ربط فروع الشركة بشبكة واحدة: VPN أم SD-WAN أم خط مؤجر؟

عندك خمسة فروع، كل فرع فيه نظام كاشير يعمل بمفرده، وفي آخر اليوم يرسل أحدهم ملفا إلى المقر الرئيسي — أو يتصل المسؤول ليسأل بالتليفون عن رصيد صنف في فرع آخر. الطريقة تعمل، لكنها تعمل متأخرة: قرار نقل البضاعة بين الفروع يُتخذ على أرقام أمس، والجرد لا يُغلق إلا بعد تجميع يدوي.

ربط الفروع في شبكة واحدة هو ما ينهي هذا. الطريق إليه فيه ثلاثة خيارات تقنية تختلف في التكلفة وفي التعقيد، وقرار واحد في العنونة إن أُخطئ فيه ضيّع الأسابيع الأولى كلها.

ابدأ بما سيعبر الخط، لا بنوع الخط

كثير من المشاريع يبدأ بسؤال «نجيب خط كام ميجا؟» قبل أن يكتب أحد ماذا سيمر في هذا الخط، وهو ترتيب مقلوب. اكتب الحمل أولا:

• نقاط البيع. حركات صغيرة جدا في حجمها، لكنها حساسة لزمن الاستجابة والثبات لا للسعة. سطر فاتورة لا يحتاج ميجابايت.
• مزامنة المخزون والأسعار. دفعات تمر في أوقات معروفة، ويمكن جدولتها خارج ذروة البيع.
• النظام المحاسبي أو الـ ERP. وزنه يتوقف على طريقة عمله — وهذه نقطة نعود إليها بعد قليل.
• كاميرات المراقبة. أثقل بند في القائمة بفارق كبير. بث الكاميرات كلها من كل فرع إلى المقر على مدار اليوم هو أسرع طريقة لإغراق الخط وإبطاء الكاشير معه. الصواب أن يبقى التسجيل محليا على جهاز الفرع، ولا يُسحب عبر الخط إلا ما يُطلب عند الحاجة.
• السنترال والاكسس كنترول. الأول حساس للتذبذب، والثاني حمله ضئيل.

الخيارات الثلاثة وما يكلفه كل منها

‏VPN بين الفروع فوق خطوط الإنترنت

نفق مشفر يقوم بين الفايروول في الفرع والفايروول في المقر، فوق خط الإنترنت الموجود أصلا في كل موقع. الأجهزة التي في هذه الفئة — فورتي جيت 100F أو سوفوس XGS 2100 — تؤدي هذه الوظيفة من داخلها، دون صندوق إضافي.

هذا الخيار هو الأرخص شهريا: لا اشتراك اتصال إضافي بخلاف خطوط الإنترنت التي تدفعها بالفعل. تكلفته الحقيقية في وقت التصميم والتهيئة وفي المتابعة بعدها.

شرطان عمليان: أن يكون في طرف المقر عنوان عام ثابت على الأقل، وأن يسمح مزود الخدمة بمرور حركة الـ IPsec. أما الفروع فعناوينها قد تكون متغيرة أو خلف ترجمة عناوين عند المزود؛ في هذه الحالة تُهيأ الفروع لتبدأ هي الاتصال نحو المقر، والمقر يستقبل. هذا وضع شائع في خطوط الفروع ولا يمنع التنفيذ.

حده الواضح: لا ضمان على زمن الاستجابة. مزود الخدمة لا يتعامل مع النفق كخدمة مستقلة فوق خطه، فأنت تحصل على جودة الإنترنت العادي، مشفرة.

الشكل المعتاد هو مركز وأطراف: كل فرع نحو المقر، وحركة فرع إلى فرع تمر عبر المقر. في أجهزة فورتي جيت توجد إمكانية تجعل فرعين يفتحان نفقا مباشرا بينهما عند الحاجة بدل المرور بالمركز، وهي مفيدة حين تكثر الفروع وتكثر الحركة بينها.

‏SD-WAN

‏SD-WAN ليس نوعا ثالثا من الخطوط، بل طبقة قرار فوق أكثر من خط. تضع في الفرع خطين — ألياف وخط 4G مثلا — ويقيس الجهاز الفقد والتأخير والتذبذب على كل منهما باستمرار، ويوجه كل نوع حركة إلى الخط المناسب، وينقلها عند تدهور أحدهما.

من ناحية الترخيص: في أجهزة فورتي جيت هذه الوظيفة جزء من نظام تشغيل الجهاز نفسه ولا تُشترى رخصة منفصلة لها، لكن التوجيه حسب نوع التطبيق يعتمد على توقيعات التعرف التي تأتي ضمن اشتراك الحماية، وإدارة عشرات الفروع مركزيا من مكان واحد منتج منفصل. وفي سوفوس يؤدى العمل نفسه عبر مسارات توجيه تختار الخط بناء على الفقد والتأخير والتذبذب، مع إدارة لخطوط الـ WAN وتحويل عند السقوط.

تكلفته: خط ثان لكل فرع، ووقت تصميم واختبار أطول. يستحق حين تكون خسارة ساعة توقف في الفرع أكبر من تكلفة الخط الثاني شهريا، وهي معادلة تُحسب بأرقام الفرع نفسه: ما يبيعه في الساعة مقابل اشتراك خط إضافي.

الخط المؤجر

سعة متماثلة مضمونة من مزود الخدمة، بتعاقد على مستوى خدمة وزمن استجابة معروف. هو الأعلى كلفة والأطول تنفيذا: يُسعّر شهريا حسب السعة والمسار ومدة التعاقد، ويحتاج معاينة للموقع وتمديدا قبل التشغيل.

منطقه الأوضح في طرف المقر أو الداتا سنتر حيث تتجمع أحمال الفروع كلها، أو في فرع واحد حرج لا يحتمل انقطاعا. تأجير خط لكل فرع صغير نادرا ما يكون قرارا اقتصاديا. وهو في كل الأحوال لا يغني عن الفايروول: الخط المؤجر يعطيك سعة مضمونة، لا حماية.

الرقم النهائي في أي من الخيارات تحركه أربعة بنود: عدد الفروع، السعة المطلوبة وهل هي مضمونة أم متاحة، وجود خط ثان من عدمه، ومدة التعاقد.

ما يحتاجه نظام الكاشير والمخزون بالضبط

قبل اعتماد أي تصميم، اسأل مورد نظام الكاشير أربعة أسئلة محددة واحصل على إجابات مكتوبة:

• هل قاعدة البيانات مركزية في المقر يتصل بها الفرع مباشرة، أم نسخة محلية في كل فرع تتزامن مع المركز؟
• لو انقطع الخط، هل يستمر الكاشير في البيع؟ ولكم من الوقت؟ وماذا يحدث للحركات عند عودة الخط؟
• ما المنافذ والبروتوكولات التي يحتاجها؟ ستُفتح في الفايروول بدقة لهذه الوجهة وحدها، لا على مصراعيها.
• هل يعمل النظام عبر جلسة سطح مكتب بعيد؟ إن كانت الإجابة نعم، فاعلم أن انقطاع الخط يعني توقف البيع في الفرع، لا تأخره.

والنتيجة العملية: حركة نقاط البيع خفيفة في حجمها. السعة نادرا ما تكون العائق — الثبات وزمن الاستجابة هما ما يحدد إن كان الكاشير مريحا أم متهدجا.

حين ينقطع خط فرع

لا تكتشف الإجابة يوم الانقطاع. في التصميم ذي القاعدة المحلية يستمر البيع وتتأخر المزامنة فقط، وفي التصميم المركزي أو جلسات سطح المكتب البعيد يتوقف الفرع عن إصدار الفواتير. الفارق بين الحالتين هو الفارق بين مشكلة تقنية ويوم بيع ضائع.

الاختبار الوحيد الذي يُعتد به: افصل الخط في الفرع التجريبي خلال ساعة بيع حقيقية، وسجّل ما توقف بالضبط وماذا فعل الكاشير. أما الفروع التي لا تحتمل ذلك فتُجهز بخط احتياطي على الفايروول يعمل عند سقوط الأساسي.

العنونة: الخطأ الذي يظهر متأخرا ويصعب إصلاحه

كل فرع رُكِّب على حدة، وكل راوتر خرج من علبته بالإعداد نفسه: 192.168.1.0/24. تصل إلى مرحلة رفع الأنفاق فتكتشف أن الفروع كلها تحمل الشبكة نفسها. النفق لا يعمل ببساطة، لأن الجهاز لا يستطيع أن يقرر هل العنوان 192.168.1.50 هنا أم في الطرف الآخر.

الحل الصحيح خطة عنونة واحدة تُكتب وتُعتمد قبل أول نفق: نطاق منفصل لكل فرع من الفضاء الخاص الواسع (‏10.0.0.0/8)، ورقم الفرع مقروء داخل العنوان نفسه، ونطاق محجوز في كل موقع للثوابت — السيرفر، أجهزة الكاشير، جهاز تسجيل الكاميرات، الطابعات — خارج مدى توزيع العناوين التلقائي.

يوجد بديل يلجأ إليه البعض: ترجمة العناوين فوق النفق لإخفاء التعارض. يعمل، لكنه يُخفي العناوين الحقيقية فيجعل تشخيص أي عطل لاحق أصعب مرتين، ويربك الأنظمة والبروتوكولات التي تحمل عنوان الجهاز داخل بياناتها نفسها. إعادة ترقيم فرع اليوم أرخص من التعايش مع هذا البديل لسنوات.

تفاصيل صغيرة تُسقط التنفيذ

• حجم الحزمة. التشفير يضيف ترويسة، فتزيد الحزمة عن الحد المسموح على الطريق وتُسقَط إن كانت مُعلَّمة بمنع التجزئة. العَرَض المميز: «كل شيء يعمل، إلا تقرير واحد لا يفتح» أو ملف يتوقف نقله عند نسبة ثابتة. العلاج ضبط حد حجم جزء البيانات في جلسات الـ TCP على الفايروول، وهو إعداد صغير يختصر بحثا طويلا في المكان الخطأ.
• تسمية النطاقات والوقت. حدد من يجيب استعلامات الأسماء في الفرع، واضبط مصدر وقت موحد — اختلاف ساعة جهاز الكاشير يربك ترتيب الحركات عند الترحيل.
• القواعد بين الفروع. وجود نفق لا يعني فتح الشبكة. حدد من يصل إلى ماذا: الفرع يحتاج سيرفر التطبيق، لا شبكة المقر كلها. هذا التحديد هو ما يحدّ من انتشار إصابة من فرع واحد إلى البقية، وهو امتداد طبيعي لضبط الوصول عن بُعد الذي تحدثنا عنه من قبل.
• التوثيق. سجل عناوين، ومخطط للأنفاق، وترقيم على الباتش بانل في كل فرع. ما لا يُوثَّق يُعاد اكتشافه في كل عطل.

ترتيب التنفيذ في فروع لا تستطيع التوقف عن البيع

الترتيب نفسه جزء من الحل:

• المقر أولا. الخط والعنوان الثابت والفايروول والسيرفر جاهزة ومختبَرة قبل أن يُمس أي فرع.
• خطة العنونة مكتوبة ومعتمدة قبل الفرع الأول.
• فرع تجريبي واحد. يُفضَّل الأقرب والأقل حركة، ويبقى أسبوعا كاملا يعمل بالطريقة القديمة والجديدة معا.
• ثم فرع كل ليلة، خارج ساعات البيع، بإعدادات مُجهزة مسبقا لا تُكتب في الموقع.
• لا يُسلَّم فرع إلا بعد اختبار من جهاز الكاشير نفسه: فاتورة كاملة، ومزامنة، وطباعة.

هذا العمل نعرفه من الجانبين: في الراية ماركت نفذنا شبكة الفروع والمقر — الراكات وتقفيل التمديدات على الباتش بانل وترقيمها من الطرفين وتوصيل السويتشات وتهيئتها — إلى جانب الجانب البرمجي، والترقيم هنا ليس زينة بل ما يجعل أي فني يعرف أي خط يخدم أي نقطة دون تتبع الكابل بيده. وفي أولاد رجب وردنا وركّبنا وضبطنا أجهزة فورتي جيت وسوفوس على بوابة الخروج للإنترنت بقواعد مرور وفلترة مكتوبة. الطرفان — التمديد المرقّم تحت والفايروول المضبوط فوق — هما ما يقوم عليه أي ربط بين فروع.

على ماذا يتوقف القرار

إن كانت الفروع تحتمل انقطاعا من حين لآخر، ونظام الكاشير يبيع محليا ويتزامن بعدها، فالـ VPN فوق خطوط الإنترنت الحالية يؤدي الغرض بأقل تكلفة شهرية. وإن كان توقف الفرع يعني إغلاق الخزينة، فالخط الثاني مع توجيه ذكي بين الخطين أرخص من الخسارة. أما الخط المؤجر فمكانه حيث تتجمع الأحمال أو حيث لا يُحتمل التوقف أصلا.

وقبل هذا كله: خطة العنونة. هي البند الوحيد في القائمة الذي يصعب إصلاحه لاحقا.

لو أردت مراجعة وضع فروعك الحالي وما يلزم لربطها، يمكنك الاطلاع على خدمات البنية التحتية للشبكات أو التواصل معنا بتفاصيل الفروع وأنظمة العمل لديك.