لماذا تستضيف WireGuard Server على خادم VPS؟
يعتمد WireGuard على شيفرة مصدرية مختصرة عمدًا (حوالي 4000 سطر)، ما يجعله أسهل في التدقيق وأقل عرضة بكثير للثغرات الأمنية من بدائله. باستضافته على خادم VPS مخصّص، تحصل على عنوان IP ثابت تحت سيطرتك، ومعدّلات نقل قريبة من عرض النطاق الأصلي للخادم، وإمكانية منح أو إلغاء الوصول على مستوى دقّة العميل. إنه الحل المُفضّل لدى المطوّرين والفرق الموزّعة الراغبين في تأمين اتصالاتهم دون التضحية بالأداء.
يختلف عن شبكة VPN تجارية في ثلاث نقاط. عنوان الخروج لا يشاركك فيه أحد، فيمكنك إدراجه في القائمة البيضاء لواجهة API أو لوحة إدارة أو جدار حماية لدى عميل. وسياسة السجلات سياستك أنت، لأن أحدًا غيرك لا يدير الخادم. ويبقى البروتوكول بسيطًا: منفذ UDP واحد، وتشفير محدَّد سلفًا (Curve25519 لتبادل المفاتيح، وChaCha20 وPoly1305 للتشفير الموثَّق)، ونفق يستعيد اتصاله حين يتغيّر عنوان IP للجهاز، كالانتقال من Wi-Fi إلى شبكة 4G مثلًا.
ما يمكنك فعله بـ WireGuard Server
- تأمين اتصالات فريقك العامل عن بُعد عبر شبكة VPN مؤسسية خاصة
- الحصول على عنوان IP خروج ثابت لإدراجه في القوائم البيضاء لواجهة API أو لوحة إدارة أو جدار حماية لدى شريك
- الوصول إلى شبكتك الداخلية (الخوادم، قواعد البيانات، الخدمات الداخلية) من أي مكان وبشكل مشفّر
- تجاوز قيود الشبكة والوصول إلى مواردك المستضافة في منطقة محددة
- إنشاء نفق آمن لحماية الاتصالات بين عدة خوادم VPS أو بيئات سحابية
- استبدال شبكة VPN تجارية بحل مستضاف ذاتيًا دون سجلّات ودون اشتراك شهري
- توصيل الأجهزة المحمولة (Android، iOS) أو محطات العمل (Linux، Windows، macOS) عبر عملاء WireGuard الرسميين
المتطلبات المسبقة
لا يحتاج WireGuard إلا إلى موارد قليلة جدًا: مع واجهة wg-easy يكفي معالج افتراضي واحد (1 vCPU) وذاكرة 1 GB لفريق صغير، والحدّ يفرضه عرض النطاق الترددي للخادم لا المعالج. يثبّت قالب Marketplace نظام Ubuntu 24.04، ووحدة WireGuard جزء من نواة Linux منذ الإصدار 5.6، فلا شيء يحتاج إلى تجميع.
ثلاث نقاط ينبغي تجهيزها قبل الطلب:
منفذ UDP الخاص بالنفق (51820 افتراضيًا) يجب أن يكون متاحًا من الإنترنت. إن كان جدار حماية يصفّي الحركة قبل الخادم، فافتحه صراحةً.
وصول SSH من جهازك: واجهة الإدارة لا تُنشر أبدًا، وتصل إليها عبر نفق SSH.
اسم مضيف (اختياري): سجلّ A مثل vpn.yourdomain.com يشير إلى عنوان IP الخادم يجعل إعدادات العملاء أوضح ويصمد عند تغيير الخادم. ويعمل عنوان IP وحده أيضًا.
تثبيت WireGuard Server على خادم VPS من ServOrbit
اطلب خادم VPS Cloud من ServOrbit
انتقل إلى /vps-cloud واختر الباقة المناسبة لاستخدامك. لاستخدام WireGuard اعتيادي (نحو عشرين عميلًا متزامنًا) يكفي خادم VPS بمعالج افتراضي واحد وذاكرة 1 GB. يُثبَّت قالب WireGuard Server على Ubuntu 24.04: أكمل الطلب وانتظر بريد التفعيل.
الوصول إلى Marketplace في مساحة العميل
سجّل الدخول إلى مساحة العميل الخاصة بك على ServOrbit، وافتح صفحة خادم VPS المُنشأ حديثًا، ثم انتقل إلى تبويب Marketplace. ستجد هناك كتالوج التطبيقات المتاحة للتثبيت بنقرة واحدة، مُنظّمة حسب الفئة. اختر فئة الأمان للعثور على WireGuard Server بسرعة أكبر.
بدء تثبيت WireGuard Server
انقر على بطاقة WireGuard Server وراجع الملخّص (منفذ النفق: UDP 51820) ثم أكّد. ينشر القالب حاوية Docker باسم wg-easy تضمّ WireGuard وواجهته على الويب: تنشر
51820/udpعلى عنوان IP العام، ولا تعرض الواجهة (المنفذ51821) إلا على127.0.0.1، وتفعّل تمرير IPv4 (net.ipv4.ip_forward=1) داخل الحاوية. تستغرق العملية عادةً بضع دقائق.تسجيل الدخول أول مرة وإنشاء حساب المسؤول
واجهة الإدارة غير منشورة على الإنترنت: افتح أولًا نفقًا من جهازك، ثم انتقل إلى
http://127.0.0.1:51821.ssh -L 51821:127.0.0.1:51821 root@<VPS-IP>لا توجد بيانات دخول محدّدة مسبقًا: يطلب منك معالج الدخول الأول إنشاء حساب المسؤول (اسم من حرفين على الأقل، وكلمة مرور من 12 حرفًا على الأقل). ثم يسألك عن المضيف الذي سيتصل به العملاء (عنوان IP الخادم أو
vpn.yourdomain.com) وعن منفذ UDP، وهو51820افتراضيًا.إضافة أول عميل
في واجهة wg-easy انقر على New Client، وأدخل اسمًا (اسم المستخدم أو اسم الجهاز)، وتاريخ انتهاء إن كان الوصول مؤقتًا. ثم نزّل ملف الإعداد أو امسح رمز QR، واستورده في تطبيق WireGuard الرسمي (Android وiOS وWindows وmacOS وLinux)، وشغّل النفق.
التحقق من النفق
من جهة العميل، تحقّق من عنوان IP العام للخروج: في النفق الكامل يجب أن يكون عنوان الخادم. ومن جهة الخادم، اعرض حالة الأقران داخل الحاوية (يعطيك الأمر
docker psاسمها):docker exec <wg-easy-container> wg showسطر
latest handshakeحديث للقرين يؤكّد أن النفق قائم. وتعرض واجهة wg-easy المعلومة نفسها: يُوصف العميل بأنه Online إذا أتمّ مصافحة خلال الدقائق العشر الأخيرة.
تأمين واجهة الإدارة
من يصل إلى wg-easy يستطيع إنشاء عملاء، أي الدخول إلى شبكتك: تعامل مع هذه الواجهة كأنها وصول root.
أبقِها على الواجهة المحلية. يكفي نفق SSH للاستخدام اليومي. وإن اضطررت إلى نشرها، فضعها خلف وكيل عكسي HTTPS (راجع دليلنا عن Caddy)، وصرّح بعنوان الوكيل في المتغيّر TRUSTED_PROXIES، واترك INSECURE على false، ولا تقدّمها أبدًا عبر HTTP غير مشفّر.
فعّل المصادقة الثنائية. من قائمة المستخدم، تتيح صفحة Account تفعيل رمز TOTP يُطلب عند كل تسجيل دخول.
احذر روابط الاستخدام الواحد. يستطيع wg-easy إنشاء رابط تنزيل قصير صالح خمس دقائق، لكن توثيقه ينبّه إلى أن هذه الروابط قابلة للتخمين وتسلّم المفتاح الخاص بالعميل دون مصادقة. فضّل رمز QR أو الملف، مُرسلًا عبر قناة خاصة.
ألغِ الوصول بطريقة نظيفة. تعطيل العميل يقطع وصوله مع الاحتفاظ بإعداده، أما حذفه فنهائي. ويؤدّي تاريخ الانتهاء المهمة وحده لمتعاقد أو لوصول عابر. وإن فقدت كلمة مرور المسؤول، فالأمر cli db:admin:reset المنفَّذ داخل الحاوية يعيد تعيينها.
نفق كامل أم نفق مُجزّأ
يولّد wg-easy افتراضيًا إعدادات نفق كامل: AllowedIPs = 0.0.0.0/0, ::/0، أي أن كل حركة الجهاز تخرج عبر الخادم. وهذا هو الخيار الصحيح على شبكة Wi-Fi عامة، أو لإظهار عنوان الخروج نفسه في كل مكان.
ولاستخدام VPN بوابةً إلى خدماتك الخاصة فقط، انتقل إلى النفق المجزّأ: في Admin Panel → Config → Allowed IPs (قيمة عامة) أو في صفحة عميل بعينه (قيمة خاصة به)، أبقِ فقط الشبكة الفرعية للـVPN، وهي 10.8.0.0/24 في التثبيت الافتراضي، والشبكات الداخلية التي تحتاج إلى بلوغها. ويخرج باقي التصفّح عبر الاتصال المحلي. يحمل الخادم العنوان 10.8.0.1: اربط به قواعد بياناتك ولوحات المتابعة ولوحات الإدارة بدل 0.0.0.0، فلا يمكن بلوغها إلا من داخل النفق.
انتبه: AllowedIPs يضبط التوجيه من جهة العميل، ويستطيع المستخدم تعديله. ولفرض قيد فعلي، يوفّر wg-easy جدار حماية لكل عميل (Admin Panel → Interface → Per-Client Firewall) يُطبَّق من جهة الخادم عبر iptables، وما زال موسومًا بأنه تجريبي: اختبره قبل الاعتماد عليه. وما إن يتجاوز الأمر بضعة أجهزة يجب ربطها ببعضها، حتى توفّر عليك شبكة مشبكة مثل Netbird إدارة هذه القوائم يدويًا.
يستمع WireGuard افتراضيًا على منفذ UDP رقم 51820. إن كانت شبكتك تحجب UDP غير القياسي، فانتقل إلى 443/UDP أو 53/UDP، وهما منفذان نادرًا ما يُصفَّيان. مع wg-easy لا يُضبط المنفذ في ملف wg0.conf: غيّر منفذ الاستماع في Admin Panel → Interface، والمنفذ المعلَن للعملاء في Admin Panel → Config، ثم ربط منافذ الحاوية وقاعدة جدار الحماية، إذ يجب أن تبقى كلها متّسقة. أعد تشغيل الواجهة (Restart Interface) ووزّع الإعدادات من جديد، فالأجهزة لا تتلقّى التغيير تلقائيًا. أما تمرير IPv4، الضروري لتوجيه حركة العملاء إلى الإنترنت، فيفعّله القالب مسبقًا داخل الحاوية.
الوثائق الرسمية
للإعدادات المتقدمة والخيارات الخاصة بالأداة وتغييرات الإصدارات، ارجع إلى التوثيق الرسمي لـ WireGuard وإلى توثيق wg-easy، الواجهة التي ينشرها القالب. يغطي هذا الدليل الإطلاق على خادم VPS من ServOrbit، ويبقى توثيق المطوّر المرجع للضبط الدقيق.
