أساسيات الشبكات السحابية

إيصال طلب من الإنترنت إلى قاعدة بيانات خاصة، بأمان

جلست قبل درسين قاعدة بيانات تجارة إلكترونية بأمان في قاعدة بيانات علائقية، تخزّن طلبات يجب أن تبقى متسقة مع عملاء ومخزون حقيقيين. تلك القاعدة عديمة الفائدة إن لم يستطع متصفح متسوّق الوصول إليها، وخطيرة إن استطاع أي شخص على الإنترنت الوصول إليها مباشرة. الشبكات السحابية هي الطبقة التي تحلّ هذا التوتر: تُوصل طلباً من متصفح مستخدم إلى خادم التطبيق الصحيح وقاعدة البيانات الصحيحة، مع إبقاء قاعدة البيانات نفسها غير قابلة للوصول من العالم الخارجي كلياً. يبني هذا الدرس ذلك المسار قطعة قطعة.

VPC: شبكتك الخاصة، لكن افتراضية

الشبكة السحابية الخاصة الافتراضية (VPC) شبكة افتراضية معزولة منطقياً ومخصصة لحسابك. تختار لها نطاق عناوين IP، ثم تضيف شبكات فرعية وبوابات وضوابط أمان، اللبنات نفسها التي كنت ستضبطها في شبكة مركز بيانات فعلي، إلا أنه لا يوجد كابل ولا عتاد تركّبه. كل مورد تطلقه، جهاز افتراضي، نسخة قاعدة بيانات، يعيش داخل VPC، وهذا ما يجعل القطعة التالية، الشبكات الفرعية، ذات معنى.

الشبكات الفرعية: عامة مقابل خاصة

الشبكة الفرعية نطاق عناوين IP داخل VPC، وعلى AWS، تعيش الشبكة الفرعية بالكامل داخل منطقة إتاحة واحدة، مفهوم منطقة الإتاحة نفسه من الموضوع السابق، مطبَّقاً الآن على الشبكات. ما يجعل الشبكة الفرعية عامة أو خاصة ليس اسمها، بل جدول التوجيه الخاص بها: تملك الشبكة الفرعية العامة مساراً نحو بوابة إنترنت، فتستطيع مواردها أن تُوصَل إليها من الإنترنت وأن تصل إليه؛ لا تملك الشبكة الفرعية الخاصة هذا المسار، فلا يستطيع أي شيء خارج VPC الوصول إليها مباشرة.

هذا بالضبط شكل بنية RDS المرجعية: تجلس خوادم التطبيق في شبكات فرعية عامة عبر منطقتَي إتاحة، يصل إليها المستخدمون، وتجلس نسخ قاعدة البيانات في شبكات فرعية خاصة في منطقتَي الإتاحة نفسيهما، ولا يصل إليها إلا خوادم التطبيق داخل VPC، لا مباشرة من الإنترنت أبداً. المورد في شبكة فرعية خاصة ليس معزولاً كلياً؛ يستطيع الوصول إلى الإنترنت خارجاً، لتنزيل تحديث برمجي مثلاً، عبر بوابة NAT منفصلة، لكن لا شيء من الخارج يستطيع بدء اتصال إلى الداخل.

مجموعات الأمان وقوائم التحكم بالوصول الشبكية: قفلان مختلفان على بابين مختلفين

ضبط موقع الموارد نصف المهمة فقط. النصف الآخر هو تحديد أي حركة مرور بالضبط يُسمح لكل قطعة برؤيتها، وتمنحك AWS أداتين مختلفتين لهذا، بنطاقين مختلفين.

مجموعة الأمان جدار حماية افتراضي مرتبط بنسخة واحدة، مثل بوّاب يقف عند باب محدد ويتذكّر كل من سمح له بالدخول: بمجرد أن يسمح لطلب بالخروج، يسمح تلقائياً بعودة الرد المطابق دون مراجعة قائمته من جديد. تلك الذاكرة هي معنى "ذات حالة". تدعم مجموعة الأمان قواعد السماح فقط، وتتحقق من كل قاعدة قبل اتخاذ القرار، إذ لا يوجد ما تمنعه، فقط إذن تمنحه أو تحجبه.

تعمل قائمة التحكم بالوصول الشبكية على مستوى الشبكة الفرعية بدلاً من ذلك، أشبه بمكتب استقبال مبنى يتحقق من كل شخص يعبر العتبة، في الاتجاهين، مقابل قائمة مكتوبة، بلا ذاكرة لمن سمح له بالمرور قبل 5 دقائق. هذا معنى "عديمة الحالة": تدعم قائمة التحكم بالوصول الشبكية قواعد سماح ومنع معاً، وتتوقف عند أول قاعدة مطابقة، مُراجَعة بالترتيب، لا بمراجعة كل القواعد كما تفعل مجموعة الأمان.

توصي إرشادات AWS الرسمية باستخدام مجموعات الأمان كضابط الوصول الأساسي، وإضافة قوائم التحكم بالوصول الشبكية كطبقة ثانوية أخشن. السبب مباشر: تحرس قائمة التحكم بالوصول الشبكية الشبكة الفرعية كاملة، فتبقى تعمل كخط دفاع احتياطي حتى في الحالة النادرة التي تُطلَق فيها نسخة دون مجموعة الأمان الصحيحة. طبقتان قد تفشلان بطريقتين مختلفتين تحميانك أفضل من طبقة واحدة يجب أن تكون مثالية في كل مرة.

موازن الحمل: توزيع حركة المرور على الأهداف السليمة

تذكّر التوسّع الأفقي من درس الحوسبة: إضافة نسخ أكثر بالحجم نفسه بدل تكبير نسخة واحدة. توزيع الحمل على 4 خوادم تطبيق متطابقة يعمل فقط إن قرر شيء ما أي نسخة من الأربع تتولى كل طلب وارد، وذلك الشيء هو موازن الحمل. يجلس موازن الحمل أمام مجموعة أهداف، ويفحص سلامة كل واحد منها، ويوجّه الحركة فقط إلى الأهداف التي تجتاز تلك الفحوصات حالياً، متجاوزاً تلقائياً أي نسخة توقفت عن الاستجابة.

المسار الكامل، مجمَّعاً

اجمع كل قطعة من هذا الدرس معاً، وهذا هو المسار الفعلي الذي يسلكه طلب: يدخل طلب المستخدم VPC عبر Internet Gateway، يصل إلى موازن حمل يوجّهه إلى أحد عدة خوادم تطبيق سليمة تجلس في شبكة فرعية عامة، محمية بمجموعة أمان تلك النسخة. يصل خادم التطبيق بعدها إلى شبكة فرعية خاصة ليقرأ قاعدة البيانات ويكتب إليها، اتصال مسموح به فقط لأن الطرفين داخل VPC نفسه، وليس أبداً لأن قاعدة البيانات مكشوفة للإنترنت. تراقب قائمة التحكم بالوصول الشبكية حدود كل شبكة فرعية طوال المسار، كخط الدفاع الأخشن خلف كل مجموعة أمان.

إلى أين يقودك هذا

الشبكات ليست إعداداً واحداً، إنها سلسلة قرارات: أي شبكة فرعية يعيش فيها مورد يحدد إن كان الإنترنت يستطيع الوصول إليه أصلاً، ومجموعات الأمان تحدد أي حركة تحديداً تصل إلى نسخة بعينها، وقوائم التحكم بالوصول الشبكية تسند ذلك على مستوى الشبكة الفرعية، وموازن الحمل يقرر أي نسخة من عدة نسخ سليمة تجيب فعلياً على طلب معيّن. كل خدمة غطاها هذا الموضوع، الحوسبة والتخزين وقواعد البيانات، تقيم في مكان ما داخل هذه الشبكة، ولا شيء منها قابل للوصول، أو محمي، بدونها. ينتقل الموضوع التالي في هذا المجال، البنى السحابية الحديثة، ليبني على كل واحدة من هذه اللبنات ويغطي الأنماط التي تنشرها الفرق فعلياً اليوم: الحوسبة بلا خوادم، والحاويات والخدمات المصغّرة، والبنية التحتية ككود.