عندما تفتح تطبيق VPN، قد ترى إعدادًا باسم «البروتوكول» يتضمن أسماء مثل WireGuard. معظم الناس لا يلمسونه أبدًا، ولا بأس في ذلك. لكن إن تساءلت يومًا عمّا تعنيه هذه الأسماء، فهذا المقال يشرحها دون رياضيات أو مصطلحات معقّدة.
ما هو بروتوكول VPN
البروتوكول ببساطة مجموعة من القواعد المتفق عليها. يحتاج جهازك وخادم VPN إلى الاتفاق على ثلاثة أمور قبل أن يتمكنا من التواصل بشكل خاص:
- من هو كل طرف. يجب أن يتأكد كل طرف من أنه يتحدث إلى الشريك الصحيح، لا إلى منتحل.
- أي المفاتيح السرية تُستخدم. يحتاجان إلى مفاتيح مشتركة لا يعرفها أحد غيرهما.
- كيف تُغلَّف البيانات. يجب قفل كل جزء من حركة البيانات ووسمه وإرساله بطريقة يستطيع الطرف الآخر فتحها.
بروتوكول VPN هو الوصفة التي تغطي هذه الأمور الثلاثة. وتوازن الوصفات المختلفة بطرق مختلفة بين البساطة والسرعة وشكل حركة البيانات على الشبكة.
التشفير في فقرة واحدة
يحوّل التشفير البيانات المقروءة إلى بيانات مبعثرة لا يستطيع إعادتها إلى حالتها الأصلية إلا من يملك المفتاح الصحيح. يصف دليل Surveillance Self-Defense الصادر عن منظمة EFF التشفير بأنه وسيلة أساسية لحماية المعلومات من الجهات السيئة ومن مزوّدي الخدمات، ويشير إلى أنه عند استخدامه بشكل صحيح يكاد يكون كسره مستحيلًا. كما يكشف التشفير الحديث أي عبث بالبيانات؛ فإذا غيّر أي شخص ولو جزءًا صغيرًا جدًا من رسالة مشفّرة أثناء انتقالها، يلاحظ المستلم ذلك ويتخلّص منها.
هناك نوعان من المفاتيح في هذه العملية:
- المفاتيح العامة والخاصة. تخيّل قفلًا توزّعه على الجميع بحرية (المفتاح العام)، والمفتاح الوحيد الذي يفتحه وتحتفظ به لنفسك (المفتاح الخاص). بهذه الطريقة يستطيع غريبان إنشاء سرّ مشترك دون أن يلتقيا.
- مفاتيح الجلسة. بعد أن يثق الطرفان ببعضهما، ينشئان مفاتيح جديدة ومؤقتة للبيانات الفعلية. هذه المفاتيح سريعة الاستخدام وتُستبدل بانتظام.
ما هي «المصافحة»
المصافحة هي المحادثة القصيرة التي تجري في بداية الاتصال، وفيها يُثبت كل طرف هويته ويتفق الطرفان على مفاتيح الجلسة. تخيّل شخصين يلتقيان في محطة قطار: يتبادلان عبارة متفقًا عليها مسبقًا، ويتأكد كل منهما من هوية الآخر، ثم ينتقلان إلى لغة خاصة لا يفهمها سواهما لبقية الرحلة.
المصافحة الجيدة سريعة، ويصعب تزويرها، ولا تكشف المفاتيح لأي شخص يتنصّت.
WireGuard: حديث وصغير عن قصد
صمّم Jason Donenfeld بروتوكول WireGuard، وهو موصوف في ورقة تقنية علنية (whitepaper). فكرته الأساسية هي إبقاء كل شيء صغيرًا وبسيطًا، لأن الشيفرة الأبسط أسهل في التدقيق بحثًا عن الأخطاء. ويذكر موقع المشروع أنه يهدف إلى أن يكون سهل الإعداد والنشر، وأنه صُمّم ليكون «قابلًا للمراجعة الشاملة من قِبل فرد واحد» بدلًا من أن يتطلب فرقًا كبيرة لتدقيقه.
إليك ما يميّز WireGuard بعبارات بسيطة:
- مجموعة ثابتة من مكوّنات قوية. تسمح البروتوكولات الأقدم لكل طرف بالتفاوض من قائمة طويلة من الخيارات، مما يزيد التعقيد ويفتح مجالًا للخطأ. أما WireGuard فيستخدم مجموعة حديثة واحدة. ووفقًا لصفحة البروتوكول الخاصة به، تشمل هذه المجموعة ChaCha20 وPoly1305 لتشفير البيانات وحمايتها، وCurve25519 للاتفاق على المفاتيح، وBLAKE2s للتجزئة (hashing)، وHKDF لاشتقاق المفاتيح.
- مصافحة مبنية على Noise. تعتمد مصافحة WireGuard على Noise Protocol Framework، وهو أسلوب مدروس جيدًا لتصميم عمليات تبادل المفاتيح. والمصافحة قصيرة: رسالة واحدة من جهازك، وردّ واحد من الخادم، ويصبح النفق جاهزًا.
- مفاتيح تتغيّر باستمرار. تذكر وثائق WireGuard أن المصافحة تتكرر كل بضع دقائق لتدوير المفاتيح، مما يوفّر السرية التامة للاتصالات السابقة (perfect forward secrecy). وبعبارة يومية: حتى لو سُرق مفتاح ما لاحقًا بطريقة ما، فلا يمكن استخدامه لفتح حركة البيانات من الجلسات السابقة.
- صامت بطبيعة تصميمه. لا يردّ خادم WireGuard على الحزم التي لا تُثبت أنها صادرة عن مفتاح معروف. وبالنسبة إلى أداة مسح غير مصرّح لها، يبدو الخادم ببساطة وكأنه لا يستجيب.
- مريح مع الأجهزة المتنقلة. إذا انتقل هاتفك من Wi-Fi إلى بيانات الهاتف المحمول، يستطيع WireGuard مواصلة النفق من العنوان الجديد دون إعادة اتصال كاملة.
هذا المزيج هو سبب تحوّل WireGuard إلى خيار شائع في تطبيقات VPN الحديثة.
أين يأتي دور TLS
أنت تستخدم بالفعل بروتوكولًا مهمًا آخر كل يوم دون أن تلاحظ: TLS، أي حرف «S» في HTTPS. عندما يظهر رمز القفل في متصفحك، يكون TLS هو ما يحمي الصفحة. والإصدار الحالي، TLS 1.3، معرَّف في RFC 8446. وهو أيضًا يستخدم مصافحة للاتفاق على المفاتيح، ثم يشفّر المحادثة.
يهمّ TLS في عالم VPN لأن بعض بروتوكولات VPN مبنية عليه، إذ تُغلَّف حركة بياناتها داخل النوع نفسه من الاتصال المشفّر الذي تستخدمه المواقع الآمنة العادية.
لماذا تتعامل بعض الشبكات مع حركة VPN بشكل مختلف
يُخفي التشفير ما بداخل الحزمة، لكن لكل بروتوكول مع ذلك ملامح عامة يمكن التعرّف عليها. فكّر في الأظرف البريدية: لا يمكنك قراءة الرسالة، لكنك ترى حجم الظرف وشكله ونمط وصول الرسائل. تستطيع معدات الشبكة فحص هذه الملامح، وهي تقنية تُسمّى غالبًا تصنيف حركة البيانات أو الفحص العميق للحزم (deep packet inspection).
تستخدم المؤسسات هذه التقنية لأسباب كثيرة. فقد تسمح شبكة شركة بأنواع معيّنة فقط من حركة البيانات، وقد تقيّد شبكة فندق كل ما لا تتعرّف عليه، كما يدير بعض مزوّدي الإنترنت حركة البيانات حسب نوعها.
ولأن WireGuard يعتمد صيغة رسائل ثابتة ومدمجة، فقد يكون التعرّف على حزمه سهلًا. هذا ليس ضعفًا في تشفيره الذي يبقى قويًا، لكنه يعني أن بعض الشبكات تستطيع تمييزه وإبطاءه أو إيقافه.
لهذا تهتم بعض البروتوكولات الحديثة بالشكل الذي تبدو عليه حركة البيانات، لا بطريقة قفلها فحسب. وهناك نهجان عامّان:
- تعديل الملامح. تغيير أحجام الحزم أو إضافة بيانات حشو (padding) حتى لا تطابق حركة البيانات نمطًا بسيطًا وثابتًا.
- استخدام ظرف مألوف. نقل النفق داخل اتصال TLS بحيث يشبه حركة الويب المشفّرة التي تتعامل معها معظم الشبكات أصلًا.
يُبقي كلا النهجين بياناتك مشفّرة طوال المسار بين جهازك وخادم VPN، وهدفهما اتصال مستقر وخاص. التزم دائمًا بالقوانين وقواعد الشبكة التي تنطبق عليك.
البروتوكولات في تطبيقات VPNRice
تقدّم VPNRice ثلاثة بروتوكولات، إضافة إلى وضع Auto (تلقائي):
- WireGuard. البروتوكول القياسي الموصوف أعلاه، وهو خيار افتراضي جيد لمعظم الشبكات المنزلية وشبكات الهاتف المحمول.
- RiceGuard. هو WireGuard مع تمويه إضافي للحزم (obfuscation)؛ يحتفظ بتشفير WireGuard لكنه يغيّر ملامح الحزم.
- RiceGuardX. مبني على VLESS مع REALITY، وهو بروتوكول قائم على TLS، لذا يُنقل النفق داخل اتصال TLS.
- Auto. يختار التطبيق بروتوكولًا نيابةً عنك، ويبدّله إذا لم ينجح الاتصال.
البروتوكولات الثلاثة ووضع Auto متاحة على Android وAndroid TV. أما على iPhone وiPad، فلا يستخدم وضع Auto بروتوكول RiceGuardX. ويوفّر تطبيق Windows خيارات WireGuard وRiceGuardX وAuto. وتعمل إضافتا Chrome وFirefox بطريقة مختلفة: فهما وكيلان للمتصفح (proxy) يمرّران حركة بيانات متصفحك فقط عبر خوادم VPNRice (وتبقى المواقع التي تفتحها عبر HTTPS مشفّرة من طرف إلى طرف).
أيّها تختار؟
بالنسبة لمعظم الناس، الإجابة الصادقة هي: اتركه على Auto. وإن أردت التجربة:
- استخدم WireGuard عندما تكون شبكتك عادية وتريد إعدادًا بسيطًا ومفهومًا جيدًا.
- إذا كان الاتصال غير مستقر على شبكة معيّنة، فسيجرّب وضع Auto بروتوكولًا آخر؛ ويمكنك أيضًا التبديل يدويًا.
أيًّا كان اختيارك، تبقى الأساسيات نفسها: تشفير قوي، ومصافحة سريعة، ومفاتيح تتغيّر بانتظام.
خلاصة القول
- البروتوكول هو دليل القواعد الذي يتّبعه جهازك وخادم VPN للتواصل بشكل خاص.
- تُثبت المصافحة الهويات وتُنشئ مفاتيح جديدة.
- WireGuard حديث ومدمج ويستخدم مجموعة ثابتة من أساليب التشفير القوية.
- تتعرّف بعض الشبكات على حركة VPN من ملامحها، رغم أنها لا تستطيع قراءتها.
- تغيّر البروتوكولات الأحدث شكل حركة البيانات مع إبقائها مشفّرة.
هل تودّ رؤية هذه البروتوكولات أثناء العمل؟ نزّل VPNRice، وافتح إعداد البروتوكول، وبدّل بينها لترى أيّها يعمل جيدًا على شبكتك.