VPN دائم التشغيل أم مفتاح الإيقاف: أيهما فعّلته فعلا؟

VPN دائم التشغيل يعيد توصيل النفق؛ ومفتاح الإيقاف يقرر ما يجوز خروجه بدونه. خمسة فحوص قبل أن تثق بالتسمية.

يجلس الوضع الدائم ومفتاح الإيقاف على سطرين متجاورين في الشاشة نفسها، فيقرأهما الناس اسمين لميزة واحدة. وليسا كذلك. الوضع الدائم سياسة إعادة اتصال: يبدأ النفق عند الإقلاع، ويعيده بعد انهيار أو تغير شبكة، ويظل يحاول ما دام يفشل. ومفتاح الإيقاف سياسة مرور: يسمي الحزم التي يجوز أن تغادر الجهاز والنفق متوقف. يمكنك تفعيل الأول دون الثاني، وفي معظم المنصات يظل الناتج الافتراضي يسمح بخروج المرور خلال الفجوة.

الفحص 1: هل الحجب مفتاح قائم بذاته؟

في Android 10 وما بعده يفتح ملف VPN محفوظ مفتاحين مستقلين خلف أيقونة الترس: VPN دائم التشغيل و حجب الاتصالات بدون VPN. الثاني وحده هو مفتاح الإيقاف. مع الوضع الدائم وحده يعود النفق بعد الانقطاع، وأي تطبيق في منتصف طلب يبلغ الشبكة عبر Wi-Fi أو بيانات الجوال حتى ذلك الحين.

تحتفظ الأجهزة المدارة بالفصل نفسه في واجهة السياسات. يأخذ setAlwaysOnVpnPackage() اسم الحزمة وراية lockdownEnabled؛ ومن يضع الحزمة ويترك الراية خاطئة يبني نفقا دائما لا جهازا مغلقا. وصياغة لوحة التحكم نادرا ما تكشف هذا الفرق.

اقرأ الحالة من الجهاز لا من لوحة التحكم: adb shell settings get global always_on_vpn_app و adb shell settings get global always_on_vpn_lockdown. فإن أعاد الأول null فلا حزمة مفروضة على مستوى المنصة؛ وإن أعاد الثاني 0 فالمنصة لا تحجب شيئا. ودليل VPN في Android يصف هذه قدرات منفصلة لا وضعا واحدا.

الفحص 2: أي طبقة تملك الحجب؟

التسميات تعيش في العميل والحجب عادة في الجدار الناري، ولذلك يعني اللفظ نفسه شيئا مختلفا على كل منصة. الصفوف أدناه هي الجديرة بالتأكيد قبل أن تثق بأي منها.

Where you see the labelWhat the label promisesWhat actually blocks
Android VPN profileAlways-on VPNBlock connections without VPN
Android device policyAlways-on packagelockdownEnabled flag
Windows built-in VPNAlways On tunnelOutbound firewall rules
WireGuard for WindowsTunnel serviceBlock untunneled traffic option
wg-quick on LinuxRoute via AllowedIPsYour own nftables or iptables rules

Windows أوضح مثال على تسمية لا تحجب. Always On هناك يصف دوام النفق: نفق جهاز لمصادقة الآلة ونفق مستخدم للحساب المسجل، يضبطان عبر XML الملف الشخصي أو Add-VpnConnection. لا شيء في ذلك الملف يوقف حزمة صادرة عند غياب النفق، وترشيح الصادر ليس مفعلا افتراضيا، فيظل حاسوب على Wi-Fi يعمل وVPN متوقف.

ينقسم WireGuard بالطريقة نفسها لكن حسب العميل. يضم WireGuard لويندوز خيارا لكل نفق هو حجب المرور غير المنفقي يثبت قواعد ترشيح؛ وأدوات لينكس لا تملك مفتاحا مكافئا. يضيف wg-quick مسارا لكل مدخل AllowedIPs وقاعدة fwmark، ويحذف wg-quick down الاثنين، فيعود المسار الفيزيائي الافتراضي دون سقوط حزمة في الأثناء.

على منصات Apple يصل الوضع الدائم كميزة ملف إدارة للأجهزة الخاضعة للإشراف ويصاغ كقواعد عند الطلب لا كمربع اختيار. والسؤال من الحمولة هو هل يمنع النفق الفاشل المرور أم يطلب اتصالا آخر فقط. وعنوان القائمة لن يخبرك.

الفحص 3: قس الفجوة لا الأيقونة

أربعة انتقالات تهم، وكل منها يفشل بطريقة مختلفة: الإقلاع قبل أن يسجل أحد الدخول، والنوم والاستئناف، وتغير من Wi-Fi إلى بيانات الجوال، وانهيار عميل يترك واجهة النفق نصف مضبوطة. وإعادة اتصال نظيفة في أحدها لا تثبت شيئا عن الثلاثة الأخرى.

أرخص اختبار يوقف النفق عمدا ثم يحاول الخروج. والنفق متوقف، يعني curl -m 5 -sS -o /dev/null -w '%{http_code}' https://example.com الذي يعيد 200 أن السياسة مفتوحة عند الفشل؛ أما مهلة أو اتصال مرفوض فيعني أن شيئا ما يزال يحجب. وip route get 1.1.1.1 يسمي الواجهة التي ستحمل الحزمة، وهو عادة أخبر من أيقونة الشريط، وsystemctl status wg-quick@wg0 يبين هل أزيلت الواجهة بنظافة.

شغل الفحص نفسه في نافذة ثانية أثناء تغير الشبكة لا بعده فقط. والفاصل بين الانقطاع والمحاولة هو الجزء المهم، واستعلام الاسم أسرع طريق لملاحظة هروب المرور: فإن أجاب المفسر المحلي والنفق متوقف فالحجب غير مكتمل.

الفحص 4: قرر الاستثناءات قبل الإغلاق

استثناءان بنيويان. على العميل أن يبلغ خادم VPN نفسه، فمجموعة قواعد تسقط كل شيء تمنع أيضا إعادة الاتصال التي ستعيد الحماية. وكذا لا يمكن بلوغ بوابة الأسيرة عبر نفق غير قائم، فجهاز مغلق على Wi-Fi فندق يحتاج طريقا موثقا لفتح البوابة لا طريقا مرتجلا.

شكل أدنى، الطرف مسموح وكل ما عداه مسقوط:

table inet vpnlock {
  chain output {
    type filter hook output priority 0; policy drop;
    oifname "lo" accept
    ip daddr 203.0.113.10 udp dport 51820 accept
    oifname "wg0" accept
  }
}

تعامل مع سطر الطرف هذا كمتغير لا كثابت. فالمزودون يدورون العناوين، والاستثناء البالي هو السبب المعتاد في تحول مفتاح إيقاف عامل إلى جهاز لا يستطيع إعادة الاتصال. والطابعات المحلية ومشاركات NAS وخدمات التطوير تنتمي إلى القائمة المكتوبة نفسها، وإلا اكتشفت تذكرة دعم بعد أخرى.

الفحص 5: سجل ما أثبتته فعلا

احتفظ بجدول من أربعة أعمدة واملأه بالاختبار: الحالة، والسلوك المتوقع، والسلوك الملاحظ، والدليل. والصفوف هي انتقالات الفحص 3 زائد فشل متعمد واحد. وصف لا تستطيع ملأه بمخرجات أمر هو صف لم تختبره، وجهاز يجتاز صف إعادة الاتصال ويفشل في صف الإقلاع شائع بما يكفي ليكون عشر دقائق إضافية مستحقة.

قبل أن تعلن الانتهاء:

  • تأكد أن إعداد الحجب منفصل عن إعداد إعادة الاتصال، واقرأ قيمته على الجهاز.
  • اعرف أي طبقة تفرض الحجب - خيار العميل أو سياسة الجهاز أو الجدار الناري - وأين تضبط تلك الطبقة.
  • احتفظ بأمر فحص واحد يثبت الحجب، وشغله أثناء الانتقال لا بعده.
  • اكتب قائمة الاستثناءات، مع الطرف، ودون من يحدثها.
  • على العتاد المدار اترك السياسة المفروضة، فإزالة الحجب تغير المتطلب بدل إصلاح النفق.

مقالات ذات صلة