الانتقال من جدار حماية قديم إلى FortiGate: خطة ترحيل خطوة بخطوة

ترحيل جدار الحماية هو النقل المخطط للقواعد وتعريفات NAT وأنفاق VPN والكائنات من جدار الحماية الحالي إلى جهاز FortiGate جديد. يمر الترحيل الناجح بثماني مراحل: الجرد، وتحليل القواعد، والتصميم المستهدف، والتحويل عبر FortiConverter أو يدويًا، والتشغيل المتوازي، ونافذة التحويل (cutover)، وخطة التراجع، والتحقق. يشرح هذا الدليل كل مرحلة مع مخرجاتها ومدتها المعتادة.

لماذا يجب التخطيط لترحيل جدار الحماية كمشروع مستقل؟

ترحيل جدار الحماية يحتاج إلى خطة مشروع مستقلة لأن جدار الحماية هو البوابة الوحيدة بين الشركة والإنترنت والفروع ومستخدمي VPN والخوادم. إن الاكتفاء بنقل الكابل ولصق الإعدادات ينقل إلى الجهاز الجديد أخطاء القواعد المتراكمة عبر السنين والاعتماديات غير الموثقة، ويظهر الانقطاع في ساعات العمل.

من واقع خبرتنا الميدانية، تتعثر معظم مشاريع الترحيل لثلاثة أسباب. الأول أن الجهاز القديم يحتوي على قواعد لا يعرف أحد سبب وجودها، فتُنسخ كما هي «حتى لا يتعطل شيء». الثاني أن اعتماد أنظمة مثل ERP وتكامل نقاط البيع وخادم تسجيل الكاميرات على جدار الحماية غير موثق؛ فيعمل كل شيء ليلة التحويل ثم لا يستطيع قسم المحاسبة العمل في الصباح. الثالث أن خطة التراجع لا تتجاوز جملة «سنعيد توصيل الجهاز القديم»، ولم يقِس أحد كم يستغرق ذلك فعليًا.

لهذا نقسّم الترحيل إلى مراحل تنتج كل منها مخرجًا ملموسًا. يعرض الجدول التالي المدد المعتادة التي نراها في مشاريعنا لشركة صغيرة أو متوسطة في موقع واحد؛ وتطول المدد في البيئات متعددة الفروع أو التي تنشر خدمات كثيرة.

الجرد وتحليل القواعد: ما الذي يجب نقله فعلًا؟

الجرد يوثّق كتابيًا كل عنصر إعدادات على جدار الحماية القديم وكل نظام أعمال يعتمد عليه، ثم يفرز تحليل القواعد القواعد التي ترى حركة مرور فعلًا من القواعد المحجوبة أو المكررة. ما يُنقل إلى FortiGate ليس الإعدادات الحالية كاملة، بل المجموعة الفرعية النظيفة التي تجتاز هذا التحليل.

النظر إلى قاعدة القواعد وحدها لا يكفي. تشمل قائمة الجرد لدينا ما يلي:

• الواجهات وشبكات VLAN: المنافذ الفعلية والواجهات الفرعية وعناوين IP وقيمة MTU وإعدادات الوصول الإداري.
• التوجيه: المسارات الثابتة والبوابة الافتراضية وخطوط WAN المتعددة والتوجيه القائم على السياسات.
• NAT: ترجمة عنوان المصدر وترجمة عنوان الوجهة / إعادة توجيه المنافذ (VIP في FortiOS) ومالك كل خدمة منشورة.
• الكائنات: العناوين ومجموعات العناوين والخدمات والجداول الزمنية وكائنات FQDN.
• VPN: أنفاق IPsec بين المواقع وملفات الوصول عن بُعد والمفاتيح المشتركة مسبقًا والشهادات.
• المصادقة: LDAP/Active Directory وRADIUS والمستخدمون والمجموعات المحلية.
• الخدمات: نطاقات DHCP وإعادة توجيه DNS وNTP وSNMP ووجهات syslog.
• ملفات الحماية: IPS ومكافحة الفيروسات وتصفية الويب والتحكم في التطبيقات، والقواعد المرتبطة بكل منها.

خريطة الاعتماديات هي الجزء الأكثر تجاهلًا في الجرد. لكل خدمة منشورة ولكل نفق VPN يجب أن تُكتب إجابة سؤال: «أي قسم سيتوقف عن العمل إذا انقطع هذا؟». تصبح هذه القائمة مصدر مصفوفة الاختبار ليلة التحويل ومصدر محفزات التراجع.

في تحليل القواعد نبحث عن ثلاث فئات من المشكلات: القواعد غير المستخدمة التي لا تسجل أي عداد تطابق، والقواعد المحجوبة التي لا تعمل أبدًا لأن قاعدة سابقة تلتقط حركتها، والقواعد المكررة التي لا يتغير شيء بحذفها. يُضاف إليها أذونات «any-any» وقواعد الاختبار المؤقتة المنسية. توصي Fortinet في أفضل ممارسات FortiOS 7.6 بإزالة الكائنات والسياسات غير المستخدمة قبل الترحيل وتقييم تدفق الحركة لتحديد ما إذا كان يمكن دمج السياسات الحالية (Fortinet Document Library, Migration). شرحنا المنهجية بالتفصيل في مقالنا عن تنظيف قواعد جدار الحماية وتدقيق السياسات، ويُعد دليل إدارة سياسات FortiGate نقطة انطلاق جيدة لفهم منطق القواعد في FortiOS.

لا ينبغي لقسم تقنية المعلومات أن يتخذ قرارات التنظيف وحده. فقد تكون القاعدة ذات العداد الصفري خاصة بعملية نقل تجري مرة واحدة سنويًا عند إقفال السنة المالية. لذلك تُشارَك قائمة الحذف مع وحدات الأعمال، وتُنقل القواعد الخلافية إلى الجهاز الجديد بحالة «معطلة» وتُراقَب.

التصميم المستهدف: الطراز وخريطة الواجهات والتجزئة

التصميم المستهدف يحدد مسبقًا كيف ستستقر مجموعة القواعد المنظفة على جهاز FortiGate الجديد: أي طراز، وأي منفذ فعلي يقابل أي منفذ قديم، وأي شبكات VLAN تنتمي إلى أي منطقة أمنية، وأي ملفات حماية ترتبط بأي قواعد. لا يبدأ التحويل قبل اكتمال التصميم.

يُختار الطراز وفق خصائص حركة المرور المستهدفة لا وفق حجم الجهاز الحالي. إذا كانت ميزات IPS أو فحص SSL أو تصفية الويب معطلة على الجهاز القديم وستُفعَّل على الجديد، فالمرجع هو القيم المقاسة مع تفعيل ملفات الحماية، لا قيمة إنتاجية جدار الحماية المعلنة في ورقة البيانات. نقارن خيارات الشركات الصغيرة والمتوسطة في مقال مقارنة FortiGate 40F و60F و70G و90G، ويمكنكم الاطلاع على إطار القرار العام في دليل اختيار جدار الحماية للشركات الصغيرة والمتوسطة. وتُعرض عائلة المنتجات كاملة في صفحة حلول FortiGate.

خريطة الواجهات وثيقة بسيطة لكنها حاسمة، وتؤكد عليها أيضًا أفضل ممارسات Fortinet للترحيل: فقد يقابل المنفذ port1 في الجهاز القديم المنفذ port2 في الجديد، ويُدرج في الجدول إلى جانب WAN وLAN منفذ الإدارة ووصلة HA ومنافذ DMZ.

الترحيل هو أنسب وقت لإعادة التفكير في تجزئة الشبكة. في البيئات ذات الشبكة المحلية المسطحة، يجعل فصل المستخدمين والخوادم وشبكة Wi-Fi للضيوف والطابعات وشبكات إنترنت الأشياء والكاميرات في شبكات VLAN ومناطق مستقلة قاعدة القواعد أوضح وأكثر صمودًا أمام برامج الفدية. غير أننا نوصي بعدم تغيير التجزئة وجدار الحماية في الليلة نفسها: يُنفَّذ الترحيل أولًا بالتجزئة الحالية، ثم تُفتح المناطق الجديدة تدريجيًا.

يجب أن يوثّق التصميم أيضًا القرارات التالية: هل تلزم الإتاحة العالية بجهاز ثانٍ وإعداد HA على FortiGate؛ وطريقة الوصول عن بُعد (إذا كان الإصدار المستهدف FortiOS 7.6 فيجب أن يكون إلغاء SSL VPN والانتقال إلى IPsec/ZTNA جزءًا من التصميم)؛ ووجهة السجلات (القرص المحلي أو syslog أو FortiAnalyzer)؛ وقيود الوصول الإداري.

FortiConverter أم التحويل اليدوي؟

FortiConverter أداة من Fortinet تترجم إعدادات جدران الحماية من جهات خارجية إلى صيغة FortiOS؛ ومع قاعدة قواعد كبيرة ومورّد مصدر مدعوم تختصر وقت التحويل بشكل ملحوظ. أما التحويل اليدوي فيعطي نتيجة أنظف عندما تكون القواعد قليلة أو المصدر غير مدعوم أو التصميم جديدًا بالكامل. وفي الحالتين يُراجع الناتج سطرًا بسطر.

وفقًا لصفحة المنتج لدى Fortinet، يدعم FortiConverter قائمة واسعة من المصادر تشمل Cisco وCisco Meraki وCheck Point وPalo Alto Networks وJuniper وForcepoint وSonicWall وSophos وWatchGuard وBarracuda وHuawei وMikroTik، وينقل إلى FortiOS إعدادات الواجهات وسياسات جدار الحماية وقواعد NAT وكائنات العناوين والمسارات الثابتة (Fortinet FortiConverter). وتشير وثائق Fortinet أيضًا إلى أن بعض أجزاء الإعدادات قد لا تُترجم بسبب الاعتماديات أو الصياغة غير المدعومة، وعندها يجب تحويلها يدويًا. تحققوا من الإصدارات المستهدفة المدعومة ونموذج الترخيص في وثائق Fortinet الحالية.

في مشاريعنا تقدم الأداة أكبر قيمة في كائنات العناوين والخدمات وقواعد القواعد الطويلة، بينما تتطلب أنفاق VPN وتكامل المصادقة وملفات الحماية والميزات الخاصة بمنصة المصدر أكبر قدر من العمل اليدوي.

إذا كان الجهاز المصدر FortiGate أصلًا (مثل طراز انتهى عمره يُستبدل بجهاز 70G أو 90G جديد)، فإن Fortinet توصي أيضًا باستخدام FortiConverter؛ وفي غياب الترخيص توثّق طريقة تعديل ملف الإعدادات وتحميله على الجهاز الجديد ثم مراجعة سجل الأخطاء بعد إعادة التشغيل بالأمر diagnose debug config-error-log read (Fortinet, Migrating a FortiGate configuration manually).

أيًا كانت الطريقة، نحمّل ناتج التحويل أولًا على الجهاز في بيئة الاختبار المتوازية، لا على بيئة الإنتاج مباشرة. ولخطوات الإعداد الأولى أثناء التركيب يُعد دليل تركيب FortiGate والإعداد الأولي مكمّلًا مفيدًا.

التشغيل المتوازي ومصفوفة الاختبار

التشغيل المتوازي هو التحقق من جهاز FortiGate الجديد بتشغيله إلى جانب جدار الحماية القديم على جزء من الحركة الحقيقية أو نسخة منها. الهدف تقليص المفاجآت التي تظهر لأول مرة ليلة التحويل إلى ما يقارب الصفر. تُبنى مصفوفة الاختبار من خريطة الاعتماديات في الجرد، ويُغلق كل سطر فيها بموافقة وحدة الأعمال المعنية.

عمليًا نستخدم ثلاثة مستويات من التشغيل المتوازي. الأول: يُركّب الجهاز الجديد على شبكة VLAN اختبارية منفصلة مع خط WAN مؤقت، وتخرج مجموعة مستخدمين تجريبية إلى الإنترنت عبره. الثاني: تُختبر الخدمات المنشورة عبر الجهاز الجديد على عنوان IP عام ثانٍ مؤقت. الثالث: تُقام أنفاق VPN بين المواقع من الجهاز الجديد باستخدام تعريف نفق ثانٍ في الطرف المقابل.

تتضمن مصفوفة الاختبار على الأقل ما يلي:

• الخروج إلى الإنترنت وحل أسماء DNS وسلوك تصفية الويب من كل شبكة VLAN للمستخدمين.
• الوصول الخارجي إلى كل خدمة منشورة (VIP / إعادة توجيه المنافذ) وصحة قيود عنوان المصدر.
• قيام أنفاق VPN بين المواقع وتطابق معاملات المرحلة الأولى والثانية وعمل تطبيقات الفروع.
• الوصول عن بُعد: المصادقة والتفويض حسب المجموعات وسلوك النفق المنقسم.
• تكامل LDAP/Active Directory وRADIUS، وتطابق القواعد القائمة على المستخدمين بشكل صحيح.
• DHCP وNTP وSNMP وإرسال السجلات، ووصول السجلات إلى FortiAnalyzer أو syslog.
• قيود الوصول الإداري والمصادقة متعددة العوامل لحسابات المسؤولين.
• إذا كان HA مخططًا له: الحفاظ على الجلسات عند تبديل العضو النشط.

تتيح أدوات البحث عن السياسة (policy lookup) والتقاط الحزم في FortiOS الإجابة عن سؤال «على أي قاعدة ستقع هذه الحزمة؟» قبل التحويل. تعود نتائج الاختبار إلى الإعدادات، وتُراجَع مرة أخرى في هذه المرحلة القواعد المنقولة التي ما زال عدادها صفرًا.

كيف تُدار نافذة التحويل؟

نافذة التحويل (cutover) هي فترة الصيانة المخططة التي تُنقل فيها حركة الإنتاج من جدار الحماية القديم إلى جهاز FortiGate الجديد. تُدار النافذة الناجحة بإجراء تشغيل مكتوب خطوة بخطوة (MOP)، ونسخ احتياطية مأخوذة مسبقًا ومتحقق منها، ونقاط تحقق go/no-go مرتبطة بالوقت، وصاحب قرار واحد. وتُفتح في الوقت الذي يكون فيه أثرها على الأعمال في أدنى مستوياته.

قبل فتح النافذة يجب استيفاء الشروط التالية:

1. أُخذت نسخ احتياطية كاملة لإعدادات الجهازين القديم والجديد، وجُرّبت الاستعادة من النسخة الاحتياطية مرة واحدة على الأقل.
2. أُبلغت وحدات الأعمال كتابيًا بموعد الانقطاع ومدته، وحُدد مسؤول تواصل للفروع وللموردين الخارجيين في الأطراف المقابلة لأنفاق VPN.
3. حُسمت المسائل لدى مزود الخدمة: عناوين IP الثابتة، والعقود المرتبطة بعنوان MAC، وذاكرة ARP المؤقتة في المودم أو الموجه؛ وإذا تغيّر عنوان IP العام خُفّضت قيم DNS TTL مسبقًا.
4. الكابلات موسومة، ونسخة مطبوعة من خريطة الواجهات موجودة على الطاولة.
5. خطة التراجع مكتوبة ومحفزاتها وصاحب القرار فيها محددون.

الإجراء نفسه قصير ومتسلسل: نسخة احتياطية أخيرة على الجهاز القديم، ونقل كابل WAN إلى الجهاز الجديد، ونقل وصلات LAN/VLAN، والتحقق من حالة الواجهات والتوجيه على الجهاز الجديد، واختبار الخدمات المنشورة من نقطة خارجية، وإقامة أنفاق VPN، وتنفيذ الأسطر الحرجة في مصفوفة الاختبار. يُكتب بجانب كل خطوة النتيجة المتوقعة والمدة التقديرية.

نضع نقاط go/no-go وفق الساعة: مثلًا الاتصال الأساسي وNAT عند الدقيقة 30 من النافذة، وVPN والمصادقة عند الدقيقة 60، وتطبيقات الأعمال عند الدقيقة 90. وإذا لم تُجتز نقطة تحقق في موعدها يبدأ صاحب القرار التراجع.

خطة التراجع والتحقق بعد الترحيل

خطة التراجع هي الإجراء المكتوب لإعادة بيئة الإنتاج إلى جدار الحماية القديم خلال مدة معروفة إذا فشل التحويل، وتكون محفزاتها وصاحب القرار وترتيب خطواتها محددة مسبقًا. أما التحقق بعد الترحيل فيثبت، عبر قوائم تحقق لـ 24 ساعة وأسبوع و30 يومًا، أن جهاز FortiGate الجديد يحمل جميع عمليات الأعمال كاملة.

يجب أن تكون محفزات التراجع ملموسة: «التطبيق الحرج X غير قابل للوصول عند نقطة التحقق»، «لم يقم نفق VPN للفرع خلال المدة المتفق عليها»، «الخدمة المنشورة لا تستجيب من الخارج». عند تحقق أحد المحفزات لا يفتح صاحب القرار نقاشًا، بل يبدأ الإجراء. ويُكتب الإجراء بترتيب عكسي: فصل الجهاز الجديد، وتشغيل الجهاز القديم، والتحقق من الواجهات والتوجيه، وإعادة إقامة أنفاق VPN، ثم تحقق سريع. إن التدرب على هذا التسلسل مرة واحدة على الأقل خلال التشغيل المتوازي يضمن ألا تبقى الخطة حبرًا على ورق.

في مشاريعنا يبقى الجهاز القديم موصولًا بالكابلات لكن مطفأً لمدة تتراوح بين أسبوعين وأربعة أسابيع، ولا يُفك قبل أن تمر خلال هذه الفترة العمليات قليلة التكرار مثل إقفال نهاية الشهر وصرف الرواتب والتقارير الدورية.

يجري التحقق على ثلاث موجات:

بعد اكتمال التحقق تُحفظ الإعدادات كخط أساس، ويُطبق إجراء لإدارة التغيير على قاعدة القواعد، ويُوضع جدول تدقيق منتظم. وللمؤسسات التي لا تستطيع مواصلة هذا العمل بفريقها الخاص، يشرح مقالنا عن خدمة جدار الحماية المُدارة نطاق الخدمة ومعايير القرار.

الأسئلة الشائعة

كم يستغرق ترحيل جدار الحماية؟

في شركة صغيرة أو متوسطة بموقع واحد يستغرق المشروع عادة من أربعة إلى ثمانية أسابيع من الجرد حتى نهاية التحقق، أما نافذة التحويل نفسها فتتراوح غالبًا بين ساعتين وأربع ساعات. ويحدد عدد الفروع والخدمات المنشورة وحجم قاعدة القواعد المدة مباشرة.

هل يحوّل FortiConverter كل علامات جدران الحماية؟

لا. وفقًا لصفحة منتج Fortinet تُدعم قائمة واسعة تشمل Cisco وCheck Point وPalo Alto Networks وJuniper وSonicWall وSophos وWatchGuard وForcepoint وBarracuda وHuawei وMikroTik؛ ويجب التحقق من المورّد والإصدار في وثائق Fortinet الحالية. أما المصادر غير المدعومة فتُحوَّل يدويًا.

لماذا يُعد نقل القواعد القديمة كما هي أمرًا خطرًا؟

تصل القواعد غير المستخدمة والمحجوبة والمكررة والأذونات المؤقتة المنسية إلى الجهاز الجديد دون تغيير. فلا يتقلص سطح الهجوم، وتبقى قاعدة القواعد غير مقروءة، وتُركَّب ملفات الحماية الجديدة فوق قواعد قديمة معيبة. الترحيل هو أقل اللحظات تكلفة للتنظيف.

هل سينقطع الإنترنت أثناء الترحيل؟

الانقطاع القصير خلال نافذة التحويل أمر لا مفر منه، لكنه في ترحيل مُعد بتشغيل متوازٍ يقتصر على نقل الكابلات وإعادة إقامة الأنفاق. تُفتح النافذة في الوقت الأقل تأثيرًا على الأعمال ويُعلن عنها لوحدات الأعمال مسبقًا.

متى يجب إيقاف جدار الحماية القديم؟

يُطفأ في نهاية التحويل لكنه لا يُفك. في مشاريعنا يبقى موصولًا وجاهزًا للتراجع من أسبوعين إلى أربعة أسابيع، حتى تمر العمليات قليلة التكرار مثل إقفال نهاية الشهر دون مشكلات، وتُحفظ نسخة إعداداته الاحتياطية دون حد زمني.

هل يلزم FortiConverter عند الانتقال من FortiGate إلى FortiGate أحدث؟

ليس إلزاميًا. توصي Fortinet بـ FortiConverter في هذه الحالة أيضًا، وفي غياب الترخيص توثّق تعديل ملف الإعدادات وتحميله على الجهاز الجديد ومراجعة سجل الأخطاء. أسماء المنافذ وفروق الإصدارات هي أبرز المخاطر، ويبقى تنظيف القواعد والتحقق ضروريين.

الخلاصة

الانتقال من جدار حماية قديم إلى FortiGate ليس مجرد استبدال جهاز، بل مشروع تُعاد فيه دراسة قاعدة القواعد واعتماديات الأعمال. يحدد الجرد وتحليل القواعد ما الذي يُنقل، ويحدد التصميم المستهدف إلى أين، ويحدد FortiConverter أو التحويل اليدوي كيف. يكشف التشغيل المتوازي المفاجآت قبل التحويل، وتزيل خطة التراجع المكتوبة ضغط القرار في تلك الليلة، ويثبت التحقق على مدى 30 يومًا أن العمل انتهى فعلًا.

تقدم Sora Yazılım، بصفتها شريك حلول مستقلًا، توريد أجهزة FortiGate وتخطيط الترحيل والتركيب والخدمة المُدارة بعد ذلك. إذا رغبتم في إعداد جرد جدار الحماية الحالي معًا والحصول على عرض لخطة الترحيل، يمكنكم طلب جلسة استكشافية مجانية.