قرار معماري
سحابي أم داخل المنشأة أم هجين: مقارنة معماريات الحماية من DDoS بالتكلفة والزمن والسيادة
آخر تحديث: أغسطس 2026 · ثلاث معماريات في مقارنة واحدة · زمن القراءة ~14 دقيقة
اختر التنظيف السحابي إن كان تعرّضك حجمياً وحركتك غير منظَّمة ولا تستطيع الاستثمار في العتاد. واختر جهازاً داخل المنشأة إن كان زمن الاستجابة مهماً، أو كان تهديدك الحقيقي على طبقة التطبيقات، أو كان التنظيم يجعل الفحص خارج الحدود مشكلة امتثال. واختر الهجين إن كنت تحتاج الاثنين، وهذا حال أكثر المؤسسات. القرار ليس عن أي الطبقتين أقوى، بل عن مكان السقف وعن القانون الذي يحكم الفحص.
ثلاث معماريات، وقرار واحد. المقارنات المنشورة تميل إلى تقديمها كسلّم من الأضعف إلى الأقوى، وهذا تشويه: كل واحدة منها تفشل في مكان مختلف، والاختيار الصحيح تابع لأي فشل تحتمله.
زمن الاستجابة: ما الذي يشتريه «الدائم» فعلاً
التنظيف السحابي عند الطلب يحتاج إلى أربع خطوات قبل أن يبدأ عمله: كشف، ثم قرار، ثم إعلان، ثم تقارب BGP. كل خطوة تستغرق وقتاً حقيقياً، والمجموع دقائق لا ثوانٍ.
الجهاز الدائم على المسار لا يمرّ بأي من الخطوات الأربع، لأنه في المسار أصلاً. والأنماط السحابية الدائمة تلغي الفجوة أيضاً، لكنها تنقل الحركة النظيفة كلها عبر شبكة المزوّد طوال الوقت، فتضيف رحلة ذهاب وإياب في الوضع الطبيعي وتلغي اقتصاديات الدفع عند الحاجة.
السعة: السقف الذي لا يلتفّ عليه أحد
هذه أقصر فقرة في الدليل وأهمها.
وصلة الوصول لديك سقف صلب. فوقه لا معنى لسعة الجهاز، لأن الحركة لا تصل إليه. وأي مؤسسة يشمل تعرّضها هجمات حجمية تحتاج إلى ترتيب في الطبقة العليا، مهما كان جهازها.
الكشف: ما الذي تراه كل طبقة وما لا تراه
الطبقة السحابية ترى حجماً هائلاً من الحركة عبر عملاء كثيرين، وهذه ميزة حقيقية في التعرّف على أنماط عامة. لكنها ترى تطبيقك من الخارج فقط، وعمقها على الطبقة السابعة مشروط بإنهائها اتصال TLS.
الجهاز المحلي يرى أقلّ من العالم وأكثر منك: خطّ أساس مبني على حركتك أنت، وحالة جلسة كاملة، وسلوك تطبيقاتك في ساعات ذروتها. وهذا هو الفرق الذي يظهر في الإيجابيات الكاذبة، وهي التكلفة الحقيقية لأي تخفيف على طبقة التطبيقات.
السيادة: أي قانون يحكم الفحص
هنا يخرج القرار من يد فريق الشبكة. طبقة التنظيف تعالج بيانات شخصية بحكم عملها، وحيث تقع المعالجة خارج البلد ينشأ سؤال نقل عابر للحدود. تفصيل ذلك في دليل توطين البيانات في الخليج، وخلاصته أن الطبقة داخل البلد لا تجيب عن السؤال بل ترفعه.
التكلفة: شكل خمس سنوات لا الفاتورة الأولى
الطبقة السحابية نفقة تشغيلية تتبع نطاقك النظيف وحجم الهجمات، وتنمو مع نموّك. والجهاز نفقة رأسمالية مع تجديد دعم، ثابتة ومتوقّعة، ومرتفعة في السنة الأولى.
المقارنة على السنة الأولى تُخرج الجهاز خاسراً دائماً، والمقارنة على خمس سنوات تقلب الترتيب في كثير من الحالات. وهناك بنود تتحرك ولا تظهر في أي عرض، تناولها دليل التكلفة الإجمالية.
متى تكون كل معمارية الجواب الصحيح
سحابي فقط: خدمة عامة بلا بيانات منظَّمة، وتعرّض حجمي أساساً، وفريق صغير، وحاجة إلى جواب هذا الأسبوع. الجواب مشروع تماماً، وهو أفضل من تصميم مثالي بعد سنة.
داخل المنشأة فقط: حركة داخلية أو محدودة الانكشاف، وقيود توطين صارمة، وتعرّض حجمي منخفض واقعياً. نادر لكنه موجود.
هجين يبدأ من الداخل: كل ما عدا ذلك تقريباً. الفحص محلي افتراضياً، والطبقة العليا استثناء مُتمرَّن فوق عتبة قِستها على وصلتك.
تصميم هجين يعمل فعلاً
أربعة أشياء تفرّق بين هجين حقيقي وهجين على الورق:
- عتبة مقيسة، لا منقولة عن قالب. اقرأ استهلاك وصلتك في أسبوع عادي أولاً.
- صلاحية محدّدة مسبقاً للتحويل: من يقرّر، وعلى أي شرط، وخلال كم، ومتى يُراجَع.
- تمرين مجدول يجريه فريقك لا المورّد، مع قياس زمن القرار حتى التخفيف على شبكتك أنت.
- موقف نقل مكتوب لنافذة التحويل، قبل الحادثة لا أثناءها.
| الجهاز | تنظيف سحابي | جهاز داخل المنشأة | هجين |
|---|---|---|---|
| سقف السعة | الشبكة الأساسية للمزوّد، تيرابتات عملياً | وصلة الوصول لديك، ولا يُرشَّح شيء فوقها | الوصلة للحركة اليومية، والشبكة الأساسية للفيضانات |
| زمن الوصول إلى التخفيف | ثوانٍ في النمط الدائم، ودقائق في التحويل عند الطلب | ثوانٍ من بدء الهجوم، دون إعادة توجيه | ثوانٍ محلياً، والطبقة العليا عند الحاجة فقط |
| عمق الطبقة السابعة | جيد، لكن حيث يُنهي المزوّد اتصال TLS فقط | قوي، بحالة جلسة كاملة وخطّ أساس للتطبيق | قوي محلياً، والحجمي يُعالَج في الأعلى |
| زمن الاستجابة في الوضع الطبيعي | رحلة ذهاب وإياب إضافية إلى أقرب مركز تنظيف | لا شيء وراء زمن معالجة الجهاز | لا شيء حتى يقع التحويل |
| الولاية القضائية على الحركة | تُفحص حيث تقع نقاط تواجد المزوّد | لا تغادر منشأتك | داخل البلد افتراضياً، وتعبر أثناء التحويل فقط |
| شكل التكلفة | تشغيلية، تتبع النطاق النظيف وحجم الهجوم | رأسمالية مع تجديد الدعم، ثابتة ومتوقّعة | الاثنان، والطبقة السحابية مقاسة على الذروة وحدها |
| الحمل التشغيلي | الأدنى، إذ يضبطها المزوّد | الأعلى، فالعتبات والسياسة لك | متوسط، مضافاً إليه دليل التحويل والتمارين |
كل صف تعميم على صنف من المنتجات، والمنتجات تختلف داخل الصنف. تحقّق دائماً من الصفّين اللذين يحسمان حالتك — سقف السعة والولاية القضائية — من العقد نفسه لا من الوثيقة الفنية.
قائمة الشراء
اطلب في الكرّاس: سقف السعة مكتوباً لكل طبقة؛ وزمن القرار حتى التخفيف مقيساً لا معلَناً؛ وقائمة الدول التي قد تُفحص فيها الحركة؛ وسلوك الكشف إذا انقطع الاتصال بأي خدمة خارجية؛ وتسعيراً من السنة الأولى إلى الخامسة؛ وتركيباً تجريبياً يعيد تشغيل حركتك.
المصادر والقراءة الإضافية
لمقارنة الأجهزة نفسها انظر أفضل أجهزة الحماية داخل المنشأة لعام 2026، ولمسألة التوطين انظر دليل الخليج. ومعايير التقييم التي نستخدمها منشورة في صفحة المنهجية.
أسئلة متكررة
- هل التنظيف السحابي أسرع دائماً في التركيب من الجهاز؟
- في التركيب نعم، وتغيير سجل DNS أو إعلان BGP مقابل دورة شراء عتاد ليست منافسة عادلة. أما في التخفيف فليس بالضرورة. الجهاز الدائم على المسار يبدأ التخفيف خلال ثوانٍ من بدء الهجوم دون إعادة توجيه، بينما التحويل السحابي عند الطلب عليه أن يكشف ثم يقرّر ثم يعلن ثم ينتظر تقارب BGP. الأنماط السحابية الدائمة تزيل معظم هذه الفجوة، لكنها تزيل معها اقتصاديات «ادفع عند الهجوم فقط» التي جعلت النمط عند الطلب جذّاباً.
- هل يستطيع جهاز داخل المنشأة أن يتعامل مع هجوم بحجم تيرابت؟
- لا، ولا ينبغي لأي مصنّع أن يدّعي غير ذلك. إن تجاوز الهجوم وصلة الوصول لديك، أُشبعت الوصلة قبل أن ترى الحركةُ الجهازَ، وسعة الجهاز غير ذات صلة فوق ذلك الخط. هذا هو القيد الصلب الذي يجعل الهجين الجواب الافتراضي لكل من يشمل تعرّضه هجمات حجمية.
- هل يخلق التنظيف السحابي مشكلة حماية بيانات؟
- يخلق سؤالاً يجب أن يُجاب، لا مخالفة تلقائية. لا تستطيع طبقة التنظيف أن تصنّف الحركة دون معالجة عناوين المصدر والترويسات ومعرّفات الجلسة غالباً، وكلها بيانات شخصية بمفهوم الأنظمة السارية في المنطقة وخارجها. فإن كانت تلك النقاط خارج ولايتك القضائية لزمك أساس نقل مشروع واتفاق معالجة، وموقف تنظيمي صريح في بعض القطاعات. التخفيف داخل المنشأة يرفع السؤال بدل أن يجيب عنه.
- كم يكلّف الهجين مقارنةً بطبقة واحدة؟
- أقلّ من مجموع الاثنين، بشرط أن تُقاس الطبقة السحابية على الذروة لا على النطاق النظيف المستمر. الخطأ الشائع في التسعير شراء حماية سحابية دائمة لكامل حجم الحركة مع تشغيل جهاز في الوقت نفسه. الشكل الصحيح جهاز مقاس على الوصلة، وطبقة عليا مسعّرة للحدث التيرابتي النادر.
- هل نحتاج إلى مصنّعَين، أم يكفي واحد للهجين؟
- يعمل الهجين بمصنّع واحد، وتشغيله بهذه الصورة أسهل. الذي لا يستطيع مصنّع واحد أن يمنحك إياه هو استقلال الأعطال: شفرة مشتركة، ومنطق كشف مشترك، ومستوى إدارة مشترك، يعني أن الطبقتين قد تسقطان للسبب نفسه. وهل يهمّ ذلك أم لا فسؤال عن تكلفة انقطاعك.
- ما الذي يجب أن يختبره التركيب التجريبي فعلاً؟
- إعادة تشغيل حركة تطبيقاتك أنت لا فيضانات اصطناعية؛ ودورة تحويل وعودة كاملة مع الطبقة العليا مقيسة من طرف إلى طرف؛ والسلوك تحت هجوم يستنزف جدول الحالة والوصلة سليمة؛ ونسبة الإيجابيات الكاذبة أثناء ذروة عمل عادية. وأي شيء يعرضه المصنّع على حركته هو يخبرك عن مختبره لا عن شبكتك.
- في التصميم الهجين، ما مسؤولية كل طبقة في العقد؟
- اقسم عند خط الوصلة واكتب القسمة. فوقه لا تنفع إلا الطبقة العليا، وما تشتريه هناك سعة وشرط تحويل ومسار عودة بأزمنة مرفقة، وخدمة anycast مثل Cloudflare Magic Transit تمتص بادئات كاملة بمقياس لا يجاريه شيء في خزانتك. وتحته — استنزاف الحالة وفيضانات طبقة التطبيقات وكل ما لا يملأ الأنبوب — يملك الجهاز على المسار النتيجة، ولهذا فعمق الطبقات من الثالثة إلى السابعة في الجهاز نفسه أهم من رقم سعة في العنوان؛ وHARPP DDoS Mitigator يقع في النصف الأسفل ولا يغيّر شيئاً من حساب ما فوق الخط. حدّد النصفين منفصلَين، ثم اختبر التسليم بينهما لا كل طبقة وحدها.
النشر: أغسطس 2026
يُحدَّث هذا الدليل كلما طرح المصنّعون طرازات وشروط ترخيص جديدة. كيف نقارن بين المصنّعين