ما الذي يجب أن تسمح به VPS قبل أن تستضيف VPN الخاص بك

تبدأ النسخة، وتنجح عمليات تثبيت الحزم، بل تُبلغ الخدمة عن حالة تشغيل، ومع ذلك لا يتصل شيء. هذا النمط شائع على الخوادم الخاصة الافتراضية، لأن الضيف الذي يصل إلى الإنترنت بسهولة قد يظل عاجزًا عن إنشاء الواجهة التي يريدها بروتوكولك. تفصل خمسة فحوص بين مضيف قادر على خدمة نفق ومضيف يبدو جاهزًا فقط، والفحص الأول الذي يفشل يفسر عادةً كل ما يليه. كل فحص زهيد التشغيل وينتهي بقرار لا بملاحظة.

تأكد من الواجهة التي يحتاجها البروتوكول

OpenVPN عبر TUN يحتاج إلى جهاز الأحرف ووحدة النواة التي تقف خلفه؛ ويحتاج WireGuard إلى دعمه الخاص في النواة أو إلى تنفيذ في فضاء المستخدم بتوقعات متطابقة. قد تشترك الحاويات المُدارة في نواة مضيف لا تكشف الجهاز أبدًا، وبعض المنصات تمنع إنشاء واجهات النفق منعًا باتًا بغض النظر عما هو مثبت.

اختبر القدرة بدلًا من قراءة صفحة الدعم، لأن تسميات التسويق تتغير أسرع من الحدود الكامنة. قد لا تصف قائمة الميزات المكتوبة لخطة واحدة النواة التي يعمل عليها الضيف فعلًا. أمران قصيران يجيبان عن السؤال بالنسبة للبروتوكولات الشائعة، وكلاهما ينظف وراءه. الأوامر أدناه لا تنشئ شيئًا دائمًا وتُزال فورًا.

sudo ip tuntap add dev tun9 mode tun
sudo ip tuntap del dev tun9 mode tun
sudo ip link add wgtest type wireguard && sudo ip link del wgtest

رفض على الزوج الأول يعني أن TUN غير متاح وأن الوضع الافتراضي لـ OpenVPN لا يمكن أن يبدأ؛ ورفض على السطر الأخير يعني أن واجهة WireGuard في النواة مفقودة. أما وثائق TUN/TAP في النواة فتوصف الجهاز الذي يختبره الفحص الأول. ولا يُصلح أي من الفشلين بإعادة تثبيت حزمة VPN.

تذكر أن المسار الوارد له مالكَان

قواعد شبكة المزود وجدار حماية الضيف نظامان منفصلان، وعلى حركة المرور أن تنجو من كليهما. المستمع المرتبط على الضيف لا يعني شيئًا إذا أسقطت مجموعة الأمان لدى المزود المنفذ، وقاعدة مفتوحة لدى المزود لا تفعل شيئًا إذا رفض الضيف الحزمة. تحقق من المستمع، ثم قواعد الضيف، ثم لوحة المزود، بهذا الترتيب، وأكّد البروتوكول فضلًا عن رقم المنفذ. القفز إلى لوحة المزود أولًا هو كيف ينتهي الناس إلى فتح نطاق لم يحتاجوه.

UDP هو الضحية المعتادة: منصات كثيرة تسمح بـ TCP افتراضيًا وتتعامل مع قواعد UDP كمدخل منفصل. إذا كانت النسخة خلف NAT الخاص بالمزود بدلًا من امتلاك عنوان عام، يصبح تحويل المنافذ على جانب المزود إعدادًا ثالثًا يحتاج إلى توفيق.

خطط لمسار العودة، لا للمخرج فقط

تتطلب خدمة النفق الكامل تفعيل إعادة التوجيه، ومخطط ترجمة أو توجيه لحركة عملاء، ومسار عودة يصل إلى مجموعة العملاء. وفتح مستمع لا يوفر أيًا من ذلك. النفق الذي يُنشأ لكنه لا يحمل حركة مفيدة يفشل عادةً هنا لا عند المصادقة. اعتبر المصافحة الناجحة بداية التشخيص لا نهايته.

اكتب الخطة كثلاثة قرارات ملموسة: أي نطاق مصادر يتلقى العملاء، وكيف تخرج حركتهم نحو الإنترنت، وكيف تجد الردود طريقها عائدًا. ثم تأكد من أن النواة توافق الخطة قبل اختبار عميل، حتى لا يُفهم تجاهل صامت على أنه عطل من جهة العميل.

sysctl -n net.ipv4.ip_forward
sudo nft list ruleset | head -n 40
ip -4 route show default

احسم مسألة IPv6 صراحةً

يصل IPv6 عبر آليات عدة تتصرف بشكل مختلف بالنسبة لبوابة: عنوان على النسخة، أو بادئة موجّهة، أو لا شيء على الإطلاق. البادئة الموجّهة وحدها تتيح للخادم منح العناوين للعملاء بالطريقة المعتادة. افتراض أن عنوان IPv6 العامل على المضيف يعني بادئة عملاء قابلة للاستخدام خطأ يظهر لاحقًا على شكل اتصال ناقص. وهو من نوع الأعطال التي تنجو من كل اختبار يُجرى باستخدام IPv4 فقط.

إذا لم يوجّه المزود أي بادئة، فاحسم ما إذا كان النفق خاصًا بـ IPv4 فقط وما إذا كان ينبغي إبلاغ العملاء بذلك. الغياب الموثّق أأمن من إعداد جزئي يرمي وجهات IPv6 في ثقب أسود بصمت للمستخدمين المتصلين.

أثبته من عميل خارجي

حالة الخدمة المحلية تصف عملية واحدة على مضيف واحد. الاختبار المفيد هو عميل مصرح له على شبكة مختلفة، يتصل بالملف الشخصي الذي تنوي توزيعه، ثم يصل إلى تطبيق ويحل اسمًا. أعد الاتصال مرة واحدة أيضًا، لأن نفقًا يعمل في المحاولة الأولى فقط يفشل في المتطلب الأهم عمليًا.

sudo wg show wg0 latest-handshakes
ip -4 route get 203.0.113.44
sudo journalctl -u wg-quick@wg0 -n 15 --no-pager

احتفظ بالأساسيات التشغيلية إلى جانب الاختبار: متسع للتحديثات، وسجلات محدودة، ووصول إداري لا يعتمد على النفق، ووحدة تحكم للاستعادة، وملاحظة عما يحدث لملفات تعريف العملاء عندما تُعاد بناء النسخة ويتغير عنوانها العام. إذا لم تكن واجهة مطلوبة أو نموذج إعادة توجيه متاحًا ببساطة، فلن يوفره أي تغيير من جهة العميل، والخطوة التالية الصادقة هي نوع نسخة مختلف لا مزيد من الإعداد.