💻 علوم الحاسوب

Experimental Implementation of Network Access Control with Dynamic VLAN Assignment Using Active Directory, Windows NPS, RADIUS, and IEEE 802.1X

تقدم هذه الورقة وتثبت تجريبياً بنية هندسية للتحكم في الوصول إلى الشبكة (Network Access Control) متكاملة من الطرف إلى الطرف، تدمج بين Active Directory وMicrosoft NPS ومبدلات Cisco IOSvL2 لتعيين المستخدمين ديناميكياً إلى شبكات محلية افتراضية (VLANs) محددة بناءً على عضوية المجموعات عبر بروتوكول المصادقة IEEE 802.1X، مما أظهر نجاحاً بنسبة 100% في عمليات المصادقة الصحيحة وعزلاً فعالاً للمحاولات غير المصرح بها أو الفاشلة في بيئة مختبرية افتراضية.

المؤلف الأصلي: Abdulraheem Hamoud Mohammed Almaweri

نُشر 2026-09-24✓ Author reviewed ⓘ

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلف الأصلي: Abdulraheem Hamoud Mohammed Almaweri

البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلف. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

في العالم الرقمي لمنظمة كبيرة، تُعد الشبكة بمثابة الطريق السريع غير المرئي الذي ينقل كل رسالة بريد إلكتروني، وكل ملف، وكل مكالمة فيديو. لعقود من الزمن، كانت طريقة إدارة هذا الطريق السريع بسيطة وثابتة بشكل مثير للدهشة: كابل مادي متصل بمنفذ جداري يحدد بالضبط أين يمكن للحاسوب أن يتصل داخل الشبكة. فإذا كان هذا المنفذ موصولًا بسلك إلى جزء معين من الشبكة، فإن أي شخص يوصل جهازًا به يحصل على حق الوصول إلى ذلك الجزء مباشرةً، بغض النظر عن هويته. اعتمد هذا النهج بالكامل على الأمن المادي؛ فإذا تمكن شخص غير مصرح له من الوصول إلى منفذ الشبكة الجداري، فقد تمكن من الدخول مباشرةً إلى بيانات الشركة الخاصة. ومع زيادة تعقيد المنظمات، ووجود موظفين وطلاب وضيوف يحتاجون جميعًا إلى مستويات مختلفة من الوصول، أصبح أسلوب «التوصيل والتشغيل» هذا نقطة ضعف كبيرة. ويكمن الحل في جعل الشبكة ذكية بما يكفي لتسأل: «من أنت؟» قبل أن تفتح البوابة، ثم توجّه ذلك الشخص إلى المنطقة المحددة التي يُسمح له بدخولها، بدلًا من ترك الباب مفتوحًا على مصراعيه لأي شخص يمتلك مفتاحًا.
هذا هو التحدي الذي عالجته دراسة حديثة أجراها عبد الرحيم حمود محمد الماوري في جيبوتي. سعى الباحث إلى بناء نظام واختباره، بهدف استبدال الطريقة التقليدية الثابتة بطريقة ديناميكية. في هذا النهج الجديد، يتصل جهاز كمبيوتر بالشبكة، فتطلب الشبكة فورًا إثبات الهوية. وإذا قدم المستخدم بيانات اعتماد صالحة، يتحقق النظام من دوره داخل المنظمة، ثم يعيّنه تلقائيًا في المنطقة الرقمية المناسبة. فإذا كان المستخدم موظفًا، يتم توجيهه إلى شبكة الموظفين؛ وإذا كان طالبًا، يتم توجيهه إلى شبكة الطلاب. أما إذا لم يتمكن المستخدم من إثبات هويته، أو إذا توقف النظام المسؤول عن التحقق من هويته عن العمل، فإن الشبكة لا تسمح له بالدخول، ولا تتركه عالقًا دون معالجة. بدلًا من ذلك، تنقله إلى منطقة انتظار رقمية معزولة، حيث يمكن فحص المشكلة أو معالجتها دون تعريض بقية النظام للخطر.
ولاختبار مدى موثوقية هذا التسلسل المعقد من العمليات، أنشأ الباحث مختبرًا افتراضيًا متكاملًا. لم تكن هذه تجربة بسيطة باستخدام جهاز كمبيوتر واحد، بل كانت محاكاة كاملة لشبكة مؤسسة. تضمنت البيئة التجريبية خادمًا مركزيًا لإدارة الهويات، وخادمًا للسياسات يحدد قواعد الوصول، ومبدّل شبكة (Switch) يتحكم في المنافذ المادية. وأنشأ الباحث مجموعتين متميزتين من المستخدمين: الأولى تمثل الموظفين، والثانية تمثل الطلاب. وخُصصت لكل مجموعة منطقة رقمية مستقلة تُعرف باسم الشبكة المحلية الافتراضية (VLAN)، التي تعمل كغرفة منفصلة وغير مرئية داخل المبنى نفسه. وهكذا، رُبطت مجموعة الموظفين بمنطقة مستقلة، ومجموعة الطلاب بمنطقة أخرى. وصُمم النظام لاستخدام بروتوكول مصادقة آمن، يتبادل من خلاله الكمبيوتر والخادم رسائل للتحقق من الهوية قبل السماح بمرور بيانات المستخدم عبر الشبكة.
بعد ذلك، أجرى الباحث سلسلة من خمسة وعشرين اختبارًا لمعرفة كيفية تصرف النظام في ظروف مختلفة. في المجموعة الأولى من الاختبارات، حاول مستخدمون صالحون من مجموعتي الموظفين والطلاب تسجيل الدخول باستخدام بيانات الاعتماد الصحيحة. وفي كل حالة، نجح النظام في تحديد هوياتهم وتوجيههم إلى مناطقهم الرقمية الصحيحة؛ إذ وُجّه الموظفون باستمرار إلى شبكة الموظفين، والطلاب إلى شبكة الطلاب. كما قاس الباحث سرعة تنفيذ العملية؛ فمن لحظة توصيل المستخدم كابل الشبكة إلى لحظة منحه حق الوصول، استغرقت العملية نحو ثانية ونصف. وتُعد هذه المدة قصيرة بما يكفي لتوفير تجربة استخدام سلسة، بحيث لا يشعر المستخدم عادةً بتأخير ملحوظ أثناء عمله اليومي.
ولم تقتصر الدراسة على عمليات تسجيل الدخول الناجحة، بل اختبرت أيضًا ما يحدث عند وقوع الأخطاء. ففي أحد السيناريوهات، أدخل المستخدم اسم المستخدم الصحيح، لكنه استخدم كلمة مرور خاطئة. وفي سيناريو آخر، حاول مستخدم تسجيل الدخول باستخدام حساب لا ينتمي إلى أي مجموعة مصرح لها بالوصول. وفي كلتا الحالتين، رفض النظام محاولة الدخول على نحو صحيح. وبدلًا من ترك المستخدم دون توجيه واضح، أو السماح له بالدخول إلى منطقة غير مناسبة، نقلت الشبكة اتصاله تلقائيًا إلى منطقة الحجر الصحي (Quarantine VLAN). وهي منطقة معزولة وآمنة تتيح فحص المشكلة أو مساعدة المستخدم، دون السماح له بالوصول إلى الأجزاء الحساسة من الشبكة. وقد نجح النظام في تنفيذ عملية الاحتواء هذه في جميع الحالات التي استُخدمت فيها كلمة مرور خاطئة أو حساب غير مصرح له.

أبحاث مشابهة