محتويات الدورة

Proxmox VE / متوسط: البيانات والهوية والسياسة / الدرس 12

نطاق الجدار ومنطق السياسة

عبّر عن سياسة اتصال للضيف وحدد حدود التنفيذ دون تغيير قواعد أو فحص شبكة أو افتراض تماثل كل الخلفيات.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى
في هذه الصفحة

أهداف الدرس

  • فصل سياسة إدارة المضيف ومرور الضيف.
  • شرح الاتجاه والمصدر والوجهة والقرار الافتراضي.
  • تمييز القواعد المعلنة عن دليل التنفيذ الفعلي.

اكتب عقد الاتصال

يبدأ تصميم الجدار بالاتصال المطلوب، لا بمجموعة قواعد سماح منسوخة. حدد الطرف البادئ والوجهة والبروتوكول والمنفذ والاتجاه والغرض. قد تختلف متطلبات الإدارة والنقل والتخزين ومرور تطبيق الضيف ومالكوها. لا يحمي تقييد الضيف واجهة الإدارة تلقائيا، ولا تحدد حماية الإدارة تفويض التطبيق. استخدم عناوين توثيق افتراضية وصف المسار المقصود قبل التنفيذ. يجب أن تبين السياسة أيضا قرار المرور الذي لا يطابق سماحا صريحا، وكيف يعالج النظام المختار المرور العائد لاتصال قائم.

افصل نطاقات الإعداد

قد تشمل سياسة الجدار في Proxmox نطاقات مركز البيانات والمضيف والضيف، ويؤثر التفعيل وخيارات الواجهة في موضع تطبيق القواعد. تهم الخلفية المختارة والنسخة؛ فلا تفترض أن مقطع قاعدة يثبت وجود مسار تنفيذ عامل. المثال الأول جدول سياسة نصي، وليس نحو إعداد جدار. يفصل عمدا حاجة تطبيق واحدة عن متطلبات الإدارة والتخزين. يحتاج التغيير الفعلي خطة معتمدة لحفظ الوصول، لأن إسقاط المرور افتراضيا في نطاق خاطئ قد يزيل وسيلة المشغل الوحيدة للاسترجاع.

text سجل سياسة اتصال
purpose: synthetic catalog HTTPS
initiator: approved client subnet 192.0.2.0/24
destination: synthetic guest 198.51.100.20, TCP 443
management/storage/migration: separate reviewed policies
implementation and enforcement: intentionally unexecuted

العناوين محجوزة ولا يفتح السجل منفذا أو يختبر تسليم حزم.

اقرأ الاتجاه والافتراضيات

الاتجاه نسبي لنقطة التنفيذ؛ لذلك لا يوصف دخول المرور إلى الضيف بالضرورة كما يوصف دخوله إلى خدمة إدارة المضيف. يختلف منفذ المصدر عن الوجهة أيضا؛ فالعميل يستخدم غالبا منفذ مصدر مؤقتا ويتصل بمنفذ خدمة ثابت. يمثل البرنامج الثاني قرار سماح واحدا على مدخلات افتراضية. ويستبعد عمدا تتبع الاتصالات وترتيب القواعد والأسماء البديلة والمجموعات ونحو المنصة الفعلي. غرضه إظهار الشرط الدقيق المقصود قبل تنفيذه في خلفية جدار تخضع لمراجعة مستقلة.

python شرط سياسة افتراضي صغير
def allowed(protocol, destination_port, approved_source):
    return protocol == "tcp" and destination_port == 443 and approved_source
print(allowed("tcp", 443, True))
print(allowed("tcp", 22, True))
print(allowed("tcp", 443, False))
الناتج المتوقع
True
False
False

تتبع النتائج الدالة فقط ولا تمثل اختبار محرك جدار أو فحص شبكة.

افصل وصول الشبكة والتطبيق

لا يفوض السماح بمسار TCP مستخدم التطبيق ولا يشفر حمولته. تبقى مصادقة التطبيق وTLS وصلاحيات البيانات ضوابط مستقلة. وبالمقابل قد يفشل طلب التطبيق بسبب التوجيه أو عنوان الاستماع أو جدار الضيف أو سياسة عليا، لا بسبب قواعد Proxmox وحدها. شخص المسار الكامل وحدد نقطة التنفيذ التي ينبغي أن تنتج الدليل. تجنب تعطيل عدة سياسات معا لمعرفة هل يبدأ التطبيق بالعمل، لأن ذلك يوسع التعرض ويزيل وضوح السبب. استخدم حالات افتراضية محددة ومشاهدات معتمدة من المالكين المسؤولين.

حدد التحقق دون مبالغة

تشمل مراجعة السياسة المرور المسموح المقصود والمرور المرفوض عمدا وحفظ الإدارة وسلوك العودة وافتراضات الخلفية. مراجعة الإعداد واختبار التنفيذ ادعاءان مختلفان. ينفذ المسار حسابا منطقيا محليا فقط، ولا يطبق قواعد أو يمسح منافذ أو يرسل حزما أو يصل إلى مضيف. يحتاج التحقق المخول لاحقا نسخة Proxmox محددة وتوثيق الخلفية وحالات معزولة ومسار استرجاع مستقلا. سجل المشاهدات الفعلية والرفض غير المتوقع؛ فغياب سجل ظاهر لا يثبت أن حزمة لم تصل إلى طبقة ترشيح أخرى أو أن القاعدة المقصودة نشطة.

الأخطاء الشائعة وإصلاحها

افتراض أن سياسة الضيف تؤمن وصول إدارة المضيف

لماذا يحدث؟
اختلطت نطاقات تنفيذ مختلفة.
كيف تصلحه؟
ارسم ضوابط إدارة المضيف ومرور الضيف بصورة مستقلة.
كيف تتجنب تكراره؟
حدد نطاق كل قاعدة واتجاهها المقصودين.

ترشيح منفذ مصدر العميل المؤقت بدلا من منفذ الخدمة

لماذا يحدث؟
عُكس دور منفذ المصدر ومنفذ الوجهة.
كيف تصلحه؟
اكتب عناصر التدفق الافتراضي كاملة قبل التنفيذ.
كيف تتجنب تكراره؟
راجع الطرف البادئ والاتجاه والمرور العائد صراحة.

وصف قواعد معلنة بأنها سياسة منفذة ومتحقق منها

لماذا يحدث؟
أُهمل التفعيل والخلفية ودليل التشغيل.
كيف تصلحه؟
حدد ادعاء الإعداد وخطط لفحوص تنفيذ منفصلة ومصرح بها.
كيف تتجنب تكراره؟
انشر حدود التحقق الدقيقة واحفظ وسيلة استرجاع الإدارة.

اختبر فهمك

1. يسمح الشرط بـTCP على المنفذ 443 من مصدر معتمد. هل يثبت ذلك عمل مصادقة HTTPS؟

اعرض الحل المشروح

لا. تمثل الدالة سماح شبكة واحدا فقط، ولا ترسل أي مرور. تبقى تهيئة TLS وتوفر الخدمة ومصادقة التطبيق وتفويض البيانات خارجها. وحتى اختبار مسار حقيقي يحتاج التمييز بين هذه المراحل. لا تحول نجاح اتصال أو شرط منطقي إلى وصف وصول آمن ومصرح به إلى بيانات التطبيق.

2. لماذا يجب مراجعة الحفاظ على وصول الإدارة قبل تطبيق قرار إسقاط افتراضي؟

اعرض الحل المشروح

قد يؤثر القرار الافتراضي الجديد، بحسب نطاقه وخلفيته، في مسار الوصول المستخدم لمراقبة التغيير أو عكسه. حدد مرور الإدارة المعتمد ومسار استرجاع مستقلا أولا. يقدم المسار تصميما ورقيا فقط؛ أما التحقق التشغيلي فيخص بيئة مصرحا بها صراحة وخطة رجوع ملموسة. لا يكفي وجود قاعدة صحيحة نحويا لضمان بقاء الإدارة متاحة.

أهم ما تعلمته

  • تحتاج السياسة تدفقا ونطاقا واتجاها وافتراضيات صريحة.
  • السماح الشبكي والتنفيذ الفعلي وتفويض التطبيق ادعاءات منفصلة.

المراجع الرسمية