الهاتف بقي خارج الـ VPN؟ نفق الراوتر أم عميل على كل جهاز

الحاسوب المحمول متصل بالـ VPN، والهاتف على الشبكة نفسها، ومع ذلك يتصفح الهاتف من عنوان المزود. هذا ليس خللًا في العميل: النفق يعيش على الجهاز الذي ينهيه، ولا شيء آخر يرثه بمجرد القرب. لا تمتد التغطية إلا حين يشغّل الراوتر العميل بنفسه، أو حين يُحوَّل جهاز عمدًا إلى بوابة للشبكة المحلية. أي نموذج تريد تحدده ثلاثة أمور: البروتوكول الذي يتحدثه مزودك فعلًا، ومدى اختلاف التعامل مع الأجهزة، وأي فشل تستطيع تحمله في التاسعة مساءً.

ما يغطيه نفق الراوتر فعلًا

عندما ينتهي النفق على الراوتر، تشارك كل الأجهزة التي تمر عبره المخرج نفسه. هذا هو الجذب للتلفاز أو الكونسول أو جهاز لن يشغّل عميلًا أبدًا: لا شيء يُثبَّت، ولا شيء يُحدَّث، ومكان واحد لتغيير المزود.

التغطية مشروطة بطرق تفاجئ الناس. شبكة الضيوف أو شبكة SSID ثانية بسياسة خاصة بها تسلك المسار الذي تحدده تلك السياسة، لا النفق. ومسار IPv6 قد يتجاوز نفقًا لا يحمل إلا IPv4. والجهاز الذي يملك تطبيق VPN خاصًا به أو محللًا مشفرًا خاصًا به يتجاهل الراوتر تمامًا. أما حركة الراوتر نفسه، بما فيها التحديثات وDNS، فتتبع سياسة الخروج الخاصة به، وهي مسار مختلف عن حركة الشبكة المحلية المُمرَّرة.

التحقق واحد في النموذجين ويستغرق دقيقة: اسأل جهازين عن العنوان الذي يراه العالم، ثم انظر في قائمة اتصالات الراوتر بحثًا عن النفق. فإن أبلغ الهاتف عن عنوان المزود بينما يُظهر الراوتر نفقًا قائمًا، فالهاتف لا يُوجَّه عبره، ولن تغيّر إعادة الاتصال ذلك.

أين يفوز العميل على كل جهاز

يفوز العملاء على كل جهاز بمجرد أن تتباين المتطلبات. قد يحتاج حاسوب العمل إلى نفق مؤسسي لا يجوز للهاتف الانضمام إليه؛ وقد يقدم عميل المزود نفقًا مقسمًا لكل تطبيق، وهو ما لا يستطيع الراوتر التعبير عنه؛ وقد يحتاج الكونسول إلى البقاء خارجًا للحفاظ على نوع NAT. وكل جهاز يفشل بمفرده أيضًا، فاشتراك واحد منتهٍ لا يُسكت البيت كله.

بيانات الاعتماد هي الحجة الأكثر حدة. الراوتر الذي يتصل نيابة عن الجميع يحمل حسابًا واحدًا، وكل شخص في تلك الشبكة يرث وصوله. فإن كان المقصود توثيق كل شخص قبل الوصول إلى الإنترنت، فنفق الراوتر وحده لا يستطيع ذلك. التصميم المعتاد بوابة أسيرة تتحقق من الحساب ثم تطلق العميل في نفق قائم أصلًا، وهذا أجزاء متحركة أكثر مما تريده معظم البيوت.

دعم البروتوكولات يحسم حالات أكثر من التفضيل

راوترات المستهلك لا تعرض إلا البروتوكولات التي شحنها المصنع. راوتر يدعم PPTP أو L2TP أو IPsec العادي لا يستطيع الاتصال بمزود ينشر ملفات OpenVPN أو WireGuard فقط، ولا تغيّر أي إعدادات ذلك. الخيارات الصادقة هي مزود يتحدث بروتوكولًا مدعومًا، أو راوتر يعمل بـ OpenWrt أو برنامج ثابت آخر مع العميل الذي تحتاجه، أو عميل على كل جهاز.

الحالة المعاكسة شائعة بالقدر نفسه: راوتر قادر على OpenVPN لا يستطيع استخدام مزود تعتمد خدمته على عميل خاص وحيل توجيه خاصة به. اقرأ صفحة البروتوكولات المدعومة عند المزود قبل شراء العتاد، وتحقق من إصدار البرنامج الثابت، لأن عبارة «يدعم WireGuard» على صفحة منتج تعني غالبًا جيلًا محددًا من البرنامج الثابت.

راوتر السفر مع عميل WireGuard هو النسخة الرخيصة من نموذج الراوتر، وجواب معقول لعدد قليل من الأجهزة التي لا تستطيع تشغيل عميل. وهو مع ذلك نفق راوتر، لذا ينطبق كل ما سبق عن شبكات الضيوف وIPv6 والفشل المشترك دون تغيير.

الخيار الثالث: جهاز كبوابة

مشاركة عميل من حاسوب محمول ممكنة، وهذا ما يعنيه الناس عادة حين يقولون إنهم حوّلوا الحاسوب إلى راوتر.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

يعمل حتى ينام الجهاز، أو يعيد العميل الاتصال بملف تعريف آخر، أو يُسقط جدار الحماية الخاص بالجهاز الحزم المُمرَّرة. عندها تفقد كل ما خلفه الاتصال دفعة واحدة، ويبدو الفشل كشبكة ميتة لا كمشكلة VPN.

لمختبر أو ترتيب مؤقت هذا مقبول. أما كترتيب دائم فيجعل حاسوبًا واحدًا نقطة الفشل الوحيدة لبيت كامل، وينتهي عادة بسؤال أحدهم عن سبب توقف التلفاز عند إغلاق غطاء.

المنافذ الواردة وDNS والفشل المشترك

تتحرك الخدمات الواردة مع النفق. غالبًا يُفسد VPN على الراوتر تمرير المنافذ لخادم في الشبكة المحلية، ويجب أن يشير اسم DNS الديناميكي إلى مخرج الـ VPN لا إلى عنوان المزود إن كان المقصود أن تكون الخدمة قابلة للوصول عبر النفق. بعض المزودين لا يقدمون عنوانًا واردًا قابلًا للتوجيه إطلاقًا، وهذا ينهي بهدوء أي خطة اعتمدت عليه.

يتبع DNS الراوتر عندما يملك الراوتر النفق، وهو مناسب حتى يحتاج جهاز واحد إلى محلل آخر. عميل على كل جهاز يستطيع التعبير عن ذلك؛ أما سياسة الراوتر فلا، من دون تقسيم الشبكة إلى شطرين. الفشل مشترك أيضًا، لأن انهيارًا واحدًا أو اشتراكًا منتهيًا أو مسارًا مدفوعًا سيئًا يقطع كل جهاز في اللحظة نفسها.

اختر نموذج الراوتر حين لا تستطيع الأجهزة تشغيل عملاء ويكون مخرج واحد مقبولًا. اختر عميلًا على كل جهاز حين تختلف السياسات، أو حين يحتاج المزود بروتوكولًا لا يملكه الراوتر، أو حين لا يجوز مشاركة الحساب. وإن كان جهاز هو البوابة، فاكتب أي واجهة تشارك أي شبكة واختبر حالة «النفق ساقط»، لأنها الحالة التي يظهر فيها معظم هذه التصاميم خاطئًا.