پوریا رضاتبار بالانقیبی

╭─━━━━━─╯   کلیک کنیـב ╰─━━━━━─╮

بخش یک معماری راهبردی همزیستی در لایه های مسیر نام محتوا و سیاست  

همزیستی اینترنت بین المللی و اینترنت ملی در سطح ملی یک تصمیم ساده در حد افزودن چند درگاه یا افزایش پهنای باند نیست بلکه یک معماری چندلایه و سنگین است که اگر دقیق طراحی نشود به صورت جانکاه در قالب اختلال های زنجیره ای افزایش تأخیر ناپایداری نشست ها و شکست تجربه کاربر بازمی گردد و اگر درست طراحی شود به یک سامانه تاب آور و کارآمد تبدیل می شود که هم مزیت های قلمرو داخلی را تثبیت می کند و هم دسترسی جهانی را با کیفیت قابل دفاع نگه می دارد در این چارچوب اینترنت ملی نه یک شبکه جدا از واقعیت فنی اینترنت بلکه یک قلمرو سیاست گذاری و مهندسی ترافیک است که با مرزبندی روشن در لایه مسیریابی نام دامنه امنیت و کیفیت خدمت تعریف می شود و اینترنت بین المللی نیز قلمرو دیگری از همان معماری است که با چندمسیره سازی مستقل و کنترل پذیر و با ظرفیت کافی و مدیریت ریسک پیاده سازی می شود نقطه کانونی این رویکرد تفکیک منطقی بدون گسست فیزیکی است یعنی یک بستر انتقال مشترک و مقاوم که روی آن سیاست ها مسیرها و کلاس های خدمت تعیین می کنند کدام جریان در داخل بماند کدام جریان به تبادل داخلی برود و کدام جریان از درگاه های خارجی عبور کند در لایه مسیریابی ستون فقرات کار بر BGP استوار است اما BGP خام بدون انضباط سیاستی مانند میدان مین عمل می کند و با یک خطای کوچک در فیلتر مسیر یا یک اعلان اشتباه می تواند در مقیاس ملی موج اختلال ایجاد کند بنابراین مهندسی مسیر باید مبتنی بر چنداصل سخت گیرانه باشد چندخانگی واقعی با درگاه های بین الملل از مسیرهای فیزیکی مستقل توزیع جغرافیایی نقاط خروج کاهش وابستگی به یک تأمین کننده یا یک مسیر رعایت معماری هسته و لبه با مرزهای روشن بین شبکه انتقال شبکه هسته و شبکه دسترسی و اعمال سیاست های مبتنی بر جامعه های BGP برای کنترل ترجیح مسیرها در سطح شهر استان و کشور در کنار آن استفاده از MPLS و به ویژه Segment Routing یا SRv6 امکان می دهد مسیرهای مهندسی شده با کنترل دقیق تأخیر ازدحام و بازیابی سریع ساخته شود و برای خدمت های حساس مانند دولت الکترونیک بانک آموزش و سلامت کلاس خدمت پایدار فراهم گردد افزونگی واقعی تنها با داشتن مسیر دوم محقق نمی شود بلکه با هم گرایی سریع و طراحی جلوگیری از حلقه و طوفان مسیریابی و با سازوکارهای حفاظت در لایه انتقال و لایه IP معنا پیدا می کند نقش تبادل گرهای داخلی و هم پیوندی یا peering در این معماری تعیین کننده است زیرا هرچه سهم تبادل داخلی بیشتر شود وابستگی به ظرفیت بین المللی کمتر و کیفیت خدمت های داخلی بیشتر می شود اما peering اگر با قراردادهای سطح خدمت و اندازه گیری بی طرفانه و کنترل ازدحام همراه نباشد خود به منبع مناقشه و افت کیفیت تبدیل می شود بنابراین معماری نوین به سمت چند IXP در مناطق مختلف و اتصال چندگانه اپراتورها مراکز داده و ارائه دهندگان محتوا حرکت می کند و همزمان با Anycast و توزیع سرویس های حیاتی مانند DNS و NTP و زیرساخت گواهی و به روز رسانی نرم افزارها در داخل کشور تاب آوری را بالا می برد  در لایه نام دامنه و دسترسی به محتوا مسئله فقط پاسخ دادن به پرسش DNS نیست بلکه مدیریت تجربه کاربر در شرایط نوسان ظرفیت بین الملل است DNS اگر توزیع و مقاوم نباشد به گلوگاه ملی تبدیل می شود به همین دلیل معماری پیشرفته از خوشه های Anycast در چند مرکز داده با مسیرهای مستقل و با دفاع در برابر سیل درخواست استفاده می کند و در کنار آن DNSSEC برای جلوگیری از دستکاری پاسخ و کاهش حملات جعل به کار می رود در لایه محتوا CDN و سامانه های کشینگ نزدیک به کاربر مانند edge cache و regional cache فشار را از هسته کم می کنند و زمان پاسخ را کاهش می دهند و اگر با سیاست های درست هم پیوندی با پلتفرم های پرمصرف همراه شوند می توانند بخش بزرگی از ترافیک پرحجم را در داخل نگه دارند بدون آنکه کیفیت دسترسی بین المللی قربانی شود  در لایه کنترل و سیاست معماری کارآمد نیازمند یک مغز عملیاتی است که بتواند تصمیم های پیچیده را در زمان کوتاه و با ریسک پایین اجرا کند این مغز از سامانه های مدیریت پیکربندی و نسخه بندی تغییرات و خودکارسازی استقرار تشکیل می شود و بر مشاهده پذیری عمیق تکیه دارد مشاهده پذیری یعنی سنجش مستمر از دید کاربر و از دید شبکه به صورت همزمان با تله متری جریان ها تأخیر از دست رفتن بسته نوسان زمان و سلامت مسیرها و سپس تبدیل این داده به تصمیم مهندسی ترافیک در چنین سطحی دیگر صرف داشتن مانیتورینگ ساده کافی نیست بلکه نیاز به تحلیل علت ریشه ای و همبستگی رخدادها و پیش بینی ازدحام وجود دارد تا عملیات شبکه از حالت واکنشی فرساینده به حالت پیشگیرانه تبدیل شود و این همان نقطه ای است که همزیستی دو قلمرو داخلی و بین المللی از وضعیت طاقت فرسا و بحران محور خارج می شود و به وضعیت پایدار و قابل اتکا نزدیک می گردد 

بخش دو زیرساخت ها و تجهیزات هسته انتقال امنیت سرویس و لبه محاسبات  

برای آن که این معماری در میدان واقعیت دوام بیاورد باید در سه ستون سخت افزاری و نرم افزاری سرمایه گذاری منسجم انجام شود ستون انتقال و فیبر ستون مسیریابی و سوئیچینگ و ستون مراکز داده و لبه محاسبات در انتقال مدرن فیبر نوری همراه با DWDM و تجهیزات نوری همدوس و ROADM قلب ظرفیت است زیرا امکان می دهد چندین طول موج پرظرفیت روی یک جفت فیبر حمل شود و مسیرها به صورت پویا بازپیکربندی شوند و در صورت قطع مسیر اصلی ترافیک با زمان بازیابی کوتاه به مسیر جایگزین برود پیاده سازی حفاظت در لایه نوری و همزمان طراحی مسیرهای فیزیکی جدا از هم در سطح شهر و بین شهر شرط تاب آوری است زیرا افزونگی منطقی روی همان کانال فیزیکی در لحظه بحران فرو می ریزد تجهیزات OTN برای تجمیع و نگاشت سرویس ها و ایجاد مدارهای شبه اختصاصی با تأخیر پایدار در هسته مفید است و در کنار آن همزمان سازی دقیق با SyncE و PTP برای شبکه های سیار و سرویس های حساس ضروری می شود  

در لایه IP روترهای هسته با ظرفیت چندترابیتی و معماری ماژولار و پشتیبانی از صف بندی پیشرفته و بافر مناسب برای مدیریت ازدحام لازم است و در لایه تجمیع سوئیچ ها و روترهای توزیعی با توان پردازش بالا و قابلیت EVPN و VXLAN می توانند هم شبکه مراکز داده را مقیاس پذیر کنند و هم اتصال امن و تفکیک شده سازمان ها را فراهم آورند در مرزهای شبکه تجهیزات لبه شامل روترهای مرزی سامانه های فیلترینگ مسیر و کنترل سیاست و در صورت نیاز سامانه های ترجمه نشانی مانند CGNAT برای IPv4 قرار می گیرد اما معماری نوین باید مهاجرت جدی به IPv6 را به صورت Dual Stack پیش ببرد تا فشار پیچیدگی NAT کاهش یابد و مسیر رشد آینده بسته نشود  

برای اینترنت ملی در کنار اینترنت بین المللی موضوع امنیت از حالت یک لایه اضافی خارج است و به ستون بقا تبدیل می شود دفاع در برابر DDoS باید چندسطحی باشد از جذب در لبه دسترسی و نرخ دهی هوشمند تا پاک سازی در مراکز scrubbing با ظرفیت بالا و سپس هماهنگی با سیاست های BGP برای دورریزی یا بازهدایت ترافیک مخرب در همین مسیر امنیت مسیریابی با RPKI و اعتبارسنجی اعلان های مبدأ و پایش hijack و leak حیاتی است زیرا یک خطای مسیریابی می تواند همان قدر سهمگین باشد که یک حمله مستقیم باشد امنیت نام دامنه با DNSSEC و کنترل زنجیره اعتماد و سخت گیری در دسترسی مدیریتی به زیرساخت های حیاتی باید در دستور کار باشد و در سطح سازمانی استفاده از سامانه های تشخیص و جلوگیری از نفوذ و دیواره های آتش نسل جدید و جداسازی دامنه های مدیریتی شبکه از دامنه های کاربری و اجرای حداقل دسترسی برای حساب های عملیاتی بخشی از الزامات حرفه ای است  

در لایه سرویس و تجربه کاربر تجهیزات و سامانه های کنترل نشست و سیاست نقش سنگینی دارند در شبکه ثابت BNG به همراه AAA و سامانه های سیاست گذاری می تواند سهمیه و کیفیت خدمت و اعمال سیاست مسیر را کنترل کند و اگر ظرفیت پردازشی آن یا طراحی افزونگی آن کافی نباشد تمام کیفیت هسته زیر سؤال می رود در شبکه سیار هسته نسل جدید با UPF های توزیع شده و پیاده سازی MEC یا محاسبات لبه می تواند سرویس های حساس را نزدیک کاربر نگه دارد و تأخیر را کاهش دهد و به اینترنت ملی قابلیت ارائه خدمت های کم تأخیر بدهد بدون آنکه مسیرهای بین المللی را درگیر کند این نقطه محل پیوند زیرساخت ارتباطی با زیرساخت محاسباتی است  

مراکز داده و لبه محاسبات برای همزیستی دو قلمرو یک الزام راهبردی است نه یک انتخاب زیرا وقتی داده و سرویس در داخل کشور مستقر شود هم کیفیت داخلی بهتر می شود و هم مصرف ظرفیت بین المللی بهینه می گردد اما این استقرار باید صنعتی و رسمی و مقاوم باشد مراکز داده باید چندمنبع برق و UPS و ژنراتور و مسیرهای متعدد فیبر و سامانه های سرمایش افزونه و مدیریت بحران داشته باشند و از نظر شبکه با اتصال مستقیم به IXP ها و چند اپراتور به صورت همزمان طراحی شوند تا در برابر قطع یک مسیر یا یک اپراتور از کار نیفتند در سطح نرم افزار استفاده از مجازی سازی شبکه و NFV و SDN و ارکستریشن کانتینرها امکان می دهد سرویس ها سریع مقیاس بگیرند و در بحران ها به صورت خودکار بازیابی شوند اما این نوین سازی اگر بدون نظم تغییر و بدون تست و بدون سنجش شاخص های SLI و تعهدات SLA انجام شود به بی ثباتی مزمن و فرساینده منجر می شود  در نهایت برای اینکه اینترنت بین المللی در کنار اینترنت ملی نه در شعار بلکه در میدان عمل کارآمد و بادوام باشد باید به مدیریت ظرفیت و کیفیت خدمت به شکل علمی و سخت گیرانه نگاه کرد ظرفیت بین المللی باید با مدل های پیش بینی رشد و با ذخیره اطمینان طراحی شود و توزیع بار میان درگاه ها با مهندسی ترافیک و سیاست های انتخاب مسیر انجام گیرد و کیفیت خدمت با QoS مبتنی بر کلاس های کاربردی و کنترل ازدحام و صف بندی در گلوگاه ها تضمین شود و همه اینها باید زیر چتر مشاهده پذیری پیوسته و عملیات ۲۴ ساعته با فرایند پاسخ به رخداد و مدیریت تغییر قرار گیرد چنین سامانه ای اگر درست بنا شود سنگین و پیچیده و پیشرفته خواهد بود اما این پیچیدگی به جای آشفتگی به صورت توانمندی ظاهر می شود و نتیجه آن همزیستی واقعی دو قلمرو داخلی و جهانی با ثبات بالاتر امنیت بیشتر و کارایی قابل دفاع در برابر فشارهای روزمره و بحران های سهمگین خواهد بود