كيفية تجاوز رقابة DPI باستخدام خادم VPS خاص بك

شبكة VPN كانت تعمل بالأمس وتوقفت اليوم لم يتم اختراقها في الغالب. بل تم التعرّف على بصمتها. الفحص العميق للحزم (DPI) هو أداة الرقابة الافتراضية في الصين وإيران وروسيا في عام 2026، وهو لا يحتاج إلى فك تشفير أي شيء لإيقافك — بل يكفيه التعرّف على شكل حركة مرورك، أو العنوان الذي ترسلها إليه.

هذا الفرق هو ما يحدد طريقة الإصلاح. إذا حجبت الرقابة البروتوكول الذي تستخدمه، فلن يغيّر خادم آخر شيئًا. وإذا حجبت عنوان IP، فلن يغيّر بروتوكول آخر شيئًا. في شبكات VPN التجارية عادة ما تتعرض للحجبين معًا، لأن آلاف العملاء يتشاركون نطاق عناوين واحدًا وتوقيع مصافحة واحدًا. خادمك الخاص هو الترتيب الوحيد الذي تتحكم فيه بالأمرين معًا. يغطي هذا الدليل ما يكتشفه DPI، وأي من البروتوكولات الخمسة التي ما زالت تعمل في 2026 يتصدى لأي نوع من الحجب، وكيفية نشر أحدها.

ما الذي يراه الفحص العميق للحزم فعليًا

الفحص العميق للحزم اسم مضلّل نوعًا ما. فالرقابة الحديثة لا تقرأ جلستك المشفّرة — لأنها لا تستطيع ذلك. بل تصنّف الجلسة من خلال ما يبقى مرئيًا حين لا تكون الحمولة كذلك: أحجام الحزم، والفاصل الزمني بينها، ونمط بايتات المصافحة الافتتاحية، وعنوان الوجهة والمنفذ، وكيفية تصرّف الاتصال عندما يُختبر.

أربع تقنيات تقوم بهذا العمل، ولكل منها إجراء مضاد مختلف يبطلها. معرفة أيها أصابك هي التشخيص بأكمله:

• بصمة البروتوكول (Protocol fingerprinting). لكل بروتوكول VPN مصافحة افتتاحية يمكن التعرّف عليها. الحزمة الأولى في OpenVPN تحمل رمز عملية ثابتًا؛ وحزمة WireGuard رسالة بطول 148 بايت بحقل نوع ثابت في موضع يمكن توقعه. يطابق المصنِّف أيًا منهما في حزمة واحدة، دون فك أي تشفير.
• الفحص النشط (Active probing). الحركة المميزة لجدار الصين الناري العظيم. بعد رصد جلسة مشبوهة، تتصل الرقابة لاحقًا بذلك العنوان بنفسها وتخاطبه بلغة بروتوكول بروكسي. إذا أجاب الخادم كأنه بروكسي، يُحجب — أي أن الظهور بمظهر TLS وحده لا يكفي، بل يجب على الخادم أن ينجو من الاستجواب.
• حجب عناوين ونطاقات IP. الطريقة الأخشن والأكثر شيوعًا بفارق كبير. تُحجب النطاقات المعروفة باستضافة شبكات VPN التجارية بالجملة، دون أي فحص على الإطلاق. وهذا ما يقتل تطبيق VPN الاستهلاكي بين عشية وضحاها.
• التقييد بدلًا من الحجب. الطريقة المفضّلة في إيران. لا يُقطع الاتصال بل يُضعَف حتى يصبح عديم الفائدة — فقدان وزمن استجابة مفتعلان يكسران آلية التحكم بالازدحام في TCP. لا شيء يبدو محجوبًا، فيلوم المستخدمون أجهزتهم.

لماذا تصمد نقطة نهاية VPS الخاصة بك أمام موجة حجب

تفشل شبكات VPN التجارية في الدول التي تفرض رقابة لسبب بنيوي لا تصلحه أي هندسة: فهي علنية. نطاقات عناوينها منشورة، ويتم جمعها وحصرها. يمكن لأي شخص شراء اشتراك، وتدوين عناوين الخروج، وتقديمها — وهذا بالضبط ما تفعله جهات الرقابة. إدراج واحد في قائمة الحجب يكلّف آلاف المستخدمين وصولهم دفعة واحدة.

البروكسي على خادم VPS الخاص بك يقلب هذه المعادلة. نقطة نهايتك عنوان مجهول واحد، غير مدرج في أي قائمة إلى أن يعثر عليه أحدهم، والعثور عليه يعني إما رصد بصمة بروتوكولك أو معرفة مسبقة بمكان البحث. كما تحصل على ما لا يقدمه أي اشتراك: صلاحيات الجذر (root). أنت من يختار البروتوكول والمنفذ والتمويه ونطاق التخفي، ويمكنك تشغيل عدة إعدادات في آن واحد.

المقايضة الصادقة هي أنك تصبح أنت المشغّل. لا أحد يبدّل العنوان نيابة عنك، أو يحدّث الخادم، أو ينتبه في الساعة الثالثة فجرًا إلى توقف الخدمة. إذا كنت تريد تطبيقًا ومكتب دعم، فهذه ليست البنية المناسبة — صفحات الاستضافة المقاومة للرقابة تذكر المقايضة نفسها من جانب المنتج. ما تحصل عليه بدلًا من ذلك هو نقطة نهاية لا يتشارك مصيرها مع الغرباء.

لماذا يقع WireGuard وOpenVPN العاديان ضحية لـ DPI

كلاهما بروتوكولان ممتازان، وكلاهما، بحكم التصميم، سهل التعرّف عليه. صُمم WireGuard للتحسين من ناحية البساطة التشفيرية والسرعة، لا الإخفاء: فبداية مصافحته رسالة ذات طول ثابت وبايت نوع ثابت. وإعداد OpenVPN الافتراضي مميز بالقدر نفسه. لم يُقصد بأي منهما أن يكون غير قابل للتعرّف — فذلك لم يكن هدفًا من أهداف التصميم أصلًا.

هذا لا يجعلهما خيارين سيئين، كما توضح صراحة مقارنتنا بين WireGuard وOpenVPN. من أجل الخصوصية تجاه مزوّد الإنترنت، أو لربط أجهزتك الخاصة ببعضها، أو لشبكة VPN في بلد لا يطبّق DPI، فإن WireGuard هو الخيار الصحيح، ويظل دليل إعداد WireGuard لدينا صالحًا. وبصراحة: WireGuard يحل مشكلة الخصوصية؛ لا يحل مشكلة الرقابة.

توجد طبقات تمويه لكليهما — أغلفة (wrappers) لـ OpenVPN، وفروع معدّلة (forks) تُعشّي مصافحة WireGuard عشوائيًا. وهي تعمل، وقد تكفي أمام رقابة تكتفي برصد البصمات فقط. لكنها أضعف حين يكون الفحص النشط مطروحًا، لأن تشويش المصافحة لا يعلّم الخادم كيف يتصرف بمصداقية عندما تتصل به الرقابة وتوجّه له الأسئلة. ولهذا وُجدت البروتوكولات الخمسة التالية.

البروتوكولات الخمسة التي ما زالت تعمل في 2026

لا يوجد بروتوكول واحد أفضل من غيره مطلقًا — بل هناك الأفضل بحسب طريقة الحجب التي تواجهها والشبكة التي تستخدمها. هذه البروتوكولات الخمسة تستحق النشر اليوم، ولكل منها صفحة إعداد خاصة به.

VLESS+REALITY هو الخيار الأول الذي يجب اللجوء إليه. حيلته تختلف عن تمويه TLS العادي: فبدلًا من تقديم شهادة خاصة به، يعيد توجيه المصافحة الحقيقية لموقع TLS حقيقي وشائع. يرى الفحص النشط سلسلة شهادات أصلية لنطاق حقيقي، لأن هذا فعلًا ما يُعرَض عليه. لا شهادة موقّعة ذاتيًا يمكن رصدها، ولا نطاق غامض يمكن ربطه.

Shadowsocks-2022 هو الأخف وزنًا والأكثر اختبارًا في الميدان؛ فقد أغلقت مجموعة التشفير الخاصة به ثغرات إعادة التشغيل والفحص التي جعلت الإصدارات السابقة قابلة للكشف. أما Hysteria2 فيتصدى للتقييد لا للحجب — فآلية التحكم بالازدحام لديه مصممة للروابط ذات الفقدان المتعمّد. وV2Ray خلف CDN يخفي المصدر: ترى الرقابة حركة مرور متجهة إلى CDN كبير، لا إليك أنت. أما بروكسي MTProto فيحل مشكلة واحدة بالتحديد، لكنه يحل مشكلة الوصول إلى تيليجرام بنظافة تجعله يستحق التشغيل جنبًا إلى جنب مع أي شيء آخر تنشره.

اختيار الولاية القضائية وعنوان IP

خاصيتان مهمتان وتتنافسان مع بعضهما: مدى حداثة نطاق العنوان، ومدى بُعد الخادم عنك. الحداثة تفوز عادة. عنوان جديد على نطاق لم يُستخدم من قبل للتحايل على الرقابة يتجاوز الحجب الجماعي الذي يوقف معظم الناس، ولا يمكن لأي درجة من تطور البروتوكول أن تنقذ عنوانًا مدرجًا بالفعل في قائمة حجب. ولهذا السبب تتوقف عناوين "VPN المجهولة" المعاد تدويرها عن العمل — فقد احترقت قبل أن تستأجرها.

زمن الاستجابة يأتي في المرتبة الثانية من الأهمية. من بين الولايات القضائية السبع التي نعمل فيها، تقع هولندا ورومانيا ومولدوفا الأقرب إلى المستخدمين في إيران وروسيا وآسيا الوسطى، وتضيف هولندا نقاط تبادل عالمية المستوى عبر AMS-IX. أما آيسلندا وبنما وسويسرا فهي أبعد جغرافيًا لكنها أقوى قانونيًا — فبنما لا تربطها معاهدة مساعدة قانونية متبادلة مع معظم الدول الغربية ولا تفرض التزامًا بالاحتفاظ بالبيانات، وآيسلندا لا تفرض أي احتفاظ إلزامي بالبيانات على الإطلاق.

بالنسبة لنقطة نهاية مخصصة للتحايل، فإن النصيحة غير رومانسية: اختر بناءً على زمن الاستجابة وحداثة النطاق أولًا، ثم الولاية القضائية ثانيًا. أنت تنقل حركة مرورك الخاصة، لا تستضيف محتوى يجذب طلبات الإزالة، لذا فإن الوضع القانوني هنا أقل أهمية منه في حالة النشر. قارن بين الولايات السبع في صفحة المواقع، أو راجع المفاضلات عبر أداة اختيار الولاية القضائية ودليل الولايات القضائية لدينا. كل خادم يأتي مزودًا بعنوان IPv4 مخصص يخصك وحدك — فالعنوان المشترك سيُفشل الغرض من الأساس.

دفع ثمن الخادم من دولة تفرض رقابة

هذه هي النقطة التي تتوقف عندها معظم الأدلة بهدوء عن أن تكون مفيدة، لأنها الخطوة التي تفشل فعليًا. ففي إيران أو روسيا، يرفض معالجو البطاقات معاملتك بحجة العقوبات قبل أن يرى المزوّد الطلب أصلًا، ويطالب المزوّدون التقليديون بوثائق هوية قد تكون لديك أسباب وجيهة لعدم تسليمها. الدليل التقني عديم القيمة إذا تعذّر إتمام عملية الدفع.

العملات المشفّرة هي القناة التي تصمد، ولهذا ينتهي الأمر بأن تكون الاستضافة بلا KYC والتحايل على الرقابة نفس المنتج: لا بنك في المسار يمكنه رفض المعاملة، ولا فحص هوية يمكن أن يفشل. نقبل Bitcoin وMonero وEthereum وLitecoin وTRON وSolana وTether على شبكة ERC-20 أو TRC-20. لا تترك Monero أي رسم بياني عام للمعاملات يربط تمويلك بخادمك، ويغطي شرحنا لدفع Monero ذلك خطوة بخطوة؛ أما USDT على TRC-20 فهو البديل العملي، برسوم منخفضة وسيولة إقليمية سهلة. يبدأ سعر خادم VPS صغير من $7.50 شهريًا.

نشر نقطة نهاية VLESS + REALITY على خادمك، خطوة بخطوة

يستغرق النشر نحو خمس عشرة دقيقة على خادم Debian أو Ubuntu فارغ. ما يلي هو المخطط العام؛ وتحمل صفحة VLESS+REALITY الأوامر التفصيلية.

• أمّن الخادم أولًا. دخول SSH بالمفاتيح فقط، وتعطيل المصادقة بكلمة المرور، وجدار حماية لا يسمح إلا بما تنوي كشفه. افعل هذا قبل تشغيل البروكسي — يمثل دليل تحصين الساعة الأولى لدينا النسخة المختصرة، وهو أكثر أهمية هنا منه على خادم عادي.
• ثبّت نواة Xray ولوحة تحكم. تحيط لوحة 3x-ui بـ Xray في واجهة ويب، وتُثبَّت بأمر تثبيت واحد. اربطها بـ localhost وصِل إليها عبر نفق SSH بدلًا من كشفها — فلوحة إدارة على منفذ مفتوح هي بصمة قائمة بذاتها.
• أنشئ الاتصال الوارد (inbound). أضف اتصالًا واردًا ببروتوكول VLESS وأمان REALITY على المنفذ 443. القرار الأكثر أهمية هنا هو SNI التمويهي: اختر موقع HTTPS شائعًا يمكن الوصول إليه وغير محجوب من داخل الشبكة الخاضعة للرقابة. فإذا كان نطاق التمويه نفسه محجوبًا، تصبح حركة مرورك إليه شاذة وتكون قد زدت الأمر سوءًا.
• استورد رابط العميل. تُصدر اللوحة رابط مشاركة بصيغة vless:// ورمز QR يحمل الإعداد الكامل. استورده إلى v2rayN على ويندوز، أو v2rayNG على أندرويد، أو Streisand أو FoXray على iOS، أو sing-box في أي مكان — دون شهادة عميل، ودون ملف إعداد يحمل سرًا إن جرى فحص الجهاز.
• تحقق من الخارج. من شبكة ليست الخادم نفسه، تأكد أن نقطة النهاية تجيب بمصافحة TLS طبيعية لـ SNI الذي اخترته — يكفي أمر curl -sI موجه إلى العنوان مع تحليل SNI إليه. فإذا بدا لك كموقع HTTPS عادي، فسيبدو كذلك لأي فحص.

أضف خطة احتياطية قبل أن تحتاجها. بروتوكول ثانٍ على منفذ ثانٍ يكلفك عشر دقائق بينما كل شيء يعمل، ويصبح مؤلمًا أو مستحيلًا من خلف حجب نشط. Hysteria2 على المنفذ 443 UDP هو الرفيق الطبيعي لـ REALITY على المنفذ 443 TCP — نقل ومنفذ ونمط فشل مختلفون. احتفظ برابطي المشاركة كليهما على أجهزتك بحيث يصبح التعافي مجرد تبديل من جانب العميل.

تحصين الخادم حتى لا يصبح البروكسي مصدر تسريب

البروكسي العامل والبروكسي الآمن أمران مختلفان. تعرف نقطة النهاية الآن كل وجهة تزورها، وهي مكشوفة على منفذ أعلنته لأجهزتك الخاصة.

• لا تكشف إلا ما يجب كشفه. منفذ البروكسي، وSSH. أما اللوحات والمقاييس وقواعد البيانات فمكانها localhost، ويُصل إليها عبر نفق.
• أوقف التسجيل الذي لا تحتاجه. يسجّل Xray ومعظم خدمات البروكسي كل اتصال على القرص افتراضيًا. على نقطة نهاية مخصصة للتحايل، يصبح هذا الملف أكثر عنصر حساسية على الخادم.
• لا تجمع الخدمات في مكان واحد. تجنّب تشغيل موقع شخصي أو خادم بريد على نفس الخادم. كل خدمة إضافية بصمة أخرى، وشهادة أخرى، وطريقة أخرى لربط نقطة النهاية بك.
• أدره بحذر. الوصول إلى الخادم عبر SSH من الشبكة الخاضعة للرقابة التي تحاول الإفلات منها يربط عنوانك الحقيقي به على مستوى الشبكة. يتناول دليل أمن التشغيل للخادم هذا الانضباط بشكل صحيح، وهو الجزء الذي يتجاهله الناس.
• حافظ عليه محدّثًا ومملًا. تحديثات أمنية تلقائية، لا شيء غريب مثبّت، ولا إعدادات اختبار مهجورة ما زالت تستمع.

عندما يُحرق عنوان IP

افترض أن ذلك سيحدث. نقطة نهاية يستخدمها شخص واحد حذر يمكن أن تدوم طويلًا؛ أما التي يتشاركها أربعون شخصًا في محادثة جماعية فلن تدوم. الاستجابة آلية: تأكد أن الحجب على مستوى العنوان باختبار البروتوكول نفسه من خادم جديد، ثم أعد النشر في ولاية قضائية مختلفة، وأعد استيراد رابط المشاركة الجديد على أجهزتك.

لأنه لم تُربط أي هوية بالخادم الأول قط، لا شيء يربط العنوان الجديد بالقديم — وهذه هي الفائدة العملية لغياب KYC، التي عادة ما تُوصف كموقف أيديولوجي لكنها في الواقع مسألة تشغيلية. ما يستحق تغييره في الوقت نفسه هو انضباط المشاركة الذي تسبب في حرق العنوان. تنتشر العناوين عبر لقطات الشاشة والمحادثات الجماعية، وجهات الرقابة تقرأ هذه القنوات أيضًا. إذا كنت تدعم أشخاصًا آخرين، فامنح كل واحد بيانات اعتماد خاصة به حتى يمكن إزالة مستخدم واحد مخترَق دون إعادة بناء كل شيء.

ثمانية أخطاء تؤدي إلى حجب نقطة النهاية خلال أسبوع

• استخدام نطاق عناوين معاد تدويره. غالبًا ما تقع أرخص الخوادم على نطاقات حملت حركة تحايل لسنوات. الحداثة هي الخاصية التي تشتريها فعليًا.
• اختيار SNI تمويهي محجوب محليًا. لا يعمل REALITY إلا إذا كان الموقع الذي يحاكيه موقعًا تشهد شبكتك حركة مرور عادية إليه. محاكاة شيء محجوب أصلًا أسوأ من عدم التمويه إطلاقًا.
• تشغيل لوحة الإدارة على منفذ عام. صفحة تسجيل دخول 3x-ui على منفذ مفتوح تكشف الخادم كبروكسي لأي شخص يفحصه، والفحص رخيص.
• مشاركة نقطة نهاية واحدة مع مجموعة كبيرة. يصبح حجم حركة المرور شاذًا، ويتسرب العنوان عبر أي قناة شاركته فيها.
• إبقاء سجلات مفصّلة قيد التشغيل. مفيدة لأمسية واحدة من تصحيح الأخطاء، وعبء كل يوم بعد ذلك.
• إعادة استخدام عنوان بعد حجبه. بمجرد إدراج عنوان في قائمة، نادرًا ما يعود صالحًا. أعد النشر بدلًا من الانتظار.
• تشغيل بروتوكول واحد فقط. نقطة فشل وحيدة لا يمكنك إصلاحها إلا من خلف الحجب الذي تحاول الإفلات منه.
• تبديل الخادم دون تبديل بيانات الاعتماد. حمل نفس المفاتيح والمنافذ والمعرّفات عبر عمليات النشر يعيد بناء الارتباط الذي دمّرته للتو.

هل تشغيل بروكسي خاص بك قانوني، وماذا نسجّل نحن

من جهتنا، الجواب واضح ومباشر. استئجار خادم وتشغيل بروكسي عليه أمر قانوني في جميع الولايات القضائية السبع التي نعمل فيها. برمجيات التحايل على الرقابة برمجيات عادية، يستخدمها الصحفيون والباحثون يوميًا. نحن لا نسجّل حركة المرور ولا الاتصالات ولا DNS، ولا نفحص الحمولات، ولا نقيّد البروتوكولات. خادم VPS هو صندوق لينكس عارٍ بصلاحيات جذر كاملة؛ ما يعمل عليه وما يتصل به مرئي لك أنت لا لنا.

الجزء الذي لا يمكننا الإجابة عنه هو الجزء الأكثر أهمية بالنسبة لك. العديد من الدول التي تنشر أنظمة الفحص العميق للحزم تنظّم أيضًا التحايل من جانب المستخدم، ومدى تعرّض الشخص المتصل هو مسألة قانون محلي لا يملك أي مزوّد استضافة الكفاءة لتقديم المشورة بشأنها. يمكننا أن نخبرك بما يحدث على الخادم؛ لا يمكننا أن نخبرك بما يحدث حيث تجلس أنت.

يستحق الأمر أن نكون واضحين بالقدر نفسه بشأن ما لا توفره لك هذه البنية. البروكسي الخاص يتغلب على الرقابة — لكنه لا يجعلك مجهول الهوية أمام خصم قادر على مراقبة طرفي الاتصال معًا. يمكن ربط حركة المرور الداخلة والخارجة من نقطة نهايتك بالتوقيت وحده، وعنوان الخادم معروف لشبكتك. إذا كان نموذج التهديد لديك دولة تحقق معك تحديدًا وليس مرشحًا يحجبك بشكل عام، فأنت بحاجة إلى Tor وتصميمه متعدد القفزات، لا بروكسي بقفزة واحدة. مطابقة الأداة للتهديد الحقيقي هي الفارق بين الخصوصية ومجرد مظهرها.