۱۵ اشتباه رایج اکتیو کار شبکه و روش‌های پیشگیری

۱) اشتباهات آدرس‌دهی IP و Subnetting

علائم: تداخل IP، ARP Conflict، دسترسی‌های غیرمنتظره.

ریشه مشکل: Subnetting نادرست، هم‌پوشانی Subnetها، استفاده از ماسک اشتباه.

پیشگیری:

• طرح آدرس‌دهی سلسله‌مراتبی (per-site/per-floor) و رزرو رنج‌ها.
• استفاده از ابزارهای اعتبارسنجی (IP calculators) و تست قبل از انتشار.
• جداسازی رنج‌های کاربری، سروری و تجهیزات.

نکتهٔ عملی: برای VLANهای حیاتی، Gateway را در آدرس‌های ثابت و مستند قرار دهید و الگوی ثابتی برای .1 یا .254 انتخاب کنید.

۲) IPAM و مستندسازی ناقص

علائم: ناهماهنگی رزروها، عدم آگاهی از مالکیت IP، تاخیر در عیب‌یابی.

پیشگیری:

• استفاده از IPAM سازمانی با نقش‌ها، گردش‌کار و API.
• مستندسازی مالک IP، Purpose، تاریخ تغییر و Change ID.
• اجرای Discovery دوره‌ای (SNMP/NetConf/REST) و همسان‌سازی با CMDB.

۳) پیکربندی اشتباه DHCP

علائم: آدرس‌گیری اشتباه، Lease Conflict، Delay در Login.

پیشگیری:

• تعریف دقیق Scope به‌ازای هر VLAN و مستندسازی Optionها (3, 6, 15, 42…).
• فعال‌سازی DHCP Snooping روی سوئیچ‌های اکسس و تعریف Trusted Ports.
• High Availability برای DHCP (Failover/Relay) و گزارش‌گیری از Eventها.

۴) طراحی نادرست VLAN و Native VLAN ناامن

علائم: ترافیک ناخواسته بین بخش‌ها، حملات VLAN Hopping.

پیشگیری:

• تعیین VLANهای تابع نقش (کاربر، سرور، VoIP، پرینتر) و حداقل‌گرایی در تعداد.
• تنظیم Native VLAN غیرپیش‌فرض و جداسازی کامل ترافیک مدیریت.
• تعریف Allowed VLANs در Trunkها؛ پرهیز از Allow=All.

۵) پیکربندی نادرست STP و انتخاب Root

علائم: نوسان مسیر، Blocking غیرمنتظره، Loop مقطعی.

پیشگیری:

• تعیین دستی Root Primary/Secondary بر اساس هسته شبکه.
• استفاده از Rapid STP (RSTP/MST) در لایه اکسس.
• تنظیم Bridge Priority و سازگاری نسخه‌ها در چندسازنده.

۶) PortFast/BPDU Guard روی اکسس پورت‌ها

اشتباه رایج: فراموشی PortFast برای کلاینت‌ها یا فعال‌سازی آن روی Trunk.

پیشگیری:

• اکسس پورت‌ها: PortFast + BPDU Guard.
• Trunkها: BPDU Guard غیرفعال، استفاده از BPDU Filter با احتیاط.
• اعمال قالب پیکربندی در سوئیچ‌پروفایل‌ها برای کاهش خطای انسانی.

۷) ERR-DISABLE و دلایل پرتکرار

علائم: غیرفعال شدن خودکار پورت.

دلایل رایج: BPDU Guard، Port-Security، UDLD، Link-Flap، Unidirectional Link.

پیشگیری:

• فعال‌سازی Auto-Recovery با تایمر منطقی.
• لاگ‌گیری Syslog و Trap برای تشخیص علت.
• آزمون کابل، ماژول و هماهنگی سرعت/دوبلکس.

۸) فراموشی Storm Control

: افزایش Broadcast/Multicast، اشباع CPU سوئیچ.

پیشگیری:

• تعریف آستانه Broadcast/Multicast/Unknown-Unicast برحسب درصد.
• مانیتورینگ دوره‌ای و تنظیم آستانه متفاوت برای لینک‌های حیاتی.
• ترکیب با IGMP Snooping برای کنترل Multicast.

۹) Trunk اشتباه و Allowed VLANs

اشتباه: باز گذاشتن همه VLANها روی تمام Trunkها.

پیشگیری:

• Prune دقیق VLANها به‌تناسب مسیر.
• تطابق Native VLAN دو سر لینک.
• بررسی DTP و ترجیح دستوری بودن حالت Trunk (on) یا 802.1Q ثابت.

۱۰) Inter-VLAN Routing و SVIهای بی‌حفاظ

علائم: دسترسی ناخواسته بین بخش‌ها، حمله به Gateway.

پیشگیری:

• ACL نزدیک به SVI، تفکیک دقیق East-West.
• Control-Plane Policing برای SVIهای هسته.
• نظارت بر ARP/ND و فعال‌سازی ARP Inspection در اکسس.

 ۱۱) پیکربندی غلط OSPF و مناطق

علائم: نوسان همگرایی، LSDB ناهماهنگ، مسیرهای پیش‌فرض ناخواسته.

پیشگیری:

• طراحی Area سلسله‌مراتبی (Backbone Area 0، و Areaهای Summarized).
• Summarization روی ABR/ASBR و جلوگیری از Flood اضافی.
• همخوانی Hello/Dead Timers، نوع شبکه و Authentication.
• پرهیز از Areaهای بیش‌ازحد و کاندیدکردن لینک‌های ناپایدار به Stub/Totally Stub.

۱۲) MTU/MSS و Fragmentation پنهان

علائم: کندی عجیب روی لینک‌های خاص، Fail شدن TLS/PMTUD.

پیشگیری:

• هماهنگی MTU انتها به انتها؛ ثبت در مستندات تغییر.
• فعال‌سازی/بررسی PMTUD و تنظیم TCP MSS روی لبه‌ها (VPN/PPPoE/MPLS).

۱۳) افزونگی بدون سناریوهای Failure

اشتباه: داشتن لینک/دستگاه پشتیبان بدون تست سناریوهای قطع.

پیشگیری:

• اجرای Game Day‌های منظم و شبیه‌سازی Failover.
• هماهنگی Timers/Tracking در FHRPها (HSRP/VRRP) و مسیرهای جایگزین.
• ثبت نتایج و به‌روزرسانی Runbook.

 ۱۴) مانیتورینگ و لاگینگ ناکافی

اشتباه: اتکا به مانیتورینگ Up/Down و نبود دید ترافیک.

پیشگیری:

• Telemetry/Flow (NetFlow/IPFIX), SNMPv3, Syslog با طبقه‌بندی.
• داشبورد SLO/SLI و Alert بر پایه علائم عملکردی (Latency/Loss/Jitter).
• نگهداری لاگ‌های امنیتی و دسترسی با Retention مشخص.

۱۵) نبود Change/Rollback و تست قبل از اجرا

اشتباه: تغییر مستقیم روی تولید بدون Peer Review یا Plan Rollback.

پیشگیری:

• Change Management با استاندارد RFC/ITIL: هدف، محدوده، ریسک، طرح بازگشت.
• Peer Review، Pre-Check/Post-Check و Maintenance Window.
• استفاده از Lab/Emulator (GNS3/EVE-NG) برای تست سناریو.

سوالات متداول