شغّل WireGuard على VPS بتوجيه واسترداد واضحين
يمكن لـVPS يعمل بـWireGuard توفير وصول بعيد مشفر إلى أنظمة مصرح لك باستخدامها. يعتمد النشر الموثوق على خطط عناوين صريحة وقواعد الجدار الناري وإعادة التوجيه ومفاتيح محمية ومسارات IPv4 وIPv6 مختبرة ومسار استرداد لا يعتمد على النفق نفسه. وهو ليس وعدًا بإخفاء الهوية ولا إذنًا لتجاوز القواعد.
حقائق أساسية
- مثال شائع لمنفذ الاستماع
- `51820/udp`، قابل للضبط وليس مطلوبًا بطبيعته
- نموذج الهوية
- تعرّف المفاتيح العامة النظراء، وتبقى المفاتيح الخاصة سرية
- ضبط التوجيه
- يؤثر `AllowedIPs` في اختيار النظير ومسارات المصدر المقبولة
- قاعدة الاسترداد
- احتفظ بوصول لوحة التحكم أو SSH خارج النفق حتى اكتمال التحقق
ارسم النفق وحدود الثقة أولًا
سمِّ المستخدمين المصرح لهم وأجهزة النظراء والشبكات الفرعية المحمية ومحللات DNS والوجهات التي ينبغي أن تعبر النفق. قرر هل الـVPS نقطة وصول بعيدة فقط أم موجّه إلى شبكة خاصة أخرى أم بوابة خروج. تتطلب هذه التصاميم خيارات مختلفة لإعادة التوجيه والتصفية والسجلات. تجنب تداخل عناوين النفق مع الشبكات المحلية التي يستخدمها العملاء.
يشفّر WireGuard الحزم بين النظراء المهيئين، لكنه لا يؤمّن جهازًا مخترقًا ولا يصادق مستخدمي التطبيقات ولا يجعل الحركة بعد VPS الخروج غير مرئية. يظل عنوان VPS العام والتوقيت مرئيين للشبكات المعنية. استخدم الخدمة لاتصال خاص مشروع واستمر في تطبيق مصادقة التطبيقات وضوابط حماية البيانات.
- خصص عنوان نفق وزوج مفاتيح فريدين لكل نظير.
- وثّق هل يشمل النطاق IPv4 وIPv6 وDNS والخروج إلى الإنترنت.
- لا توجّه حركة غير مصرح لك بحملها.
تحقق من قابلية الوصول قبل تغيير الجدار الناري
أكد عناوين VPS العامة والمسارات الافتراضية وأسماء الواجهات وجدار المزود وجدار النظام الضيف وما إذا كان تمرير IP مفعّلًا لعائلة العناوين المقصودة. يسمح نشر نموذجي بمنفذ UDP مختار مثل 51820/udp ويحافظ على الوصول الإداري ويصفّي الحركة الممررة بحسب الوجهة بدل قبول كل حزمة.
استخدم ip route وss -lunp ولوحة المزود لتحديد خط أساس. إذا كان العملاء سيرسلون IPv6 فتأكد من أن الـVPS يملك IPv6 موجّهًا وقواعد جدار مقابلة؛ لا تفترض أن إخفاء IPv4 وحده يغطيه. احفظ إعداد الجدار الحالي قبل التغييرات واحتفظ برجوع تلقائي للتجارب البعيدة.
- افتح منفذ UDP المهيأ ومسار الإدارة اللازم فقط.
- طبّق قواعد إعادة التوجيه وNAT فقط عندما تتطلبها البنية.
- اختبر من شبكة خارجية فعلًا، لا من الـVPS نفسه فقط.
عامل المفاتيح و`AllowedIPs` كضوابط أمنية
أنشئ المفاتيح الخاصة على الجهاز الذي سيستخدمها وقيّد أذونات الملف. شارك المفاتيح العامة فقط. في /etc/wireguard/wg0.conf راجع كل نظير بصورة مستقلة: يؤثر AllowedIPs في الحركة المرسلة إلى ذلك النظير وعناوين المصدر المقبولة منه. قد توجه الإدخالات الواسعة أو المتداخلة الحركة إلى نظير خاطئ أو توسع الوصول بصورة غير متوقعة.
قد يحتاج العملاء المتنقلون خلف NAT إلى PersistentKeepalive، لكن استخدمه عند الحاجة فقط واختر الفاصل وفق بيئة الشبكة. لا يغني keepalive عن المراقبة. أزل المفتاح العام لجهاز مفقود أو صاحبه غادر فورًا، وأصدر زوجًا جديدًا بعد اشتباه باختراق، واحتفظ بجرد يربط المفاتيح بمالكيها من دون نشر مادة خاصة.
- لا ترسل المفاتيح الخاصة عبر تذاكر الدعم أو الدردشة.
- استخدم أضيق مسارات نفق تتوافق مع المهمة.
- سجّل إصدار المفتاح ومالكه وجهازه وتدويره وإبطاله.
تحقق من المصافحة والتوجيه وDNS وMTU والتسرب
بعد تشغيل الواجهة، افحص wg show بحثًا عن النظير المتوقع والمصافحة الأخيرة ونقطة النهاية وعدادات النقل. اختبر عنوان النفق وكل وجهة محمية وحل DNS والخروج العام المقصود لعائلتي العناوين. استخدم ip route على العميل لتأكيد البادئات الداخلة في النفق بدل استنتاج السلوك من نجاح ping واحد.
إذا نجحت الحزم الصغيرة وتعطلت التحويلات الأكبر، فتحقق من MTU للمسار وحمل التغليف قبل خفض MTU عشوائيًا. اختبر عبر شبكات جوال ومكتب ومنزل ممثلة. تأكد من أن فشل النفق لا يكشف حركة خلاف سياسة التوجيه المقصودة للعميل وأن الاسترداد الإداري يبقى متاحًا.
- اختبر الوجهات المسموح بها والوجهات المرفوضة عمدًا.
- افحص IPv4 وIPv6 وDNS كلًا على حدة.
- سجّل الإعداد المتحقق منه ونقطة رجوع.
شغّل النفق كخدمة شبكة ذات صلاحيات
حدّث نظام التشغيل المدعوم وراقب توفر الواجهة وسعة القرص والتغيرات غير المعتادة في النقل ومحاولات الوصول الإداري الفاشلة، وانسخ الإعداد احتياطيًا من دون كشف المفاتيح الخاصة. قيّد من يستطيع تعديل تعريفات النظراء أو قواعد الجدار. حدد كيف يطلب المستخدم المصرح جهازًا جديدًا ويبلغ عن فقدانه ويثبت سيطرته على الحساب.
راجع النظراء والمفاتيح والمسارات وDNS وإعادة التوجيه والحاجة العملية وفق جدول. أزل الوصول القديم واختبر الاسترداد بعد تغييرات النواة أو الجدار أو الشبكة. عند إيقاف الخادم، أبطل النظراء وامحُ الإعداد ومادة المفاتيح وتحقق من أن DNS أو الأتمتة لم تعد تشير إلى النقطة القديمة.
- نبّه عند فقد قابلية الوصول من دون جمع بيانات تصفح غير ضرورية.
- احتفظ بنسخ الإعداد مشفرة ومقيدة الوصول.
- أعد اختبار المسارات بعد كل تغيير لدى المزود أو الجدار.
المصادر
الأسئلة الشائعة
هل يجعل WireGuard حركة VPS مجهولة الهوية؟
لا. إنه يشفّر الحركة بين النظراء المهيئين، لكن IP نقطة النهاية والتوقيت وحساب VPS وحركة الخروج والتطبيقات وسجلات أخرى قد تنشئ روابط.
هل يجب أن يستخدم WireGuard المنفذ 51820؟
لا. 51820/udp مثال شائع. يمكن للمستمع المهيأ استخدام منفذ UDP مناسب آخر، ويجب أن يتطابق مع قواعد جدار المزود والنظام الضيف.
ما الذي أفحصه عند غياب المصافحة؟
تحقق من عنوان نقطة النهاية ومنفذها ومسارات جدار UDP والمفاتيح العامة ووقت النظام وحالة المستمع بواسطة ss -lunp وحالة النظير بواسطة wg show. احتفظ بوصول لوحة التحكم أثناء التشخيص.
هل ينبغي ضبط `AllowedIPs` على مسار افتراضي لكل الحركة؟
فقط إذا كان تصميم النفق الكامل مقصودًا ومختبرًا. للوصول إلى أنظمة محددة، تقلل البادئات الضيقة مفاجآت التوجيه والتعرض غير الضروري.