نفق خاص بغرض واضح.

حدد المسار

قرر ما إذا كان النفق يحمل حركة مرور الخدمات الخاصة فقط أم كل حركة مرور الإنترنت. اضبط المسارات المسموح بها عن قصد وضع في الحسبان كلاً من IPv4 وIPv6. إعداد النفق المنقسم والنفق الكامل لهما اعتبارات مختلفة للتسريب وإمكانية الوصول.

احتفظ بمفتاح واحد لكل جهاز

أنشئ المفاتيح الخاصة على الجهاز حيثما أمكن ولا تنشرها أبدًا. استخدم هويات أقران منفصلة حتى يمكن إبطال جهاز مفقود دون استبدال كل عميل. خزّن إعدادات الخادم بأذونات محمية.

اضبط إعادة التوجيه وDNS

اضبط قواعد التمرير والجدار الناري بوعي. راجع تحليل الأسماء وMTU ومسار الرجوع. اختبر العنوان العام الفعّال وسلوك DNS من جهة العميل بدل ما تفترض إن نجاح المصافحة معناه إن كل الترافيك بيمشي في المسار المقصود.

افهم تحوّل الثقة

الـ VPN المستضاف بنفسك يقدر يحمي الترافيك على الشبكة المحلية، لكن VPS والمزوّد الأعلى لسه بيشوفوا الميتاداتا وأي ترافيك غير مشفّر. مش بيخلي جلسة المتصفح مجهولة ولا بيتجاوز سياسات الخدمات اللي بتوصلها.

استخدم مستمعًا صريحًا وافحص المصافحة

UDP 51820 خيار شائع في إعداد WireGuard، مش سياسة إلزامية أو مضمونة للمضيف. افتح بس منفذ UDP المختار وخلي الإدارة مقيدة بشكل منفصل. أمر wg show يقدر يعرض معلومات المصافحة والنقل للأقران من غير ما تحتاج تنشر مفاتيح خاصة.

• تأكد من مصافحة حديثة
• اختبر الخدمة الخاصة المقصودة
• اختبر مسارات الإنترنت وDNS فقط إذا كان النفق الكامل مقصودًا

wg show

الوثائق الرسمية: بداية سريعة مع WireGuard

استخدم keepalives بس لما الشبكة تحتاجها

قد يحتاج القرين خلف NAT إلى حركة keepalive دورية للحفاظ على تعيين الحزم الواردة. الإعداد المناسب يعتمد على الشبكة. اجعل الإعداد مقصودًا؛ لا تنسخ وصفة نفق كامل إذا كان الهدف هو الوصول إلى تطبيق خاص واحد فقط.

اختر التقسيم النفقي أو تصميم النفق الكامل

ابدأ بالهدف الفعلي. النفق المنقسم ممكن ينقل شبكة فرعية خاصة أو خدمة إدارية بس؛ النفق الكامل كمان محتاج تمرير إنترنت وقواعد خروج وخطة DNS. اختار عناوين نفق مش متداخلة وحدد إزاي يتم التعامل مع IPv6. UDP51820 بورت شائع، مش إلزامي. أكد سياسة المضيف المختار وخلي وصول الكونسول/المسؤول متاح أثناء تغيير المسارات أو قواعد الجدار الناري.

• ادّي كل جهاز زوج مفاتيح فريد وهوية نظير محددة.
• خلّي المفاتيح الخاصة على الأجهزة المخصصة ليها وبعيد عن الملفات العامة أو مشاركة رموز QR.
• تعامل مع نقاط النهاية العامة وتجوال العملاء كجزء من تصميم الشبكة.

الوثائق الرسمية: بداية سريعة مع WireGuard

شغّل نفق صغير قبل إضافة توجيه الإنترنت

اتبع تثبيت نظام التشغيل المدعوم وأنشئ المفاتيح بأذونات ملفات مقيدة. هيئ واجهة الخادم وقرينًا واحدًا ومستمع UDP المختار. عادةً يجب أن يكون للقرين من جهة الخادم عنوان نفق خاص به في AllowedIPs بدلًا من عنوان شامل متداخل مخصص لعدة عملاء. ابدأ بالوصول إلى عنوان النفق، ثم أضف التمرير المعتمد ومسارات الوجهة. المصافحة الناجحة تثبت التواصل مع القرين، وليس صحة DNS أو الخروج إلى الإنترنت.

# Inspection examples; these do not reveal a private key:
wg show
ip address show dev wg0
ip route get 10.44.0.1

الوثائق الرسمية: إعداد واجهة WireGuard والأقران

اختبر المسار المتوقع ومسار محظور

من جهة العميل، اتأكد من مصافحة حديثة وخدمة خاصة مسموح بيها. جرّب وجهة المفروض تترفض. لو بتستخدم نفق كامل، افحص المسار العام الفعلي، ومحلل DNS، وسلوك IPv6 من العميل ده؛ حركة النفق المنفصل المفروض تحتفظ بالمسار المحلي المقصود. كرر بعد تغيير شبكة العميل. استخدم NAT keepalive بس لما شبكة الطرف التاني تحتاجه، وخلّي الفاصل الزمني متسق مع التصميم الموثّق.

• بدون مصافحة: افحص نقطة النهاية DNS، وإمكانية الوصول عبر UDP، والمفاتيح وربط الأقران.
• مصافحة ناجحة بدون خدمة: افحص AllowedIPs والجدار الناري وإعادة التوجيه ومسار العودة.
• بعض المواقع تتعطل: افحص MTU المسار قبل تطبيق قيمة دائمة عشوائية.

خلي الإلغاء وسلوك إعادة التشغيل قابلين للتكرار

شيل مفتاح النظير الخاص بالجهاز المفقود وأكد إنه مابقاش يقدر ينشئ الوصول المقصود. احتفظ بنسخ احتياطية مشفرة للإعدادات وجرد يوضح أي مفتاح عام بيخص أي جهاز. اختبر هل الواجهة وقواعد التوجيه المطلوبة بترجع بعد إعادة تشغيل عادية. الـ VPN بينقل الثقة ناحية VPS ومزوّده الأعلى؛ مش بيشيل معرّفات التطبيقات ولا كوكيز الحسابات ولا الحاجة لـ HTTPS للوجهة النهائية.

الوثائق الرسمية: دليل WireGuard wg-quick