agencies in Response to the 2017 Breach](https://www.gao.gov/products/gao-18-559)
- [Zero Trust Networks (O'Reilly)](https://www.oreilly.com/library/view/zero-trust-networks/9781491962183/)

---

المصدر: مدونة سايبربيديا (https://blog.cyberpedia.site/secure-network-design-segmentation/)