Pangolin على VPS: كشف خدمة خلف NAT دون فتح أي منفذ

المشكلة: كشف خدمة خلف NAT

ما يقدمه Pangolin مقارنة بالبدائل

• استضافة ذاتية كاملة — حركة بياناتك تمر فقط عبر VPS الخاص بك، لا يرى أي طرف ثالث حركة تطبيقاتك.
• لا منافذ واردة مطلوبة — الاتصال يُبادر من الجهاز المصدر نحو VPS (اتجاه صادر)، لا يُشكّل NAT أي عائق.
• ‏HTTPS تلقائي عبر Let's Encrypt — يدير Pangolin الشهادات لكل نطاق فرعي مكشوف دون تدخل يدوي.
• واجهة ويب مدمجة — أضف أنفاقاً وأدر الموارد والمستخدمين من لوحة ويب دون تعديل ملفات الإعداد.
• تشفير WireGuard من طرف إلى طرف — النفق بين الجهاز المصدر وVPS مشفّر على مستوى النقل، بصرف النظر عن HTTPS التطبيقي.
• متعدد المواقع — يمكن لنسخة Pangolin واحدة على VPS توجيه عشرات الخدمات من أجهزة مختلفة تحت نطاقات فرعية مستقلة.

البنية المعمارية: VPS relay وGerbil وNewt

[الجهاز المصدر]                    [VPS ServOrbit]               [الإنترنت]
  service:8080                      Pangolin (التنسيق)
  newt (عميل)  ←─WireGuard UDP─→   Gerbil  (نفق WG)    ←─HTTPS──→  زائر
                                    Traefik (reverse proxy)

المتطلبات

نشر Pangolin وGerbil على VPS

1. 01

   تحضير VPS وفتح منفذ WireGuard

   اتصل بـ VPS كـ root وثبّت Docker إن لم يكن مثبتاً:

   apt update && apt install -y docker.io docker-compose-plugin ufw

   افتح منفذ UDP لـ WireGuard (51820 افتراضياً) وتأكد من إمكانية الوصول لمنافذ HTTP/HTTPS:

   ufw allow 80/tcp
   ufw allow 443/tcp
   ufw allow 51820/udp
   ufw enable

   لتقييد الوصول للوحة الإدارة (المنفذ 3000 افتراضياً)، اقصره على IP الخاص بك:

   ufw allow from YOUR_IP to any port 3000

2. 02

   إنشاء ملف docker-compose.yml

   أنشئ مجلد عمل وملف الإعداد:

   mkdir -p /opt/pangolin && cd /opt/pangolin

   أنشئ docker-compose.yml بالمحتوى التالي:

   cat > docker-compose.yml <<'EOF'
   services:
     pangolin:
       image: fosrl/pangolin:1.23.0
       container_name: pangolin
       restart: unless-stopped
       volumes:
         - ./config:/app/config
         - ./data:/app/data
       ports:
         - "3000:3000"
       networks:
         - pangolin_net
   
     gerbil:
       image: fosrl/gerbil:latest
       container_name: gerbil
       restart: unless-stopped
       cap_add:
         - NET_ADMIN
       volumes:
         - ./data:/var/lib/gerbil
       ports:
         - "51820:51820/udp"
       networks:
         - pangolin_net
       depends_on:
         - pangolin
   
   networks:
     pangolin_net:
       driver: bridge
   EOF

   عدّل رقم إصدار صورة pangolin ليطابق أحدث إصدار على GitHub.

3. 03

   إعداد Pangolin وتشغيل الـ stack

   أنشئ مجلد الإعداد وملف config.yml الأساسي:

   mkdir -p /opt/pangolin/config
   cat > /opt/pangolin/config/config.yml <<'EOF'
   app:
     base_domain: yourdomain.com
     admin_email: [email protected]
     port: 3000
   
   wireguard:
     port: 51820
     subnet: 10.0.0.0/24
   
   acme:
     enabled: true
     staging: false
   EOF

   استبدل yourdomain.com بنطاقك الفعلي. شغّل الـ stack:

   cd /opt/pangolin && docker compose up -d
   docker compose logs -f pangolin

   يولّد Pangolin كلمة مرور مشرف عند أول تشغيل — دوّنها من السجلات. الواجهة متاحة على http://VPS_IP:3000.

4. 04

   إعداد سجل DNS wildcard

   في منطقة DNS الخاصة بك، أنشئ سجل A wildcard يشير إلى IP الـ VPS:

   *.yourdomain.com  →  A  →  VPS_IP

   على Cloudflare، أنشئ هذا السجل مع تعطيل الـ proxy (‏DNS-only، السحابة الرمادية) حتى تتمكن شهادات Let's Encrypt من الإصدار بشكل صحيح عبر تحدي HTTP-01 الذي يستخدمه Pangolin.

5. 05

   إنشاء وحدة systemd للتشغيل التلقائي

   عادةً يكفي Docker مع restart: unless-stopped، لكن إن فضّلت وحدة systemd مخصصة:

   cat > /etc/systemd/system/pangolin.service <<'EOF'
   [Unit]
   Description=Pangolin reverse tunnel stack
   After=docker.service
   Requires=docker.service
   
   [Service]
   Type=oneshot
   RemainAfterExit=yes
   WorkingDirectory=/opt/pangolin
   ExecStart=/usr/bin/docker compose up -d
   ExecStop=/usr/bin/docker compose down
   
   [Install]
   WantedBy=multi-user.target
   EOF
   
   systemctl daemon-reload
   systemctl enable pangolin

إضافة نفق باستخدام Newt على الجهاز المصدر

1. 06

   إنشاء نفق في واجهة Pangolin

   سجّل دخولك لواجهة Pangolin على http://VPS_IP:3000 ببيانات المشرف. اذهب إلى Sites → Add site، أعطه اسماً (مثلاً homelab) ودوّن site token المُولَّد. ثم في Resources → Add resource، اختر الموقع، أدخل النطاق الفرعي المطلوب (nextcloud.yourdomain.com) والمنفذ المحلي للجهاز المصدر (مثلاً 8080).

2. 07

   تثبيت Newt على الجهاز المصدر

   على الجهاز الذي يستضيف خدمتك، نزّل ملف Newt التنفيذي المناسب لمعمارية جهازك:

   # Linux x86_64
   curl -Lo /usr/local/bin/newt \
     https://github.com/fosrl/newt/releases/latest/download/newt-linux-amd64
   chmod +x /usr/local/bin/newt

   لـ Raspberry Pi (ARM64):

   curl -Lo /usr/local/bin/newt \
     https://github.com/fosrl/newt/releases/latest/download/newt-linux-arm64
   chmod +x /usr/local/bin/newt

3. 08

   إعداد Newt وتشغيله

   شغّل Newt بالـ site token المحصّل في الخطوة السابقة:

   newt \
     --server https://yourdomain.com:3000 \
     --token YOUR_SITE_TOKEN \
     --target localhost:8080

   للتشغيل التلقائي، أنشئ وحدة systemd:

   cat > /etc/systemd/system/newt.service <<'EOF'
   [Unit]
   Description=Newt WireGuard tunnel client
   After=network.target
   
   [Service]
   ExecStart=/usr/local/bin/newt \
     --server https://yourdomain.com:3000 \
     --token YOUR_SITE_TOKEN \
     --target localhost:8080
   Restart=always
   RestartSec=5
   
   [Install]
   WantedBy=multi-user.target
   EOF
   
   systemctl daemon-reload
   systemctl enable --now newt

4. 09

   التحقق من الاتصال الكامل

   على VPS، تحقق من إنشاء نفق WireGuard:

   docker exec gerbil wg show

   يجب أن ترى peer مع latest handshake حديث. من أي متصفح أو سطر أوامر:

   curl -I https://nextcloud.yourdomain.com

   الاستجابة المتوقعة: HTTP/2 200 (أو صفحة تسجيل دخول خدمتك). تُصدر شهادة Let's Encrypt تلقائياً عند أول وصول.

كشف خدمة: مثال Nextcloud خلف NAT

1. 10

   إعداد Nextcloud لقبول نطاق الـ proxy

   تحجب Nextcloud الطلبات القادمة من نطاقات غير مُعلنة. أضف النطاق العام إلى config.php:

   # من الجهاز المصدر، في مجلد Nextcloud
   nano config/config.php

   أضف في مصفوفة trusted_domains:

   'trusted_domains' =>
     array (
       0 => 'localhost',
       1 => 'nextcloud.yourdomain.com',
     ),
   'overwritehost' => 'nextcloud.yourdomain.com',
   'overwriteprotocol' => 'https',

2. 11

   التحقق من الوصول العام والشهادة

   انتظر 30 إلى 60 ثانية بعد أول وصول حتى تُصدر Let's Encrypt الشهادة، ثم:

   curl -v https://nextcloud.yourdomain.com 2>&1 | grep -E 'subject|issuer|HTTP'

   الشهادة موقّعة من Let's Encrypt والرابط العام متاح الآن من أي شبكة، دون أي منافذ مفتوحة على جانب الشبكة المحلية.

استكشاف الأخطاء

مقارنة: Pangolin مقابل Cloudflare Tunnel مقابل Tailscale/Headscale

مرّر الجدول أفقيًا

للمزيد