جدار الحماية وVPN: ما يخرج أهمّ ممّا يدخل

جدار الحماية يُباع بصورة: سورٌ يوقف ما يأتي من الخارج. وهذه الصورة تصف مشكلًا يحلّه راوتركم سلفًا، وتخفي نصف الموضوع الذي يهمّ فعلًا.

فما يصل من الخارج بلا أن يُطلَب لا يبلغ حواسيبكم. وهو السلوك الافتراضيّ لأيّ راوتر مؤسسة منذ زمن طويل جدًّا، ولا يحتاج أن يُشترى مرّةً ثانية.

وما يهمّ هو الاتجاه الآخر: ما يمضي من عندكم. لأن يوم تُخترَق آلة — بمرفق، أو بمفتاح، أو ببرنامج رُكّب يوم جمعة — تُحدِث الضرر وهي تخرج.

ويعالج هذا المقال هذا الاتجاه، وكونَ النفاذ البعيد هو الشراء الحقيقيّ في هذا السطر، وواقعًا محلّيًّا لا تكتبه الكتالوجات: فقيمةُ جدار الحماية في اشتراكاته، ويوم تنتهي لا يتغيّر شيء على الشاشة.

مقال الشبكة يطلب ثلاثة فصول — الضيوف، والمراقبة، والقبض — ويصفها ضبطَ سويتش. وهذه الصفحة هي الموضع الذي تكفّ فيه عن كونها ملصقات.

فالفصلُ بلا ترشيح لا يفعل شيئًا تقريبًا. فشبكتان متميّزتان تستطيعان مع ذلك بلوغ إحداهما الأخرى كاملًا شبكتان بحدّ زخرفيّ، وهو التركيب الذي نجده في أغلب التركيبات التي تسمّي نفسها مجزَّأة.

وما يجعل الفصل حقيقيًّا عددٌ قليل من القواعد المكتوبة بين هذه المناطق: فالكاميرات تكلّم المسجّل ولا شيء غيره؛ وشبكةُ الضيوف تخرج إلى الإنترنت ولا ترى أيّ آلة داخلية؛ والقبضُ يبلغ وجهتين بعينهما ولا أكثر.

وهذه القواعد الثلاث قليلة، وتُختبَر في عشر دقائق لكلٍّ منها، وتغطّي جوهر ما يأتي به جدار حماية فعلًا لمؤسسة بهذا الحجم. وكل باقي الكتالوج اختياريّ أمامها.

والتحقّق الذي يهمّ تجربةٌ لا صورةُ شاشة: من حاسوب على شبكة الضيوف، حاولوا بلوغ مشاركة داخلية. فإن نجحتم فالفصل غير موجود، مهما كان لون المخطّط الذي سُلّم لكم.

هذه هي الخصوصية الاقتصادية لهذا السطر، ونادرًا ما تُشرَح عند الشراء: فجدارُ حماية مؤسسة يُباع باشتراك، وجوهرُ ما يفعله زيادةً على راوتر يتعلّق بهذا الاشتراك.

وما يموّله الاشتراك تحديثٌ مستمرّ لما يتعرّف عليه العتاد: قوائمُ وجهات خبيثة، وبصمات، وأصنافُ مواقع. وبلاه يبقى العتاد يطبّق قواعدكم — أي يبقى نافعًا — لكنه يكفّ عن التعلّم.

والمشكل أن لا شيء يتغيّر على الشاشة. لا تنبيه مرئيّ، ولا ضوء، ولا وظيفة تتوقّف. وهي بالضبط آلية نهاية دعم نظام، الموصوفة في مقال الخادم: فالآلة تشتغل، وقد كفّت عن أن تحميها الميزة التي جعلتها خاصّة.

وتتفاقم هذه النقطة محلّيًّا بطريقة الدفع. فتجديدٌ مفوتَر بعملة، على حساب في الخارج، بالصعوبات التي يصفها مقال الاستضافة، تجديدٌ ينزلق ثلاثيًّا، ثم سنةً، ثم لا يُنجَز أصلًا.

والنتيجة قرارُ شراء صادق: إن لم تكونوا على يقين من إمكان تجديد الاشتراك كل سنة فاشتروا العتاد لما سيفعله بلا اشتراك — الفصول والنفق — وادفعوا ثمنه على هذا الأساس. فعتادٌ عالي المدى بلا اشتراك يكلّف غاليًا ليؤدّي عمل عتاد متوسّط.

الوظيفةُ الأكثر إعجابًا للمسيّرين في هذه الفئة ترشيحُ المواقع: حجبُ أصناف، ومنعُ استعمالات، وقياسُ الوقت المصروف. ويجب شرح لماذا ننصح بتركها بدل رفضها بلا سبب.

والسبب الأول أنها تخطئ هدفها. فهاتفُ كل مستخدَم الشخصيّ في جيبه، على شبكة لا تتحكّمون فيها، ويفعل كل ما يمنعه الترشيح. فما يُحجَب على الحاسوب يُفعَل على الهاتف، والأثرُ الوحيد القابل للقياس هو الانتقال.

والثاني أنها تنتج إيجابيات زائفة تكلّف وقتًا حقيقيًّا: موقعٌ مهنيّ مصنَّف في صنف خاطئ، وأداةُ مهنة محجوبة، وصفحةُ مزوّد غير قابلة للبلوغ. وكلٌّ من هذه الحالات يصير طلبًا للدعم، والدعمُ يفتح استثناءً — انظروا القسم السادس.

والثالث جوهريّ: فهي إجراءُ تسيير متنكّر في إجراء أمن، وتستقبله الفرق كذلك. فإن كان الموضوع وقت العمل فيُعالَج مع الأشخاص؛ وإن كان الأمن فترشيحُ الأصناف ليس ما يحسّنه.

وما نقبل ضبطه في المقابل ضيّقٌ وقابل للدفاع: حجبُ الوجهات المعروفة بتوزيع برامج خبيثة، وهي قائمة تقنية لا حكم استعمال. وهو جزء الترشيح الذي يحمي، وهو الذي يتعلّق باشتراك القسم الخامس.

ما سنرفضه: بيعُ جدار حماية بوصفه حمايةً ممّا يأتي من الخارج بلا قول إن هذا الاتجاه معالَج سلفًا. وهي أنجع حجّة بيع في هذا السطر وتصف مشكلًا محلولًا.

وسنرفض ضبط تفتيش السريان المشفَّر في مؤسسة بهذا الحجم، وسنرفض ترشيح أصناف الاستعمال. ونضبط حجب الوجهات الخبيثة، وهي قائمة تقنية، ونقول لا للباقي.

وسنرفض إنشاء نفاذ بعيد متقاسَم بين عدّة أشخاص أو مسلَّم لمزوّد بلا تاريخ نهاية، ولو ربّح ذلك يومًا للجميع.

وما نفعله: قائمةُ الفتحات الموجودة موضوعةً ومخفَّضةً قبل أيّ شراء؛ وقواعدُ الخروج الثلاث التي تستحقّ ساعتها، ومنها البريد الصادر خارج بريدكم؛ والفصولُ مختبَرةً من شبكة الضيوف بدل عرضها في مخطّط؛ وحسابُ نفاذ بعيد لكل شخص بتحقّق ثانٍ؛ وكل قاعدة معلَّقًا عليها ومؤرَّخة؛ وتاريخُ انتهاء الاشتراك مسجَّلًا في ميزانيتكم.

وما تستطيعون فعله هذا الأسبوع دوننا: اطلبوا قائمة خدمات مؤسستكم القابلة للبلوغ من الإنترنت، ولكلٍّ سببها. ثم اوصلوا حاسوبًا بشبكة الضيوف وحاولوا فتح مشاركة داخلية. وهاتان الحركتان تقولان عن جدار حمايتكم أكثر من بطاقته التقنية.