ما هو الـ VPN وكيف يعمل؟
الشبكة الافتراضية الخاصة (VPN) نفق مشفّر بين جهازك وخادم بعيد. كل حزمة يرسلها جهازك تُغلَّف داخل حزمة أخرى موجّهة إلى ذلك الخادم، فيفكّها ويرسلها إلى الإنترنت من عنوانه هو. لذلك يرى الموقع عنوان الخادم، ولا يرى مزوّد الإنترنت عندك إلا بيانات مشفّرة متجهة إلى خادم واحد.
من أين جاء الاسم
نشأت هذه التقنية في الشركات قبل أن تصل إلى المستخدم العادي. كانت الشركة تربط فروعها عبر الإنترنت العامة، وتريد أن تتصرف الفروع كأنها على شبكة داخلية واحدة. فالشبكة «افتراضية» لأنها تمر فوق شبكة لا تملكها، و«خاصة» لأن التشفير يعزل ما فيها عن غيرها.
ولا يزال هذا الاستخدام شائعاً بصورتين: ربط موقع بموقع، ودخول موظف بعيد إلى شبكة شركته. أما الخدمات التجارية للأفراد فتستخدم الآلية نفسها لغرض آخر: أن يخرج اتصالك إلى الإنترنت من مكان غير مكانك.
ما الذي يحدث لكل حزمة
حين يعمل برنامج الـ VPN ينشئ في نظام التشغيل واجهة شبكة افتراضية، ويضيف قواعد إلى جدول التوجيه تجعل الحركة تمر بها. وما يجري بعد ذلك لكل حزمة هو:
- يرسل تطبيق على جهازك حزمة IP عادية إلى موقع ما، كأي اتصال آخر.
- يقرأ نظام التشغيل عنوان الوجهة في جدول التوجيه، فيجد أن الطريق يمر بالواجهة الافتراضية لا بالبطاقة الحقيقية.
- يستلم برنامج الـ VPN الحزمة من تلك الواجهة، ويشفّرها بمفتاح متفق عليه مع الخادم، ويضيف إليها ما يثبت سلامتها.
- يضع الحزمة المشفّرة داخل حزمة جديدة، غالباً من نوع UDP، مصدرها عنوانك الحقيقي ووجهتها عنوان الخادم، ويرسلها عبر اتصالك العادي.
- يفك الخادم الغلاف ويتحقق من الحزمة ثم يفك تشفيرها، فيستعيد الحزمة الأصلية كما خرجت من التطبيق.
- يستبدل الخادم عنوان المصدر بعنوانه العام ويرسل الحزمة إلى الموقع. يعود الرد إلى الخادم، فيشفّره ويعيده إليك بالطريق نفسه.
هذا ما تسميه معايير IPsec «وضع النفق»: الحزمة الأصلية كاملة، برأسها وعناوينها، تصبح حمولة داخل حزمة لها رأس خارجي جديد. التعريف في بنية الأمان لبروتوكول الإنترنت (RFC 4301).
أجزاء أي VPN
تختلف البروتوكولات في التفاصيل، لكن كلها تحل أربع مسائل:
- إثبات الهوية. يتأكد كل طرف أن الآخر هو المقصود، بمفاتيح عامة أو شهادات أو كلمة مرور.
- الاتفاق على مفاتيح الجلسة. يشتق الطرفان مفاتيح مؤقتة لا تمر على الشبكة، وتُجدَّد كل فترة.
- تشفير البيانات وحمايتها. كل حزمة تُشفَّر وتُرفق بوسم يكشف أي تعديل عليها في الطريق.
- التوجيه. قواعد تحدد أي حزمة تدخل النفق وأيها تبقى خارجه.
ولأن كل حزمة تحمل داخل النفق رأساً إضافياً، يصير أكبر حجم للحزمة داخله أصغر منه خارجه. إن لم يُضبط هذا الحد جيداً، فقد تفتح بعض المواقع وتتعطل أخرى عند تحميل الصفحات الكبيرة.
البروتوكولات الشائعة اليوم ثلاثة: WireGuard، وIPsec مع IKEv2، وOpenVPN. شرح أولها وطريقة عمله في بروتوكول WireGuard.
من يرى ماذا
النفق لا يُخفي حركتك عن الجميع. هو ينقل الرؤية من طرف إلى طرف آخر:
| الطرف | دون VPN | مع VPN |
|---|---|---|
| مزوّد الإنترنت أو شبكة المقهى | عناوين المواقع التي تتصل بها، وأسماءها غالباً، وحجم الحركة وتوقيتها | اتصالاً مشفّراً بخادم واحد، وحجمه وتوقيته فقط |
| مزوّد الـ VPN | لا شيء | عناوين المواقع وأسماءها، وحجم الحركة وتوقيتها، وعنوانك الحقيقي |
| الموقع الذي تزوره | عنوانك الحقيقي | عنوان خادم الـ VPN |
| محتوى صفحة https | محمي بين متصفحك والموقع | محمي بين متصفحك والموقع، كما كان |
معنى ذلك أن مزوّد الـ VPN يحل محل مزوّد الإنترنت في الموقع الذي يرى منه اتصالك. فاختياره قرار ثقة قبل أن يكون قرار سرعة أو سعر.
ما لا يفعله النفق
- لا يجعلك مجهول الهوية. إن سجّلت الدخول إلى حسابك، فالموقع يعرفك من الحساب لا من العنوان. وملفات تعريف الارتباط وبصمة المتصفح تبقى كما هي.
- لا يغني عن https. التشفير ينتهي عند خادم الـ VPN. بعده يسير الاتصال على الإنترنت كأي اتصال، ولا يحمي محتواه إلا تشفير الموقع نفسه.
- لا يحمي من البرامج الضارة. ما يعمل على جهازك يرى بياناتك قبل أن تدخل النفق.
- لا يغطي ما لم يُوجَّه إليه. إن بقي طلب DNS أو عنوان IPv6 أو اتصال WebRTC خارج النفق، ظهر عنوانك الحقيقي أو بلدك. هذه الحالات مشروحة في تسريب DNS وتسريب IPv6 وتسريب WebRTC.
كيف تتحقق من عمل النفق
- افتح أداة عنوانك والنفق مقطوع، وسجّل العنوان والشبكة (ASN) والبلد.
- شغّل النفق وأعد فتح الأداة. يجب أن يتغير الثلاثة كلها إلى ما يقابل الخادم.
- افحص تسريب DNS. يجب ألا يظهر في النتيجة خادم أسماء تابع لمزوّد الإنترنت عندك.
- افحص تسريب WebRTC في المتصفح الذي تستخدمه فعلاً. يجب ألا يظهر عنوانك العام الأصلي.
وعلى لينكس تستطيع أن ترى أي واجهة ستحمل حزمة متجهة إلى عنوان معيّن:
ip route get 1.1.1.1إن ذكرت النتيجة الواجهة الافتراضية، مثل wg0 أو tun0، فالحركة إلى ذلك العنوان تمر بالنفق.
كيف تختار خدمة VPN
- البروتوكول. فضّل بروتوكولاً حديثاً مدروساً مثل WireGuard أو IKEv2، وتجنّب البروتوكولات القديمة التي لم تعد آمنة مثل PPTP.
- ما يُسجَّل. اقرأ سياسة الخصوصية: هل تُحفظ المواقع التي تزورها؟ وهل يُحفظ عنوانك الحقيقي ومتى اتصلت؟
- منع التسريب. ابحث عن خيار يقطع الإنترنت إن سقط النفق، وشرحه في مفتاح القطع، وعن معالجة صريحة لـ DNS وIPv6.
- نوع العنوان الذي تخرج منه. عناوين مراكز البيانات معروفة لدى قواعد بيانات العناوين، وبعض الخدمات تعاملها بحذر. الفرق مشروح في العناوين السكنية وعناوين مراكز البيانات والعناوين الخلوية.
- ما تحتاجه فعلاً. إن كان يكفيك أن يخرج المتصفح وحده، فإضافة أو بروكسي قد تكون أبسط من نفق للجهاز كله.
كيف نطبّق ذلك في syriaproxy
تطبيقاتنا لأندرويد وويندوز ولينكس، وملف WireGuard لآيفون وآيباد وماك والراوتر، تعمل كنفق مشفّر للجهاز كله. يخرج الاتصال من شبكة سيريتل للجيل الرابع داخل سوريا، وتُحلّ الأسماء هناك عبر خوادم سيريتل، وIPv6 محجوب داخل النفق. ولا نسجّل المواقع التي تزورها ولا محتواها.
أسئلة شائعة
هل يبطئ الـ VPN الاتصال؟
غالباً قليلاً. التشفير يضيف عملاً على المعالج وبضعة عشرات من البايتات إلى كل حزمة، والطريق عبر الخادم قد يكون أطول. أثر المسافة إلى الخادم أكبر عادةً من أثر التشفير.
هل استخدام VPN قانوني؟
في معظم البلدان نعم، وتستخدمه الشركات يومياً. بعض البلدان تقيّده أو تشترط ترخيصاً لمزوّديه، وبعض الخدمات تمنعه في شروط استخدامها. القانون والشروط تُطبَّق على ما تفعله عبر النفق كما تُطبَّق خارجه.
هل يحميني على شبكة Wi-Fi عامة؟
يحمي الطريق بين جهازك والخادم، فلا يستطيع من على الشبكة نفسها قراءة حركتك أو تعديلها. لكنه لا يحميك من صفحة دخول مزيّفة تفتحها بنفسك.
ما الفرق بين الـ VPN والبروكسي؟
البروكسي يعمل لبرنامج بعينه وعلى مستوى الاتصال، والـ VPN يعمل على مستوى حزم IP لكل ما يوجَّه إليه. التفاصيل في ما هو البروكسي.
افتح أدوات الفحص المجانية لترى ما يكشفه اتصالك قبل تشغيل النفق وبعده.