تشغيل خادم VPN على VPS بـ 5 دولارات في 2026: دليل خطوة بخطوة — Hetzner و Contabo

مقدمة

ستحصل على خادم VPN شخصي على VPS بـ 5 دولارات، يتم إعداده وفقًا لأفضل ممارسات الأمان وجاهز للاستخدام على هاتفك المحمول، الحاسوب المحمول والمكتبي. سنقوم بإعداد WireGuard كبروتوكول حديث وسريع، مع خيار إضافة OpenVPN للمتوافقية، وتمكين جدار حماية وتحديثات تلقائية، وتكوين ملفات العملاء، وتصحيح توجيه الشبكة. بنهاية الدليل، سيكون لديك نظام إدارة واضح وتعليمات للرجوع إليها عند استكشاف الأخطاء.

هذا الدليل موجه للمبتدئين لكنه يتضمن أقسامًا للمحترفين: ضبط UFW و sysctl، التعامل مع IPv6، فصل الوصول، إضافة OpenVPN، وخيارات المراقبة. سنتبع الخطوات بدقة بدون تخطي، مع التأكد في كل مرحلة.

ما تحتاج معرفته مسبقًا. مهارات أساسية في نسخ الأوامر ومعرفة مكان تنفيذها تكفي. نشرح المصطلحات بلغة سهلة. لا يلزم معرفة متقدمة في Linux، لكن إن كنت تعرف SSH ومدير الحزم apt فذلك مفيد.

كم من الوقت تحتاج. التثبيت الأساسي والتحقق يستغرقان حوالي 2-3 ساعات. مع الإعدادات المتقدمة وOpenVPN، توقع 3-5 ساعات. الغالبية العظمى من الوقت ستقضيها في التحقق الدقيق ونقل ملفات التكوين للأجهزة.

التحضيرات الأولية

الأدوات والوصول المطلوب. ستحتاج إلى حساب لدى مزود VPS—ويفضل تجهيز بطاقتي دفع تحسبًا لفشل أحدهما—وجهاز لإدارة الخادم. يعمل Windows و macOS و Linux جميعًا. على Windows، سيكون من المفيد وجود طرفية وعميل SSH؛ على macOS و Linux، الطرفية متاحة أصلًا. يلزم اتصال إنترنت مستقر و30-60 دقيقة متواصلة لكل خطوة رئيسية.

متطلبات النظام. يعمل WireGuard و OpenVPN بشكل جيد على 1 معالج افتراضي، 1 جيجابايت ذاكرة RAM، و20-40 جيجابايت مساحة تخزين. إذا كنت تنوي توصيل أكثر من 10 عملاء وتشغيل بث مكثف، احصل على 2 جيجابايت RAM. تعتمد سرعة الاتصال على خطة مزودك والشبكة. في معظم الحالات، الإعدادات الحدية من Hetzner و Contabo تكفي حركة البيانات المنزلية وبث فيديو Full HD بسهولة.

ما يجب تثبيته على جهازك. على Windows، ثبت عميل SSH—الإصدارات الحديثة تحتوي عليه كميزة مدمجة. أما على macOS و Linux، SSH مثبت أصلاً. ثبت محرر نصوص لتحرير ملفات التكوين—النوتباد أو أي محرر آخر suffices. على الأجهزة المحمولة، حمّل تطبيقات WireGuard و OpenVPN من المتاجر الرسمية، لكن انتظر للتثبيت حتى يتم إعداد الخادم.

تحضير النسخ الاحتياطية. لا حاجة للنسخ الآن، ولكن لاحقًا سنجهز نسخ احتياطية لملفات تكوين VPN. جهز مجلدًا على جهازك لتخزين المفاتيح وملفات العملاء. سمّه بوضوح مثل VPN-configs ولا تزامنه مع خدمات التخزين السحابي العامة. ملفات التكوين قد تحتوي على مفاتيح خاصة.

المفاهيم الأساسية

المصطلحات الرئيسية بلغة بسيطة. VPS هو خادم افتراضي عن بُعد في مركز بيانات. تحصل على عنوان IP عام وحقوق إدارية كاملة. VPN هو نفق مشفر بين جهازك والخادم. WireGuard هو بروتوكول حديث وسريع يستخدم مفتاح زوجي وسهل الإعداد. OpenVPN كلاسيكي ومتعدد الاستخدامات، مطلوب غالبًا للأجهزة القديمة والشبكات المؤسسية. جدار الحماية UFW هو واجهة سهلة لإدارة قواعد الشبكة. SSH طريقة آمنة للاتصال بالخادم من الطرفية.

كيف يعمل. يرسل جهازك حركة المرور عبر نفق مشفر إلى VPS. الخادم يستبدل عنوان IP الأصلي بخاصته ويوجه الحركة إلى الإنترنت. الردود تعود إلى VPS ثم تُرسل عبر النفق إليك. تعتمد الحماية على التشفير وتقييد الوصول الخارجي عبر قواعد الجدار الناري. التوجيه السليم يمنع تسرب البيانات فلا تتجاوز الطلبات VPN وتكشف عنوان IP الخاص بك.

ما هو المهم فهمه قبل البدء. نقطتان أساسيتان: الأمان وقابلية التكرار. سنحتفظ بالخدمات الأساسية فقط على الخادم، نوقف غير الضروري، نشغل التحديثات وإصدار التكوين. يمكنك دومًا إضافة عملاء جدد، إلغاء ملفات التكوين المفقودة، ونقل الخادم لمزود آخر. اتبع التعليمات بعناية وتحقق من كل نتيجة وسيطة.

الخطوة 1: اختيار وطلب VPS بـ 5 دولارات من Hetzner أو Contabo

الهدف

الحصول على VPS فعال بعنوان IP عام، مثبت عليه Ubuntu LTS، مع بيانات اعتماد SSH صحيحة.

خطوات مفصلة

1. سجّل دخولك إلى لوحة تحكم المزود المختار واذهب لإنشاء خادم جديد.
2. اختر الموقع الجغرافي. الأقرب إليك يعني تأخير أقل. الخيارات الأوروبية الشهيرة: ألمانيا وهولندا. للولايات المتحدة، الساحل الشرقي أو الغربي. للاستخدام المختلط، اختَر أوروبا الوسطى.
3. اختر نظام التشغيل. نوصي بـ Ubuntu 24.04 LTS. مدعوم جيدًا ويأتي مع كل الحزم الضرورية.
4. اختر حجم الخطة. بحوالي 5 دولارات، اختر 1 vCPU، 1 جيجابايت RAM، و20-40 جيجابايت قرص. راجع السعر الفعلي في الواجهة فقد يتغير بالعملة والضرائب.
5. اترك إعدادات الشبكة على الافتراضي. فعّل IPv6 إذا كان متوفرًا—يساعد في التوافق والاختبار.
6. أنشئ أو أضف مفتاح SSH. إذا لم تملك مفتاحًا، سنولده لاحقًا ونمكّن مؤقتًا تسجيل الدخول بكلمة مرور. إذا توفر خيار البانل، عين كلمة مرور قوية واحتفظ بها في مدير كلمات المرور.
7. أكد الطلب وانتظر بدء التشغيل. سترى عنوان IP العام واسم المضيف؛ احتفظ بهما في ملاحظاتك.

⚠️ تنويه: قد يقيّد المزود بعض أنواع الحركة أو الأنشطة. اطلع على سياسات الاستخدام لبلدك والمزود. لا تستخدم خوادم VPN لأغراض غير قانونية.

نصيحة: إذا كنت مترددًا بين Hetzner و Contabo، اختر بحسب قرب مركز البيانات وسهولة استخدام اللوحة. نقل التكوين لاحقًا سهل إذا احتفظت بملفات الإعداد آمنة.

✅ تحقق: الخادم أنشئ، عنوان IP ظاهر، الحالة نشطة. اللوحة تظهر صورة Ubuntu 24.04 LTS وتمكين SSH.

مشاكل وحلول شائعة

• الخادم لا يبدأ. السبب: مشاكل مؤقتة من المزود. الحل: إلغاء الطلب وإنشاؤه مجددًا أو اختيار موقع آخر.
• لا يوجد IPv6. السبب: الخطة أو الموقع لا يدعمه. الحل: الاستمرار في IPv4، وهو غير حرج.
• فشل الدفع. السبب: قيود البنك. الحل: استخدام بطاقة أخرى أو طريقة دفع مدعومة.

الخطوة 2: أول اتصال SSH وفحص النظام الأساسي

الهدف

الاتصال بالخادم، تأكيد توافره، فحص نسخة النظام، والتحقق من واجهات الشبكة.

خطوات مفصلة

1. افتح طرفية على جهازك. على Windows قد تكون Windows Terminal. على macOS و Linux افتح الطرفية الافتراضية.
2. نفّذ الأمر ssh username@server_IP. إذا لم تنشئ مستخدمًا، استخدم root أو ubuntu حسب الصورة؛ اللوحة تعرض هذه المعلومات.
3. عند أول دخول، أكد بصمة مفتاح الخادم؛ هذا أمر طبيعي. وافق لإكمال.
4. أدخل كلمة المرور إذا طُلبت. باستخدام المفاتيح يفتح الوصول فورًا إذا كان المفتاح صحيحًا.
5. افحص نسخة نظام التشغيل بأمر cat على ملف الإصدار داخل /etc. تحقق من أنها Ubuntu 24.04 LTS.
6. تحقق من واجهات الشبكة باستخدام ip a. ينبغي مشاهدة eth0 أو ens3 مع عنوان IPv4 خارجي. إذا كان IPv6 مفعلًا تظهر عناوين بها نقطتين.

نصيحة: فعّل سجل الأوامر في ملاحظاتك فورًا. بعد كل خطوة رئيسية، انسخ الأوامر في ملف محلي لتسهيل التتبع وإعادة الإعداد.

✅ تحقق: دخول ناجح عبر SSH، ظهور موجه الأوامر، نسخة أوبونتو صحيحة، وواجهة الشبكة موجودة مع IPv4 وIPv6 إذا توفرت.

مشاكل وحلول شائعة

• SSH لا يتصل. السبب: المنفذ مغلق أو عنوان IP خاطئ. الحل: تحقق من IP والمنفذ، أعد تشغيل الخادم من اللوحة، افحص قواعد الجدار الناري.
• مهلة الاتصال. السبب: مشاكل في الشبكة أو اسم المستخدم خاطئ. الحل: تأكد من اسم المستخدم وتشغيل الخادم.
• بصمة المفتاح خاطئة. السبب: إعادة إنشاء الخادم على نفس IP. الحل: امسح مدخل known_hosts على جهازك المحلي.

الخطوة 3: أساسيات الأمان — تحديثات، مستخدمون، مفاتيح SSH، وجدار حماية

الهدف

حماية الخادم من الهجمات الشائعة، تعطيل تسجيل الدخول بكلمة مرور، تفعيل UFW، وإعداد النظام لتثبيت VPN.

خطوات مفصلة

1. حدّث الحزم. نفّذ apt update ثم apt upgrade مع التأكيد. انتظر الإتمام.
2. ثبت الأدوات الأساسية: sudo، ufw، htop، curl، qrencode. يساعد qrencode في نقل التكوين للهواتف عبر رموز QR. إذا لم يكن curl موجودًا، ثبت لأنه مهم للتشخيص.
3. أنشئ مستخدمًا منفصلًا بصلاحيات sudo. أضف المستخدم، امنح كلمة سر قوية، وأضفه لمجموعة sudo.
4. ولد زوج مفاتيح SSH على جهازك لو لم تكن تملك واحدًا. استخدم أوامر عميل SSH على Windows/macOS/Linux. خزّن المفتاح الخاص بأمان.
5. انسخ المفتاح العام إلى الخادم للمستخدم الجديد عبر ssh-copy-id أو يدويًا. تأكد من احتواء ملف المفتاح في الخادم على مفتاحك.
6. عطّل تسجيل الدخول بكلمة مرور لـ SSH. عدّل تكوين خادم SSH ليصبح PasswordAuthentication no، وتحقق من تمكين الدخول بالمفتاح.
7. أعد تشغيل خدمة SSH. تحقق ألا يفقد الاتصال الحالي حياته. احتفظ بالجلسة مفتوحة حتى تجرب الدخول الجديد من نافذة ثانية.
8. افتح طرفية جديدة واتصل بالمستخدم الجديد بالمفتاح، وتحقق من صحة الوصول.
9. فعل وكون جدار الحماية UFW. سمح بالمنفذ 22 لـ SSH، اضبط القواعد الافتراضية لمنع الدخول والسماح بالخروج. فعّل UFW وتحقق من الاتصال.

⚠️ تحذير: لا تغلق جلستك الوحيدة النشطة على SSH قبل التحقق من نجاح الاتصال الجديد. فقدان الوصول يعني استخدام وحدة تحكم المزود للإنقاذ.

نصيحة: قيد وصول SSH بعنوان IP إذا لديك عنوان منزلي ثابت. أضف قاعدة UFW تسمح فقط من عنوانك واحذف القاعدة العامة للسماح بـ SSH.

✅ تحقق: يمكنك تسجيل الدخول كمستخدم جديد بالمفتاح، تم إيقاف تسجيل الدخول بكلمة المرور، UFW نشط وعرض سماح SSH وحظر باقي الاتصالات الواردة.

مشاكل وحلول شائعة

• فقدان SSH بعد تعديل الإعداد. السبب: خطأ في التكوين. الحل: استخدم وحدة تحكم المزود للرجوع عن التغيير وحاول بعناية مجددًا.
• UFW يمنع SSH. السبب: غياب قاعدة السماح على المنفذ 22. الحل: أضف القاعدة وشغل UFW ثانية.
• فشل إضافة المفتاح. السبب: أذونات خاطئة لمجلد .ssh أو authorized_keys. الحل: ضبط الأذونات والملكية بشكل صحيح.

الخطوة 4: تثبيت وتكوين WireGuard على الخادم

الهدف

ثبت WireGuard، أنشئ مفاتيح الخادم، قم بتكوين النفق، وفعل التوجيه وNAT للوصول إلى الإنترنت عبر VPS.

خطوات مفصلة

1. ثبت WireGuard: apt install wireguard. انتظر الإتمام.
2. أنشئ مجلد للمفاتيح مع أذونات صارمة. استخدم umask لتقييد الوصول وأنشئ ملفات المفتاح الخاص والعام للخادم.
3. ولد مفاتيح WireGuard للخادم. احفظ المفتاح الخاص بسرية، واستخرج المفتاح العام. لا تشارك المفتاح الخاص أبدًا.
4. حدد الشبكات الفرعية للـ VPN. استخدم 10.8.0.0/24 لـ IPv4 وfd86 لـ IPv6 ULA. سيكون للخادم 10.8.0.1 والعنوان المقابل لـ IPv6 على الواجهة wg0.
5. أنشئ ملف تكوين WireGuard في /etc/wireguard/wg0.conf. عرّف قسم Interface بعنوان 10.8.0.1/24 وIPv6 المحلي، ListenPort 51820 UDP، PrivateKey، و SaveConfig true. أضف قواعد PostUp و PostDown لـ NAT و توجيه الحزم (عادة عبر iptables). عدّل قواعد PostUp للسماح بالتوجيه والتنكر عبر الواجهة الرئيسية الصادرة مثل eth0 أو ens3، وكرر عكس العملية في PostDown.
6. فعل توجيه الحزم على مستوى النظام. أنشئ ملفًا في /etc/sysctl.d/ مع الأسطر net.ipv4.ip_forward=1 و net.ipv6.conf.all.forwarding=1. طبق الأمر sysctl --system.
7. افتح منفذ WireGuard 51820 UDP في جدار الحماية UFW. تحقق من حالة UFW.
8. شغّل واجهة WireGuard: wg-quick up wg0. تحقق من عدم وجود أخطاء. فعل التشغيل التلقائي: systemctl enable wg-quick@wg0.
9. تحقق من ظهور واجهة wg0 باستخدام ip a، مع عنوان 10.8.0.1 وعناوين IPv6 ULA.

نصيحة: إذا لم تكن الواجهة الرئيسية للخادم eth0 بل شيء آخر، عدّل قواعد PostUp/PostDown وفقًا لذلك. يمكنك العثور على الواجهة الافتراضية باستخدام ip route show default.

✅ تحقق: يظهر wg show الواجهة wg0 بلا نظيرين، UFW يسمح بـ UDP 51820، وip a تظهر 10.8.0.1 على wg0. توجيه الحزم مفعل.

مشاكل وحلول شائعة

• فشل تشغيل wg-quick. السبب: أخطاء إملائية في التكوين. الحل: تحقق من الصياغة، الأسطر الفارغة، وأذونات الملف.
• التوجيه غير مفعل. السبب: تغييرات sysctl لم تطبق. الحل: أعد تشغيل sysctl --system وتحقق.
• المنفذ غير متاح خارجيًا. السبب: UFW يمنع أو جدار حماية المزود. الحل: أضف قاعدة UFW واضبط جدار حماية المزود.

الخطوة 5: إنشاء ملفات تعريف عملاء WireGuard وربط الأجهزة

الهدف

إنشاء مفاتيح عملاء، تسجيلهم على الخادم، إعداد الملفات للهواتف والحواسيب، الاتصال والتحقق من حركة المرور.

خطوات مفصلة

1. انشئ أزواج مفاتيح للعملاء على الخادم أو محليًا. يكون مركزياً أسهل. أنشئ مجلد /etc/wireguard/clients ومجلدات فرعية بأسماء العملاء مثل phone أو laptop.
2. أنشئ مفاتيح خاصة وعامة لكل عميل وخزنها مع أذونات صارمة.
3. خصص عناوين IP للعملاء داخل شبكة VPN، مثلاً 10.8.0.2 للعميل الأول مع IPv6 ULA مطابق. تذكر هذه القيم.
4. حرر ملف wg0.conf على الخادم، أضف قسم Peer لكل عميل. ضمّن المفتاح العام للعميل، AllowedIPs (10.8.0.2/32 زائد IPv6/128). احفظ التكوين. إذا SaveConfig true، يمكن إضافة عملاء ديناميكيًا باستخدام wg set مع الحفظ.
5. أنشئ ملف التكوين للعميل. في قسم Interface، أدرج المفتاح الخاص، العنوان(العناوين)، وأسماء خوادم DNS مثل 1.1.1.1 مع محلل IPv6. في قسم Peer، أدخل مفتاح الخادم العام، Endpoint (IP المنفذ 51820)، PersistentKeepalive 25، و AllowedIPs 0.0.0.0/0 و ::/0 لتوجيه كل الحركة عبر النفق.
6. أعد تشغيل wg0 أو أعد تحميل تكوين الخادم لتطبيق الإضافات.
7. صدر ملف التكوين للجهاز. للهواتف، انشئ رمز QR من نص التكوين، وافتح تطبيق WireGuard واستورد عبر QR. للحواسيب، انسخ عبر SCP إلى مجلد آمن.
8. فعّل النفق على العميل. في التطبيق، شغّل الملف وتحقق من حالة الاتصال مع آخر زمن Handshake.

نصيحة: استخدم أسماء واضحة للملفات مثل phone-ivan أو macbook-work لتسهيل المراجعة والإلغاء.

✅ تحقق: يعرض wg show على الخادم العميل والمفتاح العام وآخر handshake وحسابات البيانات. ملف العميل نشط ومتصل.

مشاكل وحلول شائعة

• العميل لا يتصل. السبب: Endpoint خاطئ أو المنفذ محجوز. الحل: تحقق من IP الخادم، تأكد من السماح بـ UDP 51820 في UFW، أعد تشغيل الخدمة إذا لزم.
• الاتصال قائم لكن لا إنترنت. السبب: نقص NAT أو قواعد توجيه خاطئة. الحل: تحقق من sysctl وسكريبت PostUp؛ تحقق من الواجهة الصادرة.
• فشل الاستيراد في الهاتف. السبب: مشاكل ترميز أو ملف تكوين ناقص. الحل: افتح في محرر نصوص بسيط وتأكد من وجود كل الأقسام والمفاتيح.

الخطوة 6: اختبار الحركة وحماية ضد تسرب DNS وIPv6

الهدف

تأكد أن كل الحركة تمر عبر VPN، تجنب تسرب DNS، وتعامل صحيح مع IPv6 حتى لا تتسرب التطبيقات خارج النفق.

خطوات مفصلة

1. تحقق التوجيه على العميل. على الحواسيب افتح الطرفية واعرض جدول التوجيه؛ يجب أن يكون المسار الافتراضي عبر WireGuard. على الهواتف، تحقق من رمز الحالة في التطبيق ونجاح الطلبات.
2. تأكد أن استعلامات DNS تستخدم الخوادم المحددة. إذا تم الإعداد، يعالج العميل DNS عبر النفق. تحقق من إعدادات DNS للعميل تطابق تكوين VPN.
3. تأكد من عدم وجود تسرب IPv6. إذا كان IPv6 مفعلًا على العميل، يجب أن تتضمن AllowedIPs ::/0 لتوجيه كل حركة IPv6 عبر VPN. إذا لم يقدم المزود IPv6، تأكد من أن العميل لا يرسل حركة IPv6 خارجه.
4. اختبر تصفح مواقع وتشغيل فيديو. قيم الاستقرار، التأخير، والسرعة. تعتمد السرعة على موقع الخادم، الخطة وحمل الشبكة الحالي.
5. افحص عدادات الخادم: wg show يجب أن تظهر زيادة في البايتات المرسلة والمستلمة أثناء استخدام العميل.

نصيحة: يمكن تعطيل واجهة الشبكة الفعلية مؤقتًا على العميل والاعتماد فقط على VPN لفحص التسرب، لكن المراجعة الدقيقة للطرق وسلوك التطبيقات أسهل. بعض التطبيقات قد تتجاوز VPN عبر بروكسي داخلي—فحص تلك الإعدادات.

✅ تحقق: الإنترنت يعمل على العميل والخصوصية محفوظة، عدادات الخادم تزداد، الطرق تمر عبر WireGuard، والسجلات خالية من الأخطاء.

مشاكل وحلول شائعة

• تأخير عالي وبطء في السرعة. السبب: موقع بعيد أو خطة مثقلة. الحل: تغيير موقع الخادم أو ترقية الخطة.
• تسرب DNS. السبب: محلل النظام يتجاهل DNS في VPN. الحل: حدد DNS في التكوين أو فَعّل فرض DNS على العميل.
• تسرب IPv6. السبب: غياب ::/0 في AllowedIPs. الحل: أضف المدى وأعد تشغيل النفق.

الخطوة 7: إعداد بديل — تثبيت OpenVPN على نفس VPS

الهدف

تثبيت OpenVPN كبروتوكول احتياطي أو متوافق للأجهزة التي لا تدعم WireGuard.

خطوات مفصلة

1. ثبت الحزم: apt install openvpn easy-rsa. هذا يثبت خادم OpenVPN وأدوات المفاتيح والشهادات.
2. أعد تهيئة البنية التحتية للمفاتيح. أنشئ مجلد PKI، جهز شهادة الجذر، اطلع شهادة الجذر بكلمة سر قوية والإعدادات الافتراضية، ثم أنشئ شهادات الخادم والعميل، وقّعها بالشهادة الجذرية، وأنشئ معلمات Diffie-Hellman.
3. أنشئ ملف تكوين خادم OpenVPN باسم server.conf. حدد منفذ UDP 1194، بروتوكول udp، الجهاز tun، حوض العملاء 10.9.0.0/24، دفع مسار افتراضي redirect-gateway def1، دفع خوادم DNS، مسارات المفاتيح والشهادات، السماح لعدة عملاء مع client-config-dir حسب الحاجة لإعدادات فردية، تفعيل keepalive، وتعطيل الضغط لأمان أفضل.
4. افتح المنفذ 1194 UDP في جدار الحماية UFW. أضف قاعدة السماح وتحقق من حالة الجدار.
5. أعد إعداد التوجيه وNAT لـ OpenVPN. التوجيه المفعل سابقًا يشمل OpenVPN. أضف قواعد تنكر للشبكة 10.9.0.0 إن لم يغطيها PostUp الخاص بـ WireGuard. بديلًا، انشئ كتلة NAT منفصلة في UFW لكل من 10.8.0.0 و 10.9.0.0.
6. شغّل خدمة OpenVPN وجعلها تعمل تلقائيًا. تحقق من الحالة وأسطوانة الاستماع.
7. أنشئ ملف تعريف عميل .ovpn يدمج إعدادات العميل، عنوان IP وبورت الخادم 1194، بروتوكول udp، جهاز tun، ومحتوى ca, cert, key, tls-auth مضمن ليسهل الاستيراد على الهواتف.
8. استورد الملف على الأجهزة باستخدام تطبيق OpenVPN الرسمي واتصل. تحقق من التوجيه والوصول للإنترنت.

نصيحة: احتفظ بملفات تعريف OpenVPN منفصلة عن WireGuard وسمّها بوضوح مثل phone-wg.conf و phone-ovpn.ovpn.

✅ تحقق: خدمة OpenVPN نشطة، السجلات تظهر بدء ناجح، العميل يتصل ويحصل على IP من الشبكة 10.9.0.0، والإنترنت يعمل عبر الخادم.

مشاكل وحلول شائعة

• فشل بدء OpenVPN. السبب: مسارات الشهادات خاطئة أو تنسيق الملفات غير صحيح. الحل: تحقق من التكوين وأذونات الملفات.
• العميل يفتقد المسارات. السبب: غياب push directives. الحل: أضف push redirect-gateway def1 وخيارات DNS.
• تضارب المنافذ. السبب: المنفذ مستخدم من عملية أخرى. الحل: اختر منفذًا مختلفًا أو حرر المنفذ الحالي.

الخطوة 8: الصيانة — المراقبة، النسخ الاحتياطي، والاستعادة

الهدف

ضمان عمل VPN بثبات، تحديثات أوتوماتيكية، نسخ تكوين احتياطية، وخطة استرداد قوية.

خطوات مفصلة

1. فعّل التحديثات التلقائية للنظام. ثبت unattended-upgrades، فعلها، وتحقق من الحالة. يقلل هذا من الثغرات.
2. جهّز نسخًا احتياطية للملفات. أرشِف ملفات WireGuard و OpenVPN مع المفاتيح وملفات العملاء. انسخ الأرشيف إلى جهازك المحلي وتخزين مشفر. لا تحتفظ بنسخة وحيدة على الخادم.
3. احتفظ بسجل التغييرات. عند إضافة عملاء أو تغيير قواعد الجدار، دوّن التاريخ والملخص.
4. نظم مراقبة uptime. تحقق دوريًا على الأقل من منفذ WireGuard وإتاحة SSH. استخدم مؤقتات النظام لمراقبة الخدمة وإعادة التشغيل عند الفشل.
5. أعد خطة استرداد. خطوات إعادة نشر خادم جديد مع نفس المزود: إعادة تثبيت WireGuard، نشر التكوينات والمفاتيح من النسخ، فتح المنافذ، والتحقق من الوصول. خزّن الخطة مع أرشيف التكوين لديك.
6. راجع السجلات بانتظام. تحقق من سجلات systemd لـ wg-quick و openvpn، إضافة إلى حالة UFW للكشف المبكر عن أي أخطاء.

نصيحة: احمِ أرشيفات النسخ الاحتياطية بكلمات مرور وخزنها في حاوية آمنة. اختبر فك تشفيرها على جهاز آخر قبل الحاجة الفعلية.

✅ تحقق: التحديثات التلقائية مفعلة، النسخ الاحتياطية أنشئت واختُبرت، سجلات نظيفة، الخدمات نشطة بعد إعادة التشغيل، وخطة استرداد موثقة واضحة.

مشاكل وحلول شائعة

• التحديثات التلقائية تعيد تشغيل الخدمات. السبب: تحديث نواة أو حزمة شبكة. الحل: جدولة أوقات الصيانة والتحكم اليدوي بالتحديثات الكبرى.
• النسخ الاحتياطية قديمة. السبب: نسيان إعادة الإنشاء بعد التغييرات. الحل: أتمتة إنشاء الأرشيف دوريًا.
• المراقبة تفوت التوقف. السبب: عدم التحقق من المنافذ. الحل: أضف اختبارات توافر صريحة لـ UDP 51820 وسجل النتائج.

التحقق من النتيجة

قائمة التحقق — ما يجب أن يعمل

• تسجيل SSH بالمفتاح لمستخدم منفصل بدون كلمات مرور.
• UFW نشط، السمحات لـ 22 و 51820 (اختياري 1194) مفتوحة.
• WireGuard يعمل، وواجهة wg0 مرئية مع العنوان 10.8.0.1.
• ملف العميل متصل، تم تبادل handshake، وزيادة في عدادات الحركة.
• المسار الافتراضي يمر عبر VPN؛ لا تسرب DNS أو IPv6.
• تم إنشاء النسخ الاحتياطية واختبارها للقراءة.

كيفية الاختبار

• شغّل/أوقف ملف العميل وتحقق من أنّ الإنترنت يعمل فقط عند تفعيل الملف إذا تم تعيين الطرق الافتراضية.
• ادخل موقعًا مقيدًا حسب المنطقة للتحقق من أن المرور يمر عبر موقع الخادم المختار.
• تحقق من استمرار الاتصال بعد إعادة تشغيل الخادم والعميل.

مؤشرات النجاح

• اتصالات تتأسس خلال ثوانٍ.
• بث الفيديو يعمل بسلاسة دون تأخير إضافي.
• لا رسائل خطأ في سجلات WireGuard أو OpenVPN.

أخطاء شائعة وحلولها

• العميل متصل لكن لا إنترنت. السبب: نقص NAT أو التوجيه معطل. الحل: إضافة تنكر للواجهة الصادرة، تفعيل توجيه sysctl، وإعادة تشغيل wg-quick.
• العميل لا يتصل. السبب: UDP 51820 محجوب بواسطة UFW. الحل: السماح لـ UDP 51820 أو تعطيل مؤقت لجدار الحماية الصارم على المضيف.
• الاتصال يحدث لكن لا حركة. السبب: نقص كامل التوجيه في AllowedIPs للعميل. الحل: أضف 0.0.0.0/0 و ::/0 إلى ملف العميل.
• انفصالات مفاجئة. السبب: المزود يقلل أولوية حركة UDP. الحل: أضف PersistentKeepalive 25 وفكر في تغيير المنطقة أو المزود.
• تعارض العناوين. السبب: تداخل شبكة الجهاز الداخلي مع شبكة VPN. الحل: اختر شبكة VPN مختلفة مثل 10.10.0.0/24 وأعد إعداد العناوين.
• فشل استيراد ملف OpenVPN. السبب: غياب الشهادات المضمنة أو مسارات خاطئة. الحل: تضمين الشهادات داخل الملف والتحقق من التنسيق.
• فقدان الوصول لـ SSH. السبب: قواعد UFW صارمة أو تغيير المنفذ بدون تحديث القواعد. الحل: استرجع الوصول عبر وحدة تحكم المزود وأصلح قواعد الجدار الناري.

ميزات إضافية

إعدادات متقدمة

• التقسيم التفصيلي للنفق. وجه فقط شبكات فرعية محددة عبر VPN باستخدام AllowedIPs دقيقة بدلاً من 0.0.0.0/0 و ::/0، مثل شبكة المكتب أو خدمات معينة.
• سياسات الوصول. فصل العملاء حسب الشبكة الفرعية بحيث لا يرون بعضهم البعض. خصص AllowedIPs لكل عميل لعناوين الخادم ومسارات تحتاجها فقط.
• نفق IPv6. إذا كان VPS يمتلك IPv6 حقيقيًا، خصص عناوين عملاء من هذا النطاق ووجّه الحركة بدون NAT، مما يحسن الشفافية وأحيانًا الأداء.
• التحول من iptables إلى nftables. الأنظمة الحديثة تستخدم nftables. أعد كتابة قواعد PostUp/PostDown لسهولة ووضوح أكثر.
• تغيير منفذ WireGuard. استخدام منفذ غير افتراضي يحسن مقاومة تشكيل الحركة العدواني من المزود. لا تنس تحديث UFW وملفات العملاء.

التحسين

• ضبط MTU. لبعض الشبكات، خفض MTU للنفق إلى حوالي 1380 يحسن الاستقرار. عين MTU في قسم Interface وجرب.
• عدم استخدام الضغط لـ WireGuard. بروتوكول سريع دون ضغط. من الناحية الأمنية، تجنب الضغط أيضًا في OpenVPN؛ الروابط الحديثة سريعة كفاية.
• عدة مناطق. إذا كنت تسافر كثيرًا، جهز خادمًا ثانيًا في منطقة أخرى واحتفظ بملفين على العميل للتبديل حسب الحاجة.

ماذا يمكنك فعل أيضًا

• أضف المصادقة الثنائية لـ SSH لحماية إضافية للخادم.
• اعد تسجيل الاتصالات على مستوى الجدار الناري دون تخزين نشاط المستخدم داخل النفق للحفاظ على سجلات VPN خفيفة.
• أتمتة إضافة العملاء بواسطة سكريبتات لتسهيل الروتين وتقليل الأخطاء.

الأسئلة الشائعة

كيف أختار المنطقة بأقل تأخير؟ اختر مركز البيانات الأقرب لموقعك غالبًا. في أوروبا الوسطى أو الشمالية مثالي. في الولايات المتحدة الساحل الشرقي أو الغربي وفق البعد.

كم عدد العملاء المدعومين في VPS بـ 5 دولارات؟ عادة 5-10 عملاء يكفون الاستخدام المنزلي. البث 4K على أجهزة متعددة يتطلب موارد أكبر.

هل أحتاج إلى IP منزلي ثابت؟ لا. IP الثابت يساعد في تقييد SSH لكن ليس ضروريًا. يعمل WireGuard على أي اتصال إنترنت، حتى الخلوي.

هل يمكن تحديد الوصول لبعض المواقع عبر VPN؟ نعم. يمكنك تكوين قواعد العملاء ب AllowedIPs لاختيار شبكات فرعية محددة تمر عبر VPN والباقي مباشر.

كيف ألغي ملف تعريف عميل مفقود بسرعة؟ احذف قسم Peer الخاص به في تكوين الخادم واحفظ، أو استخدم wg set لإزالة المفتاح العام فورًا.

ماذا لو توقف الإنترنت بعد التحديثات؟ تحقق من أن اسم الواجهة الافتراضية لم يتغير، تأكد أن قواعد PostUp/PostDown تشير إلى الواجهة الصحيحة، راجع قواعد UFW وأعد تطبيق sysctl.

هل يمكن تشغيل WireGuard و OpenVPN على نفس VPS؟ نعم، على منافذ مختلفة مع توجيه دقيق يتعايشان بسلام. تأكد من عدم تداخل شبكة IP.

أي DNS يفضل تحديده في الملفات؟ استخدم محللات عامة سريعة بالعنوان IP. اختر موثوقين لا يحتاجون لاسم مضيف في التكوين لتجنب أخطاء.

كيف أنقل الخادم لمزود آخر؟ جهز VPS جديدًا، ثبت WireGuard، انسخ التكوينات والمفاتيح من النسخ، افتح المنافذ، وحدث Endpoints في ملفات العملاء للـ IP الجديد.

هل آمن حفظ ملفات العميل على الهواتف؟ احتفظ بهواتفك مقفلة الشاشة ولا تشارك الملفات عبر المراسلات. أفضل استيراد عبر رمز QR مباشرة من الخادم، وتجنب حفظ الملفات في مجلدات عامة.

خاتمة

غطينا الطريق الكامل من اختيار VPS في Hetzner أو Contabo إلى إعداد خادم VPN شخصي باستخدام WireGuard و OpenVPN اختياريًا. حصّنت وصول SSH، فعّلت الجدار الناري، أنشأت المفاتيح، جهّزت ملفات العملاء، تحققنا من التوجيه لحظر التسريبات، فعّلت التحديثات التلقائية، وأنشأت نسخ احتياطية. النتيجة هي VPN شخصي متوقع وقابل للإدارة دون مشاركة عناوين IP، مرن للتوسع أو النقل حسب الحاجة.

إذا أردت نتائج فورية بدون تعقيدات سطر الأوامر، جرّب خدمة VPN شخصية جاهزة مثل vpn.how. توفر عناوين IP مخصصة، بروتوكولات عديدة تشمل WireGuard، OpenVPN، IKEv2، L2TP، SSTP، مراكز بيانات في مدن مثل موسكو، سانت بطرسبرغ، أمستردام، فرانكفورت، لندن، نيويورك، سان خوسيه، شيكاغو، سنغافورة، سيدني، مدريد، هلسنكي، ستوكهولم، وارسو، كوبنهاغن، ستافانغر، تدعم الدفع الروسي الشائع بما في ذلك بطاقات بنكية، SBP، والعملات المشفرة، بخطط بأسعار معقولة وتشغيل خادم سريع بعد الدفع—مع سياسة عدم حفظ سجلات. خيار عملي لمن لا يملك وقت لتخصيص وإعداد VPN بنفسه ويحتاج وصولًا سريعًا ومدارًا.

يمكنك لاحقًا توسيع الإعداد بالتحكم عن بُعد، nftables، عناوين IPv6 حقيقية، بنى تحتية متعددة خوادم، وتوزيع الحمل على ملفات التعريف. والأهم، لديك الآن أساس متين وخطة واضحة لأي سيناريو قادم.

⚠️ تنويه: استخدم خوادم VPN دائمًا بما يتوافق مع قوانين بلدك وقواعد مزود الخدمة. كن مسؤولًا وقانونيًا.

نصيحة: راجع بانتظام بروتوكولات الاتصال على كل الأجهزة واحذف الملفات غير المستخدمة لتقليل سطح الهجوم وتسهل الإدارة.