ما هو FortiSwitch؟ دليل اختيار المبدّلات المُدارة عبر FortiLink

FortiSwitch هي عائلة المبدّلات (Switches) المُدارة المؤسسية من Fortinet، تتصل بجدار الحماية FortiGate عبر بروتوكول FortiLink وتعمل كامتداد منطقي له. تُدار شبكات VLAN والمنافذ وتغذية PoE وسياسات الوصول من واجهة FortiGate دون وحدة تحكم منفصلة، ويُختار الطراز وفق عدد المنافذ وميزانية PoE وسرعة الوصلة الصاعدة وسعة الإدارة لدى FortiGate القائم.

ما هو FortiSwitch وما الفرق بينه وبين المبدّل المُدار التقليدي؟

FortiSwitch هي عائلة مبدّلات الوصول والحرم الجامعي (Campus) من Fortinet. والفرق الجوهري عن المبدّل المُدار التقليدي أنه حين يتصل بجهاز FortiGate عبر FortiLink لا يبقى جهاز شبكة مستقلًا، بل يصبح جزءًا من محرك السياسات في جدار الحماية. وبذلك تخضع طبقة الوصول السلكية للرؤية والرقابة نفسيهما المطبّقتين على محيط الشبكة.

في التصميم التقليدي يكون للمبدّل نظام تشغيل خاص وعنوان IP إداري خاص وحسابات مستخدمين وروتين نسخ احتياطي خاص به. أما جدار الحماية فلا يعرف أي جهاز موصول بأي منفذ، ولا يرى إلا الحركة التي تصل إليه. يزيل FortiSwitch هذه الفجوة: تتجمع معلومات المنافذ وشبكات VLAN وPoE والمصادقة في FortiGate، وينزل سياق المستخدم والتطبيق والتهديد الذي يعالجه جدار الحماية FortiGate مباشرة إلى منفذ الوصول.

تضم المحفظة سلسلتين رئيسيتين. سلسلة Secure Access (مثل 108F و124F و148F و124G) توفر حتى 48 منفذ وصول في هيكل بارتفاع وحدة واحدة (1U) ووصلات صاعدة حتى 10GE، وتستهدف الفروع وخزائن الطوابق. أما سلسلة Secure Campus (مثل 500 و600 و1000 وT1000) فتوفر وصلات صاعدة حتى 100GE وميزانية PoE مرتفعة لطبقتي التوزيع والنواة في الشبكات الكبيرة. يركّز هذا الدليل على سلسلة Secure Access التي تدرسها غالبًا الشركات الصغيرة والمتوسطة، ويمكنكم الاطلاع على نظرة عامة على العائلة في صفحة حلول FortiSwitch.

يعمل FortiSwitch في ثلاثة أوضاع إدارة: FortiLink (عبر FortiGate)، والوضع المستقل (Standalone، إدارة تقليدية للمبدّل)، وFortiEdge Cloud (إدارة سحابية لمواقع متعددة). إذا كان في الشبكة جهاز FortiGate فإن FortiLink هو الخيار الافتراضي، وبقية هذا الدليل تنطلق من هذا السيناريو.

كيف يعمل FortiLink وماذا تضيف الإدارة من لوحة واحدة؟

FortiLink هو البروتوكول الذي يربط FortiSwitch بمستوى الإدارة في FortiGate. يُكتشف المبدّل الموصول بواجهة FortiLink ويُفوَّض تلقائيًا، ثم يجري تعريف شبكات VLAN وتخصيص المنافذ وتشغيل PoE وإيقافه وإعداد وصلات Trunk وتحديث البرنامج الثابت من واجهة FortiGate. لا حاجة إلى وحدة تحكم منفصلة أو نسخة احتياطية منفصلة للإعدادات أو خبرة منفصلة في سطر الأوامر.

المكسب لا يقتصر على «وحدة تحكم أقل». فلأن سياسة الأمان وإعدادات الشبكة تُعرَّف في مكان واحد، لا يتطلب عزل مجموعة مستخدمين أو نقل فئة أجهزة إلى قطاع آخر تنسيقًا بين فريقين. وفي خبرتنا الميدانية يخفف ذلك عبء التشغيل بوضوح لدى الشركات التي يتكون فريق تقنية المعلومات فيها من شخص أو شخصين؛ فسجل تغييرات المبدّلات متاح أصلًا في سجل أحداث FortiGate.

تتدرج طوبولوجيا FortiLink من مبدّل واحد إلى بنى متعددة الطبقات. يمكن ربط المبدّلات بشكل سلسلة أو نجمة، وفي البيئات التي تتطلب إتاحة عالية يشكّل مبدّلان من FortiSwitch زوج MCLAG وتتصل مبدّلات الطبقة الأدنى بهذا الزوج بوصلتين صاعدتين. ووفق وثائق Fortinet تتطلب طوبولوجيا FortiLink MCLAG ثلاثية الطبقات الإصدار FortiOS 6.2.3 وFortiSwitchOS 6.2.3 أو أحدث (دليل Fortinet FortiLink، طوبولوجيا MCLAG).

إذا كان FortiGate نفسه يعمل ضمن زوج إتاحة عالية (HA) فإن FortiLink يتصل بهذا الزوج، وعند تعطل الجهاز الأساسي تنتقل إدارة المبدّلات إلى الجهاز الاحتياطي. لذلك ينبغي التفكير في طبقة الوصول ضمن نطاق تخطيط الإتاحة العالية لجدار الحماية نفسه، وتجدون التفاصيل في دليل إعداد الإتاحة العالية في FortiGate.

كم مبدّل FortiSwitch يستطيع كل طراز FortiGate إدارته؟

عدد مبدّلات FortiSwitch التي يديرها FortiGate واحد يتراوح بين 8 و300 حسب الطراز (ورقة بيانات Fortinet FortiSwitch Secure Access، 2026). يدير FortiGate 40F ثمانية مبدّلات، و60F/70G/80F/90G أربعة وعشرين، و100F اثنين وثلاثين، و120G ثمانية وأربعين، و200F أربعة وستين، و400F ستة وتسعين، و600F مئة وثمانية وعشرين، و900G مئة وستة وتسعين، ونسخ FortiGate-VM عالية السعة ثلاثمئة. هذه حدود قصوى، ويجب ترك هامش للنمو.

يعرض الجدول التالي الحدود القصوى المؤكدة من أوراق البيانات الرسمية لطرازات FortiGate ونوع واجهة FortiLink. ولا تنسوا أن جهاز FortiGate نفسه يدير في الوقت ذاته نقاط الوصول FortiAP، لذا تُقيَّم السعتان معًا.

يخرج من الجدول استنتاجان عمليان. الأول أن واجهة FortiLink في الطرازات المبتدئة (40F حتى 90G) هي منفذ RJ45 بسرعة 1 جيجابت، وفي التصاميم التي تمر فيها حركة طبقة الوصول كلها عبر جدار الحماية قد يصبح هذا الاتصال عنق زجاجة؛ بينما ترفع منافذ 10GE SFP+ في 100F و120G و200F هذا القيد. والثاني أن الحدود القصوى في 120G و400F و600F و900G مذكورة للإصدار FortiOS 7.6.1 وما بعده؛ فجهاز 120G على إصدار أقدم يدير 32 مبدّلًا لا 48. لذلك لا يُحسب تخطيط السعة دون خطة لترقية البرنامج.

لمعرفة أي FortiGate يناسب أي مكتب بالتفصيل، راجعوا مقارنتنا بين FortiGate 40F و60F و70G و90G، وللإطار العام لاختيار جدار الحماية راجعوا دليل اختيار جدار الحماية للشركات الصغيرة والمتوسطة. وتجدون عائلة الطرازات كاملة في صفحة حلول FortiGate.

كيف تُحسب كثافة المنافذ وميزانية PoE؟

ميزانية PoE تتحدد باختيار رمز المنتج لا باسم الطراز؛ ففي كل سلسلة توجد إصدارات بلا PoE، وبتغذية جزئية (-POE)، وبتغذية كاملة (-FPOE)، وتنشر Fortinet لكل SKU قيمة مستقلة باسم «PoE Power Budget». والطريقة الصحيحة هي جمع الاستهلاك الفعلي لقائمة الأجهزة الحقيقية (نقاط الوصول والهواتف والكاميرات وأجهزة إنترنت الأشياء) مع هامش للنمو، لا افتراض امتلاء جميع المنافذ.

لكثافة المنافذ ثلاثة مدخلات: عدد المنافذ لكل مستخدم، وقائمة الأجهزة التي تُغذّى بتقنية PoE، وسعة الوصلة الصاعدة. يوفر FS-108F ثمانية منافذ مع وصلتين 2x GE SFP، وFS-124F أربعة وعشرين منفذًا مع 4x 10GE SFP+، وFS-148F ثمانية وأربعين منفذًا مع 4x 10GE SFP+. المبدّل الواحد ذو 48 منفذًا يوفّر المساحة في الخزانة، لكن تعطله يوقف الطابق كله؛ وفي الطوابق التي لا تحتمل الانقطاع يكون مبدّلان بـ 24 منفذًا مع وصلات صاعدة عبر مسارات مستقلة خيارًا أكثر أمانًا.

القيم هي أقصى قدرة PoE الواردة في أوراق بيانات Fortinet لسلسلتي FortiSwitch Secure Access وSecure Campus (2026)، ولا تعني أن جميع المنافذ ستحصل على القدرة القصوى في وقت واحد. وفي الرموز ذات التغذية الجزئية (-POE) تقتصر التغذية على جزء من المنافذ: أول 12 منفذًا في FS-124F-POE وأول 24 منفذًا في FS-148F-POE. ويستحق FS-548D-FPOE الانتباه: فمزود الطاقة الثاني لا يشتري تحمّل الأعطال فقط بل ميزانية PoE قابلة للاستخدام أيضًا، والتصميم المحسوب بمزود واحد قد يصطدم بالحد أثناء التشغيل.

ويحدد معيار PoE الاختيار أيضًا. يوفر 802.3af/at (PoE/PoE+) حتى 30 واط لكل منفذ، وهذا يكفي هواتف IP والكاميرات الثابتة ونقاط الوصول من فئة 802.3at. أما 802.3bt (PoE++) فيوفر حتى 90 واط لكل منفذ؛ ويتطلب الطرازان الرائدان من Fortinet بمعيار Wi-Fi 7، FAP-441K وFAP-443K، منفذ 10 Gigabit Ethernet وتغذية 802.3bt (ورقة بيانات Fortinet FortiAP Series، 2026). يظهر المتطلبان معًا على جانب المبدّل: منفذ 802.3bt وسرعة وصول تتجاوز 1 جيجابت. فصّلنا الجانب اللاسلكي في دليل اختيار FortiAP وشبكات Wi-Fi المؤسسية، وعند تصميم نقاط الوصول FortiAP مع FortiSwitch معًا يُحسب البندان في حساب واحد.

معايير اختيار FortiSwitch: قائمة تحقق من 7 بنود

اختيار FortiSwitch يتضح بالإجابة عن سبعة أسئلة: سعة الإدارة لدى FortiGate القائم وسرعة واجهة FortiLink، وعدد المنافذ المطلوب، وقائمة أجهزة PoE ومعيارها، وسرعة الوصلة الصاعدة، والحاجة إلى التكرار، ووضع الإدارة، ومدة الدعم. تمنع هذه القائمة اختيار SKU خاطئ في مرحلة العرض، وتمنع المفاجآت أثناء التشغيل.

المعياران الرابع والخامس مترابطان. التصميم الذي ينظر إلى ميزانية PoE وحدها ويتجاهل سرعة المنافذ لا يحقق عائد الاستثمار في Wi-Fi 7، والتصميم الذي ينظر إلى السرعة وحدها يترك نقاط الوصول في وضع القدرة المنخفضة. في مشاريعنا نجمع البندين في جدول واحد، جهازًا بجهاز.

وكثيرًا ما يُهمل المعيار السابع. تُورَّد أجهزة FortiSwitch مع عقد دعم FortiCare؛ وعند انتهائه يستمر المبدّل في العمل لكن تتوقف تحديثات FortiSwitchOS وحق الاستبدال. وبما أن عمر المبدّل غالبًا أطول من عمر جدار الحماية، فإن مواءمة مدة الدعم مع دورة ترخيص FortiGate تجمع التجديدات في تاريخ واحد.

التقسيم والتحكم في الوصول على طبقة الوصول

تكامل FortiLink يجلب أربع قدرات تصفها ورقة بيانات Fortinet بأنها NAC أساسي دون تكلفة إضافية: تصنيف الأجهزة، والتقسيم التلقائي لأجهزة إنترنت الأشياء، وعزل المنفذ عند المخالفة، والترقيع الافتراضي للأجهزة التي لا يمكن تحديثها. تعمل هذه القدرات امتدادًا لسياسات FortiGate دون خادم NAC منفصل أو وحدة تحكم إضافية أو عبء تشغيلي جديد.

ما يحدّ من انتشار البرمجيات الخبيثة التي تصيب جهازًا طرفيًا عبر الشبكة المحلية ليس جدار الحماية المحيطي، بل التقسيم المطبّق على المبدّل الذي يتصل به منفذ المستخدم. فعندما تتعرف عملية التصنيف على الطابعات وكاميرات IP ولوحات التحكم في الدخول وهواتف IP وتضعها تلقائيًا في قطاعاتها، لا تبقى في نطاق البث نفسه مع المستخدمين. والجهاز الذي يخالف السياسة يُعزل على منفذه مباشرة دون انتظار مهندس يذهب إلى الخزانة ليفصل الكابل.

وفي جانب المصادقة يدعم FortiSwitch، وفق ورقة البيانات، معيار 802.1X القائم على المنفذ وعلى عنوان MAC، وطريقة MAC Access Bypass (MAB)، والتخصيص الديناميكي لشبكات VLAN عبر سمات RADIUS (RFC 4675)، وRADIUS CoA. ويمكن أن يكون مصدر الهوية بنية RADIUS/NPS القائمة أو FortiAuthenticator. والتمييز المهم هنا أن أتمتة أمان المنافذ في FortiLink NAC لا تشترط 802.1X؛ فيمكن للمؤسسات أن تبدأ بالتقسيم القائم على التصنيف ثم تفعّل 802.1X لاحقًا، أولًا في وضع المراقبة ثم في وضع الإلزام.

من الأخطاء الشائعة الظن بأن زيادة عدد شبكات VLAN هي التقسيم. ما يفصل القطاعات ليس وسم VLAN بل التحكم في الحركة بينها؛ ومع FortiLink تمر الحركة بين القطاعات عبر السياسات وملفات الأمان نفسها المطبقة على حركة المحيط. أما في جانب الامتثال فيجب إثبات أي جهاز في أي قطاع وكيف تُراقب الحركة بين القطاعات من خلال السجلات، وهذه الطبقة يوفرها FortiAnalyzer. وننصح بالتحقق من التشريعات السارية والأدلة الرسمية في ما يخص التزامات حماية البيانات.

كيف تسير عملية التوريد والتركيب؟

توريد FortiSwitch وتركيبه يمران بخمس خطوات: جرد الأجهزة ورسم الطوبولوجيا، وتصميم نموذج التقسيم المستهدف على FortiGate، واختيار SKU وإعداد العرض، وتشغيل طابق تجريبي عبر FortiLink، ثم نقل بقية الطوابق تدريجيًا بعد التحقق. إنه ليس عملية استبدال كل المبدّلات في عطلة نهاية أسبوع، بل مشروع مرحلي يتقدم طابقًا بعد طابق.

1. الجرد. في هذه المرحلة تظهر عادة مبدّلات غير مسجلة وشبكات VLAN غير موثقة وأجهزة إنترنت أشياء مجهولة المالك. نتعامل مع الجرد بوصفه أول مخرجات المشروع لا إجراءً شكليًا، فنموذج التقسيم لا يُبنى إلا على بيانات دقيقة، وهنا أيضًا تُستخرج قائمة أجهزة PoE.

2. التصميم. تُحدد خطة VLAN والقطاعات المستهدفة، وطوبولوجيا FortiLink (مبدّل واحد، سلسلة، MCLAG)، ومسارات الوصلات الصاعدة، ومراحل تفعيل 802.1X. ويُتحقق من سعة FortiGate الحالي وإصدار FortiOS، ويُضم تحديث جدار الحماية إلى المشروع عند الحاجة.

3. اختيار SKU والعرض. يُحسم عدد المنافذ وفئة PoE ونوع الوصلة الصاعدة ومدة FortiCare؛ فهذه هي البنود التي تحدد التكلفة، ولذلك يُعد العرض خصيصًا لكل مشروع. وتُراجع ورقة البيانات الرسمية الحالية للرمز المختار في كل مشروع (ورقة بيانات Fortinet FortiSwitch Secure Access).

4. الطابق التجريبي. يُختار طابق كثافة مستخدميه تمثيلية ولا يضم عملية أعمال حرجة. وتشمل قائمة التحقق اكتشاف FortiLink والتفويض، وتخصيص VLAN وTrunk، وعودة أجهزة PoE بعد إعادة التشغيل، وأولوية الحركة الصوتية، ومسار 802.1X، والتحويل إلى الوصلة الصاعدة الاحتياطية. ويرشدكم دليل تركيب FortiGate وإعداده الأولي في التحضير على جانب جدار الحماية.

5. النقل التدريجي والتسليم. تُنقل بقية الطوابق بالترتيب مع خطة تراجع محددة مسبقًا. وعند الإغلاق تُسلَّم وثيقة الإعدادات وخريطة المنافذ والأجهزة وجدول الدعم.

ليست الشبكة المحلية أحادية العلامة التجارية الخيار الصحيح في كل بيئة. ففي المشاريع التي تكون فيها الميزانية حاسمة أو يُطلب فيها أساسًا كثافة المنافذ، ندرس بدائل مثل عائلة مبدّلات Ruijie RG-NBS المؤسسية. أما إذا كانت بنية الأمان مبنية حول FortiGate ومطلوبة وحدة السياسات على طبقة الوصول، فعائد FortiSwitch مرتفع.

الأسئلة الشائعة

هل يحتاج FortiSwitch إلى ترخيص منفصل؟

لا يلزم ترخيص منفصل لإدارة FortiLink وقدرات NAC الأساسية، فهي جزء من وحدة التحكم بالمبدّلات في FortiGate. تُورَّد الأجهزة مع عقد FortiCare الذي يغطي التحديثات والدعم الفني والاستبدال. وعند انتهائه يستمر المبدّل في العمل لكن ينتهي حق التحديث والاستبدال.

ما الفرق بين وضع FortiLink والوضع المستقل؟

في وضع FortiLink يخضع المبدّل لسيطرة FortiGate، وتُدار شبكات VLAN والمنافذ وPoE وسياسات الوصول من واجهته مع تفعيل NAC الأساسي. أما في الوضع المستقل فيُعدّ المبدّل من واجهته الخاصة كأي مبدّل مُدار. ويُختار الوضع المستقل إذا لم يوجد FortiGate أو كان المبدّل خلف جدار حماية آخر.

كم مبدّل FortiSwitch يستطيع FortiGate 60F إدارته؟

وفق ورقة بيانات Fortinet يدير FortiGate 60F حتى 24 مبدّل FortiSwitch و64 نقطة FortiAP (منها 32 في وضع النفق)، وواجهة FortiLink فيه 2x GE RJ45. هذا حد أقصى؛ ولأن 60F يؤدي في الوقت نفسه الفحص الأمني وإنهاء اتصالات VPN، يجب ترك هامش للنمو.

هل تقنية PoE++ إلزامية لنقاط الوصول بمعيار Wi-Fi 7؟

يتطلب الطرازان الرائدان من Fortinet بمعيار Wi-Fi 7، FAP-441K وFAP-443K، منفذ 10 Gigabit Ethernet وتغذية 802.3bt، فلا يكفيهما منفذ بقدرة 30 واط. وفي بقية محفظة FortiAP تختلف الحاجة حسب الطراز بين 802.3at و802.3bt، لذا تُراجع فئة PoE في ورقة بيانات كل طراز.

مبدّل واحد بـ 48 منفذًا أم مبدّلان بـ 24 منفذًا؟

المبدّل الواحد بـ 48 منفذًا فعّال من حيث المساحة والإدارة، لكن عطلًا واحدًا يعني انقطاع الطابق كله. وتدخل ميزانية PoE في القرار أيضًا: يوفر FS-124F-FPOE قدرة 370 واط وFS-148F-FPOE قدرة 740 واط. وفي الطوابق التي لا تحتمل الانقطاع يكون التوزيع على جهازين ووصلات مستقلة أكثر أمانًا.

كم يستغرق الانتقال من مبدّلات Cisco أو HPE؟

تعتمد المدة على عدد خزائن الطوابق ومدى توثيق الشبكة الحالية؛ فالعامل الحاسم ليس استبدال المبدّلات بل الجرد وتصميم التقسيم. ندير المشروع في أربع مراحل: الجرد، والنموذج المستهدف، والطابق التجريبي، والنقل التدريجي، مع خطة تراجع محددة مسبقًا لكل مرحلة.

كيف تتحدد تكلفة FortiSwitch؟

تحدد التكلفة عوامل عدد المنافذ، وفئة PoE (بلا PoE أو -POE أو -FPOE)، ونوع الوصلة الصاعدة، والسلسلة (Secure Access أو Secure Campus)، ومدة دعم FortiCare. ولأن هذه البنود تختلف من مشروع لآخر لا ننشر مبالغ ثابتة، بل نعد عرضًا يتضمن اقتراح الطرازات وحساب PoE بناءً على قائمة أجهزتكم.

الخلاصة

في بنية أمان تتمحور حول FortiGate، يربط FortiSwitch طبقة الوصول بمجموعة السياسات نفسها المطبقة على المحيط: واجهة واحدة، وNAC أساسي دون ترخيص إضافي، وتقسيم على مستوى المنفذ. ويمكن اختزال قرار الاختيار في أربعة أرقام: عدد المبدّلات التي يستطيع FortiGate القائم إدارتها، وعدد المنافذ المطلوب لكل طابق، وميزانية PoE المستخرجة من قائمة الأجهزة الفعلية، وسرعة الوصلة الصاعدة. وحين تُحسب هذه الأرقام الأربعة بدقة يتضح اختيار SKU تلقائيًا.

لنحدد معًا عدد المبدّلات التي تحتاجونها، وكيف تبدو ميزانية PoE وفق قائمة أجهزتكم الحقيقية، وكم مبدّلًا يستطيع FortiGate الحالي لديكم إدارته. شاركونا الطوبولوجيا الحالية وجرد الأجهزة، وسنعد وثيقة تصميم وعرضًا يتضمنان نموذج التقسيم واقتراح الطرازات وخطة الانتقال. يمكنكم طلب جلسة استكشافية مجانية عبر صفحة التواصل.