جهاز التوجيه أو حاسوب منفصل كخادم VPN لديك: كيف تختار

يمكن لكل من جهاز التوجيه والحاسوب الصغير إنهاء نفق VPN، ونادرًا ما يتوقف القرار على معدل النقل. بل يتوقف على من يطبّق التحديث في الثانية صباحًا، وما الذي يتوقف أيضًا عند إعادة تشغيل ذلك الصندوق، وما إذا كنت لا تزال تستطيع الوصول إلى وحدة تحكم عندما يكون النفق هو ما تعطّل. أجب عن هذه الأسئلة الثلاثة لكل مرشح، وسيتخذ الاختيار نفسه عادةً. يحوّل الإجراء أدناه المقارنة إلى قائمة قصيرة بأمور يمكنك فحصها قبل الالتزام.

ابدأ بما يجب أن يبقى قائمًا عندما يفشل النفق

العطل الذي يجب التصميم له هو الذي تموت فيه عملية VPN وتحتاج مع ذلك إلى الوصول إلى المضيف. على جهاز توجيه، يتشارك النفق وبوابة الإنترنت المصير نفسه: تغيير تكوين سيئ واحد يمكن أن يُسقط الاثنين، وغالبًا ما يكون مسار الاستعادة إعادة ضبط فيزيائية. على حاسوب منفصل، تظل البوابة تعمل ويظل المضيف قابلًا للوصول عبر الشبكة المحلية. أيٌّ من هذه النتائج يمكنك تحمّله يحدد أكثر من أي قائمة ميزات.

اكتب الجواب جملةً واحدة: إذا أُعيد تشغيل مضيف VPN، فماذا يخسر المنزل أو المكتب؟ إذا شمل الجواب كل الوصول إلى الإنترنت، فقد قبلت نطاق فشل مشتركًا وعليك أن تقول ذلك عن قصد بدلًا من اكتشافه لاحقًا.

الخدمة الثانية على الجهاز نفسه ليست وحدة تحكم احتياطية. فهي تتشارك مصدر الطاقة والبرامج الثابتة وحساب المسؤول.

احسب أسطح الصيانة التي يضيفها كل مضيف

يجلب جهاز التوجيه برامج ثابتة من الشركة المصنعة لها إيقاع إصدار خاص بها، وميزة VPN عادةً وحدة واحدة داخل صورة أكبر بكثير. يجلب الحاسوب نظام تشغيل ومدير حزم ونواة ومجموعة خدمات تملكها الآن. كلاهما يحتاج إلى ترقيع، والسؤال الحقيقي هو أي إيقاع ستلتزم به بعد أن تزول جِدّة الأمر.

على مضيف Linux، اجعل ذلك الإيقاع مرئيًا بدلًا من الأمل فيه. يعرض systemctl list-timers المهام المجدولة، ويعرض apt list --upgradable ما ينتظر. سجّل أي التحديثات تحتاج إلى إعادة تشغيل، لأن مضيف VPN يُعاد تشغيله هو انقطاع ما لم تخطط له. جهاز توجيه بلا مسار تحديث تلقائي يحتاج بدلًا من ذلك إلى إدخال في التقويم، وهو تحكّم أضعف لكنه صادق.

احسب الحسابات أيضًا. كل تسجيل دخول إضافي لمسؤول على مضيف VPN هو بيانات اعتماد أخرى يجب تدويرها ومسار آخر يجب إلغاؤه.

تتبّع مسار الشبكة الخاصة، لا الملصق على الصندوق

لا يهم العملاء أين يعمل الخادم؛ يهمهم ما إذا كانت البادئات المحمية قابلة للوصول وما إذا كان هناك مسار عودة. ضع الخادم حيث تكون التوجيهات أبسط، وهذا يعني عادةً مباشرةً على المقطع الذي يحتوي الموارد. الحاسوب خلف جهاز التوجيه لا يزال يحتاج إلى إعادة توجيه منفذ، والموارد على تلك الشبكة المحلية لا تزال تحتاج إلى مسار عودة إلى شبكة النفق الفرعية.

افحص إعادة التوجيه على المضيف قبل لوم العميل. يجب أن يعرض sysctl net.ipv4.ip_forward القيمة 1، ويعرض nft list ruleset أو iptables -S ما إذا كان يُسمح لواجهة النفق بإعادة التوجيه أصلًا. قاعدة masquerade مفقودة تبدو تمامًا مثل نفق معطّل من جهة العميل.

حدّد أيضًا ما يجب ألا يصل إليه النفق. الخادم الموضوع على جهاز التوجيه يمكنه رؤية كل شبكة فرعية يوجّهها ذلك الجهاز، وهذا غالبًا أكثر مما تقصده سياسة الوصول. على مضيف منفصل، العزل نفسه يبعد قاعدة جدار حماية واحدة، ونطاق تأثر عميل مخترق أصغر. يصف وصف بوابة IPsec في RFC 7296 ذلك كمسألة توجيه وسياسة، لا كمسألة عتاد، ولا أحد الشكلين أكثر أمانًا افتراضيًا حتى تُكتب السياسة.

احتفظ بوحدة تحكم للاستعادة لا تعتمد على النفق

وحدة التحكم التي تستخدمها لإصلاح VPN لا يمكن أن تكون هي VPN. احتفظ بعنوان LAN أو وحدة تحكم تسلسلية أو وحدة تحكم من المزوّد تعمل والنفق معطّل، واستخدمها مرة واحدة على الأقل قبل أن تحتاجها. مسار خارج النطاق لم يُجرَّب قط هو خطة وليس قدرة.

خُذ نسخة احتياطية من التكوين في مكان لا يستطيع المضيف نفسه حذفها. يلتقط tar -czf vpn-config-2026-11-03.tar.gz /etc/wireguard /etc/openvpn المفاتيح وتعريفات الخدمات، ويجب أن تخرج النسخة من الجهاز. أدرج قواعد جدار الحماية وجرد العملاء، لأن استعادة المفاتيح دون قائمة الأقران تنتج خادمًا لا يستطيع أحد الانضمام إليه. خزّن الأرشيف حيث تستطيع وحدة تحكم الاستعادة الوصول إليه.

اكتب خطوة التراجع في الملاحظة نفسها. تغيير التكوين بلا خطوة عكس موثّقة هو تغيير دائم، مهما كانت النية.

تحقّق من الاختيار بإعادة تشغيل وتحديث

اختبر الترتيب كما سيفشل، لا كما يعمل في يوم جيد. أعد تشغيل المضيف، وطبّق تحديثًا معلّقًا، ثم تأكّد من أن النفق يعود دون خطوات يدوية.

بعد إعادة التشغيل، افحص الأمور الثلاثة التي تتعطّل أكثر من غيرها. يعرض systemctl is-active wg-quick@wg0 ما إذا كانت الواجهة قد عادت، ويعرض ss -lunp ما إذا كان هناك شيء يستمع على المنفذ، ويسرد wg show قرينًا بمصافحة مكتملة. خدمة نشطة بلا مصافحة تعني أن جدار الحماية أو المسار خطأ وليس الخادم الخفي.

أعد الفحص من عميل على شبكة مختلفة عن التي كوّنت منها. إذا نجا النفق من إعادة تشغيل وتحديث وتغيير شبكة العميل، فاختيار المضيف محسوم في الوقت الحالي. وإن لم ينجُ، فالقطعة المفقودة عادةً خطوة موثّقة وليس صندوقًا آخر.