أيقونة خضراء ونفس عنوان IP العام: أي مسار تجاوزه VPN

متصل، وأيقونة خضراء في شريط النظام، وصفحة تعرض عنوانك لا تزال تُظهر عنوان المزوّد، وهذا لا يعني تلقائيًا وجود عطل. العميل يقوم بمهمتين منفصلتين: يبني نفقًا، ويعدّل جدول التوجيه. أي منهما يمكن أن يحدث دون الآخر، والتوجيه الانتقائي هو الإعداد الذي تُتجاهل فيه المهمة الثانية عن قصد.

ما ثبّته العميل فعليًا

اسأل عن الواجهة التي ستحمل الحزمة إلى وجهة حقيقية، بدلًا من السؤال هل النفق قائم. النفق الذي لا مسار له إلى تلك الوجهة طريق خاص لا يسلكه أحد.

ip route get 9.9.9.9
Find-NetRoute -RemoteIPAddress 9.9.9.9
route print -4

الأمر الأول يجيب على Linux وmacOS، والآخران هما المكافئان في Windows حيث يكفي أحدهما. إذا ذكر الجواب المحوّل الفيزيائي، فالنفق قائم والمسار الافتراضي لم يتحرك قط. أعد الاستعلام عن وجهة يُفترض أن تستخدم النفق، لأن استعلامين، أحدهما بعيد والآخر عادي، يخبرانك أي تصميم مُطبَّق.

ثلاثة أشكال للتوجيه الانتقائي

ملف النفق الكامل يكتب عادةً مسارًا افتراضيًا يشير إلى الواجهة، أو يكتب زوج البادئات نصفية المدى التي تفوز بطول البادئة بينما يبقى الافتراضي الأصلي في الجدول. التوجيه الانتقائي هو الخيار الآخر، ويأتي بعدة أشكال. أحد الملفات يوجّه مضيفًا واحدًا مثل خادم RDP، وآخر يوجّه نطاقًا عامًا يجب الوصول إليه من موقع معيّن، وثالث يستثني تطبيقًا واحدًا عن قصد. الثلاثة مشروعة، ولا يغيّر أي منها العنوان الذي يراه موقع عام.

grep -nE "redirect-gateway|route-nopull|route " /etc/openvpn/client/*.conf
ip route show table main | head -20

اقرأ الملف بحثًا عن التوجيه الذي يقرر، ثم اقرأ الجدول لترى ما أنتجه. يمكن أيضًا كبت توجيه مدفوع على العميل، ولهذا يجب أن يتفق الملف والجدول قبل أن تلوم الخادم.

على الطرف البعيد إعادة كتابة عنوان المصدر

هناك عطل ثانٍ يبدو مطابقًا من المتصفح. المسار يشير إلى النفق، والخادم يستقبل الحزم، ثم يمررها وعنوان العميل الخاص سليم كما هو. القفزة التالية ليس لديها مسار عودة لذلك العنوان، فتختفي الردود وتتعلّق الصفحات. على الخادم أن يمرر أصلًا، وعليه أن يترجم المصدر إلى شيء يستطيع الإنترنت توجيهه عائدًا.

sysctl net.ipv4.ip_forward
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
iptables -t nat -S | grep MASQUERADE

سمِّ الواجهة التي تواجه الإنترنت فعليًا، وهي ليست دائمًا eth0 في توزيعة حديثة. الخادم المستضاف بعنوان ثابت يمكنه الترجمة إلى ذلك العنوان صراحةً بدل استخدام masquerade. النصفان يهمّان معًا، لأن التمرير دون ترجمة يسرّب مصادر غير قابلة للتوجيه، والترجمة دون تمرير لا ترى الحزمة أبدًا.

تحليل الأسماء يأخذ مساره الخاص

قد تخرج البيانات عبر النفق بينما ذهب الاستعلام الذي وجد الاسم إلى مُحلِّل على الشبكة المحلية. العنوان المرئي يبقى نفسه، والاستعلامات لا، وهذه الفجوة بالضبط ما يختاره تصميم DNS المنقسم.

resolvectl status | head -20
resolvectl query example.org

لاحظ أي خادم أجاب وهل يختلف عن خط الأساس قبل النفق. في النفق المنقسم يكون هذا عادةً الإعداد الذي أراد الناس تغييره حين شكوا من العنوان، وهو الإعداد الذي لم ينظروا إليه قط.

أربع ملاحظات تحسم الأمر

سجّل عنوان الخروج والنفق مغلق، ثم وهو مفتوح. نفّذ استعلام الوجهة في الحالتين ولاحظ الواجهة في كل مرة.

curl -sS https://ifconfig.me/ip
ip route get 9.9.9.9

حين يقع الاستعلام داخل النفق وما زال الصدى يُظهر عنوان المزوّد، فالترجمة عند المخرج غائبة. وحين يقع الاستعلام على المحوّل الفيزيائي، فالملف انتقائي والعنوان العام لم يكن في النطاق أصلًا. استبدل خدمة صدى تثق بها وسجّل الملاحظات الأربع معًا، لأنها منفصلة حكايات. ومعًا تحدد أي المهمتين أدّاها العميل فعلًا.