الشبكة الواسعة: MPLS وSD-WAN وSASE

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1MPLS: التسميات والـ VRFs

الفكرة الأصلية لـ MPLS السرعة: بدل أن يبحث كل موجّه عن أطول تطابق في جدول ضخم، يقرأ تسمية قصيرة ويبدلها. لكن ما يبيعه المزوّدون اليوم هو الفصل: شبكة واحدة تخدم ألف شركة، لكل منها VRF خاص كأن لها شبكة وحدها، ولو استخدمت الشركتان العناوين نفسها 10.0.0.0/8.

أربعة بايت فقط بين رأس Ethernet ورأس IP. في L3VPN ترى تسميتين فوق بعض: واحدة للنفق وواحدة للـ VRF.

def mpls_header(label, tc=0, bottom=True, ttl=64):
    word = (label << 12) | (tc << 9) | (int(bottom) << 8) | ttl
    return f"{word:032b}"

h = mpls_header(label=16003, tc=5, bottom=True, ttl=63)
print("label   ", h[:20], "=", int(h[:20], 2))
print("TC      ", h[20:23], "=", int(h[20:23], 2), "(QoS class)")
print("S       ", h[23], "  (bottom of stack)")
print("TTL     ", h[24:], "=", int(h[24:], 2))
print("labels possible:", f"{2 ** 20:,}")

2SD-WAN: كل الوصلات معًا، والقرار لكل تطبيق

جهاز SD-WAN في الفرع يبني نفقًا مشفرًا فوق كل وصلة متاحة، ويقيسها باستمرار. كل تطبيق له SLA: الصوت يريد كمونًا أقل من 150 ms وفقدًا أقل من 1%، والنسخ الاحتياطي لا يهمه. المتحكم المركزي يكتب السياسة مرة، وكل الفروع تطبقها. وحين يتعطل الإنترنت الأرضي، ينتقل الصوت إلى الجوال في ثانية.

أرخص وصلة تحقق الـ SLA تفوز. حين تسوء الألياف ينتقل الصوت إلى MPLS، والـ ERP إلى 5G لأنها أرخص وصلة ما زالت تحقق شرطه، ويبقى النسخ الاحتياطي على الأرخص.

links = {   # live measurements on each tunnel
    "MPLS":      {"latency": 38, "jitter": 2,  "loss": 0.0, "cost": 10},
    "Fibre ISP": {"latency": 24, "jitter": 9,  "loss": 0.4, "cost": 2},
    "5G":        {"latency": 45, "jitter": 22, "loss": 1.8, "cost": 6},
}
SLA = {"voice": {"latency": 150, "jitter": 30, "loss": 1.0},
       "erp":   {"latency": 250, "jitter": 100, "loss": 2.0},
       "backup": None}

def path_for(app):
    rule = SLA[app]
    ok = [n for n, m in links.items() if rule is None or all(m[k] <= rule[k] for k in rule)]
    return min(ok, key=lambda n: links[n]["cost"]) if ok else "best effort on " + min(links, key=lambda n: links[n]["loss"])

for app in SLA:
    print(f"{app:<7} -> {path_for(app)}")
links["Fibre ISP"]["loss"] = 3.5                      # the fibre starts dropping packets
print("fibre degrades:")
for app in SLA:
    print(f"{app:<7} -> {path_for(app)}")

3SASE: الحماية تنتقل إلى السحابة

قديمًا كانت كل حركة الفروع تعود إلى المركز لتمر بالجدار ثم تخرج للإنترنت (backhaul)، فيتأخر الوصول إلى تطبيقات السحابة. SASE يجمع الشبكة (SD-WAN) والأمن (SSE) في خدمة سحابية لها نقاط حضور قرب المستخدمين: الموظف في الفرع أو في البيت يمر بأقرب نقطة، فتُفحص حركته ثم تذهب مباشرة إلى التطبيق.

مثال محلول

المسألة: سلسلة متاجر بـ 80 فرعًا على MPLS بـ 20 Mbps لكل فرع، والفاتورة كبيرة، والتطبيقات انتقلت إلى السحابة، والمستخدمون يشتكون من بطء Microsoft 365. اقترح خطة.

الحل: SD-WAN في كل فرع فوق وصلة ألياف 200 Mbps ووصلة 5G احتياطية. أبقِ MPLS فقط في المستودعات ومركزي البيانات لنظام المخزون الحرج. السياسة: نقاط البيع والصوت على أفضل وصلة تحقق SLA، وMicrosoft 365 يخرج مباشرة من الفرع إلى أقرب نقطة SASE بدل العودة للمركز، والضيوف عبر الإنترنت المحلي فقط. ابدأ بخمسة فروع تجريبية، وقِس الكمون إلى Microsoft 365 قبل وبعد، ثم انشر على دفعات. والتجهيز بلا لمس يجعل موظف المتجر يوصل الجهاز فقط.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك