دليل إرشادي
كيفية إعداد تقسيم النفق
كيفية إرسال بعض التطبيقات أو العناوين خارج النفق مع إبقاء كل ما عداها داخله، وما تكلّفه كل استثناء، والفحص الذي يثبت أن التقسيم هو الذي طلبته. مكتوب استنادًا إلى عملاء أواخر 2026 وAndroid 17.
ما الذي يحسمه هذا الدليل
يرسل تقسيم النفق مجموعة مختارة من التطبيقات أو العناوين خارج النفق، ويُبقي كل ما عداها داخله. كل عنصر في القائمة هو حركة مرور لم يعد VPN يتعامل معها إطلاقًا على الشبكة العادية. إذا أُعدّ بشكل صحيح، فإنه يصلح مشكلة الطابعة وتطبيق البنك من دون المساس بأي شيء آخر؛ أما إذا أُعدّ بشكل فضفاض، فهو تسرّب أعددته بنفسك. الخطوات أدناه هي النسخة المحدودة.
نوعان من القواعد
حسب التطبيق
تسمّي القاعدة برنامجًا، وتتجاوز اتصالات ذلك البرنامج النفق. توفّرها عملاء Windows وmacOS وAndroid؛ ومنذ Android 17 يستطيع العميل تسليم القائمة إلى شاشة يديرها النظام، بحيث يفرض نظام التشغيل الاستثناءات بدلًا من العميل — والعميل الذي يفتح تلك الشاشة من إعداداته الخاصة يستخدمها. لا يوفّر iOS تقسيمًا لكل تطبيق للعملاء العاديين؛ وأقرب ما يقدمه هو مفتاح الشبكة المحلية أدناه.
حسب العنوان أو الشبكة الفرعية
تسمّي القاعدة وجهة، وتتجاوز حركة المرور المتجهة إلى تلك الوجهة من أي برنامج النفق. وهي أكثر خشونة وأصعب في التتبّع، لأن قاعدة العنوان تشمل أيًّا كان ما سيجيب على ذلك العنوان غدًا. إنها الأداة المناسبة لجهاز على شبكتك الخاصة، والخاطئة لخدمة على الإنترنت.
ما الذي يخرج
- جهاز على شبكتك الخاصة — طابعة أو NAS أو خادم وسائط — يخفيه توجيه النفق عنك. جرّب مفتاح الشبكة المحلية أولًا؛ فهو الإعداد الأصغر ويغطي معظم هذه الحالات من دون قاعدة.
- تطبيق يرفض الاتصالات من عناوين نقطة الخروج، وعادةً ما يكون تطبيق بنك. تتيح القاعدة لذلك التطبيق وحده رؤية عنوانك الحقيقي، ولا يراه أي شيء آخر. عندها يعرف البنك مكانك، وهذا هو المقابل.
- لا شيء آخر افتراضيًا. كل إدخال هو تطبيق تستطيع الشبكة التي تستخدمها قراءة حركة مروره. والقائمة الطويلة تعني VPN يحمي المتصفح وقليلًا غير ذلك.
الاستثناء مخصص لتطبيق لن يعمل عبر النفق. وليس وسيلة للوصول إلى خدمة قررت عدم تقديم الخدمة في بلد نقطة الخروج؛ فهذا قرار الخدمة، وتجاوزه بالتوجيه خارج نطاق ما تغطيه هذه الصفحة.
إعداد القاعدة
- افتح قسم تقسيم النفق في العميل، وغالبًا ما تجده ضمن إعدادات الاتصال أو الإعدادات المتقدمة. في Android 17 والإصدارات الأحدث قد يفتح العميل شاشة يديرها النظام للقائمة نفسها؛ وفي كلتا الحالتين توجد قائمة واحدة، والقسم الخاص بالعميل هو الذي يقود إليها.
- تحقّق من الوضع قبل إضافة أي شيء. يوفّر معظم العملاء وضعين: تتجاوز التطبيقات المدرجة النفق، أو أن التطبيقات المدرجة فقط تستخدمه. الثاني هو تقسيم النفق العكسي، ومع قائمة فارغة يعني عدم تمرير أي شيء عبر النفق. تأكد من أن الوضع مضبوط كما تقصد.
- أضف التطبيق، لا مجلده، وأضف الملف التنفيذي الذي ينشئ الاتصال. قد تحتاج حزمة تضم عدة عمليات إلى إضافة كل واحدة منها؛ فأضافة مجلد التثبيت تضيف أيضًا برنامج التحديث.
- أغلق التطبيق بالكامل وأعد اتصال العميل. تُطبّق القواعد على الاتصالات الجديدة. التطبيق الذي ظل مفتوحًا يحتفظ بمساره القديم ويعطي قراءة زائفة عند الفحص.
الوضع العكسي
في الوضع العكسي، تستخدم التطبيقات المدرجة فقط النفق، وتتجاوزه كل التطبيقات الأخرى. وهو الشكل المناسب عندما يحتاج تطبيق واحد إلى النفق بينما ينبغي لبقية الجهاز أن يتصرف كما لو لم يكن هناك عميل مثبت، والشكل الخاطئ لأي حالة أخرى، لأن كل تطبيق نسيت إدراجه يكون على الشبكة المفتوحة. إذا استخدمته، فإن مفتاح الإيقاف يغطي التطبيقات المدرجة فقط لدى معظم العملاء؛ أما البقية فلم تكن داخل النفق أصلًا.
الوصول إلى الشبكة المحلية
يمتلك معظم العملاء مفتاحًا واحدًا يسمح بمرور عناوين شبكتك الخاصة مع إبقاء كل شيء آخر داخل النفق. إنه تقسيم للنفق حسب الشبكة الفرعية، اختاره العميل لك، ويغطي الطابعة وNAS من دون قاعدة. على شبكة تديرها بنفسك، تكلفته قليلة؛ أما على شبكة عامة، فإنه يتيح لكل جهاز على تلك الشبكة الوصول إلى جهازك، ولهذا يكون متوقفًا افتراضيًا ويستحق إيقافه مجددًا قبل مغادرتك.
تأكد من أن التقسيم هو الذي طلبته
- في التطبيق المستثنى، ابحث عن فحص العنوان الخاص به — تفاصيل جلسة تطبيق البنك أو لوحة العنوان في عميل التورنت أو أي صفحة تفتحها في متصفح مستثنى — وتوقع ظهور عنوانك وبلدك.
- في أي تطبيق لم تستثنه، أجرِ فحص العنوان وتوقع ظهور عنوان نقطة الخروج. نفّذ ذلك في متصفح لم تضفه إلى القائمة، وفي تطبيق آخر إن كان لديك تطبيق يعرض عنوانه.
- أجرِ مجموعة الفحوص الكاملة مرة واحدة من كيفية التحقق من أن VPN يعمل، مع تفعيل القواعد. ستظهر القاعدة التي تغطي أكثر مما قصدت كتسرّب في شيء توقعت أن يبقى داخل النفق.
ما الذي تثبته هذه الفحوص
+التطبيقات التي أدرجتها، دون غيرها، موجودة على الشبكة العادية
+كل ما عداها لا يزال يخرج عبر نقطة الخروج، بما في ذلك عمليات البحث
+الوضع هو الذي قصدته، وليس عكسه
ما الذي لا تثبته
−لا تقول شيئًا عن البيانات التي يحتفظ بها المزوّد من حركة المرور الموجودة داخل النفق — ويجيب عن ذلك صفحات الاحتفاظ بالبيانات
−لا يستطيع اختبار التسرّب رؤية استثناء متعمد؛ إذ يُفحص التطبيق المستثنى من داخله أو لا يُفحص إطلاقًا
−تتبع مجموعة القواعد الموضوعة اليوم التطبيق خلال تحديثاته، وقد يفتح التطبيق المحدّث اتصالات من عملية لم تدرجها
عندما لا يصمد التقسيم
لا يزال التطبيق المستثنى يعرض عنوان نقطة الخروج
لم تُطبَّق القاعدة، والسبب المعتاد هو أن التطبيق كان يعمل مسبقًا. ينطبق تقسيم النفق على الاتصالات التي تُنشأ بعد إعداد القاعدة؛ أغلق التطبيق بالكامل، وأعد اتصال العميل، ثم افتحه مجددًا. في Android، تحقق مما إذا كانت القاعدة موجودة في العميل أو في إعداد النظام، لأن التطبيق المستثنى في أحدهما دون الآخر يتبع ما يفرضه نظام التشغيل.
المتصفح هو الحالة الأصعب: إذ تبقي عملياته التي تعمل في الخلفية الاتصالات مفتوحة بعد إغلاق النافذة، لذلك يجب إنهاؤه من قائمته الخاصة، لا من النافذة.
يعرض تطبيق لم أستثنه عنواني الخاص
هناك شيء أوسع نطاقًا من قاعدة خاصة بالتطبيق قيد التنفيذ. قد تتسبب في ذلك قاعدة خاصة بعنوان أو شبكة فرعية تصادف أنها تغطي الوجهة، أو وضع عكسي ضُبط بالخطأ بحيث لا تمرر عبر النفق إلا التطبيقات المدرجة، أو مفتاح شبكة محلية مفعّل على شبكة توزّع عناوين عامة. اقرأ كل قاعدة، لا قائمة التطبيقات فقط، وأوقف الميزة بأكملها للتأكد من أن العنوان يعود إلى عنوان نقطة الخروج؛ ثم أعد القواعد واحدة تلو الأخرى.
لا تزال الطابعة أو NAS غير قابلة للوصول
الوصول إلى الشبكة المحلية إعداد أصغر من تقسيم النفق، وأحيانًا يكون إعدادًا منفصلًا: فهو يسمح بمرور عناوين شبكتك الخاصة مع توجيه كل شيء آخر عبر النفق. إذا كان العميل يوفّره، فعّله قبل إضافة قاعدة شبكة فرعية يدويًا. وإذا كان الوصول إلى الجهاز يتم بالاسم بدلًا من العنوان، فقد يُحل الاسم عبر DNS الخاص بالنفق، الذي لا يستطيع رؤية شبكتك؛ فاستخدم العنوان بدلًا منه.
ينجح اختبار التسرّب، لكنني استثنيت تطبيقًا
أُجري الاختبار في المتصفح، والمتصفح داخل النفق. الاستثناء المتعمد غير مرئي لاختبار التسرّب بحكم التصميم: حركة مرور التطبيق المستثنى موجودة بالكامل على الشبكة العادية، ولن تُبلغ أي صفحة تفتحها في مكان آخر عنها. فحص الاستثناء هو عنوان التطبيق المستثنى نفسه، كما يوضح القسم الأخير، وليس صفحة الاختبار.
الخطوات نفسها، أجهزة أخرى
بقية المنصات
لكل منصة دليلها الإرشادي الخاص بدل تبويب في هذا الدليل. تتفرّق الخطوات بمجرد فتح المثبِّت، والصفحة التي تجيب عن ثلاث منصات دفعة واحدة لا تجيب عن أي منها كما ينبغي.