كيف يعمل VpnHood
ينقل تطبيق VpnHood حركة مرور الجهاز عبر نفق مشفر إلى خادمك، والذي يمررها بدوره إلى الإنترنت. توضح هذه الصفحة مسار حركة المرور من البداية إلى النهاية.
على الجهاز
يلتقط التطبيق حركة مرور الجهاز عبر محول الشبكة الافتراضي الذي يوفره النظام لتطبيقات VPN. ويدعم ثلاثة أنواع من حركة المرور: TCP وUDP وping، بينما يتم تجاهل أي حزم أخرى.
تتم إدارة النفق المقسم على الجهاز مباشرةً. حركة المرور المستثناة من قِبل المستخدم — حسب التطبيق أو الدولة أو النطاق أو العنوان — تذهب مباشرة إلى الإنترنت ولا تصل أبدًا إلى خادمك. توضح صفحة النفق المقسم جميع الخيارات المتاحة.
يضبط التطبيق أيضًا إعدادات DNS على الجهاز: إما باختيار خوادم DNS التي يحددها المستخدم في التطبيق، أو خوادم خادمك، وهي خوادم Google العامة افتراضيًا. تظل طلبات DNS داخل النفق دائمًا، حتى لو تم توجيه الموقع المطلوب خارجه عبر النفق المقسم.
النفق المشفر
يتصل التطبيق افتراضياً بمنفذ TCP الخاص بخادمك، 443 ما لم تقم بتغييره، عبر بروتوكول TLS (نفس التشفير المستخدم في HTTPS)، ويتواصل معه مثل تطبيقات الويب عبر رسائل WebSocket. يتم تشفير كل ما يمر داخل النفق بالكامل بواسطة TLS، من أول بايت حتى آخره.
يتحقق التطبيق من شهادة خادمك قبل إرسال أي بيانات. يقبل التطبيق شهادة موثقة صادرة عن جهة معتمدة للاسم الموجود في مفتاح الوصول، أو يعتمد فقط الشهادة المطابقة للبصمة الرقمية المخزنة في المفتاح. لهذا السبب، يمكن تشغيل الخادم بشهادة موقعة ذاتياً، كما تظل المفاتيح صالحة حتى بعد تجديد شهادة موثوقة.
يمكن للمستخدم اختيار بروتوكول UDP أو QUIC بدلاً من TCP في إعدادات التطبيق. يرسل UDP حزم الجهاز إلى منفذ UDP على خادمك عبر حزم بيانات مشفرة بتقنية AES-GCM. أما QUIC فينقل نفس رسائل TCP عبر بروتوكول QUIC المزود بتشفير TLS الخاص به. يحدد خادمك البروتوكولات المتاحة لكل تطبيق، ويتحول التطبيق تلقائياً إلى TCP عند عدم توفر خياره، كما يحدث خلف وكيل عكسي (reverse proxy). إذا حظرت الشبكة منفذ UDP، فلن تمر أي حركة مرور عبر التطبيق المضبوط على UDP حتى يغيره المستخدم يدوياً إلى TCP.
أي طلب يصل إلى خادمك من خارج تطبيق VpnHood لا يتلقى سوى خطأ HTTP، تماماً مثل أي موقع ويب يتطلب تسجيل الدخول.
بروتوكول TCP: كحزم بيانات، أو كطلب لكل اتصال
يرسل التطبيق بيانات TCP افتراضياً كحزم عبر النفق، بينما يقوم خادمك بتمريرها عبر محول الشبكة الخاص به كما يفعل جهاز الراوتر. هذه هي الطريقة الأسرع والأكثر توفيراً لطاقة البطارية.
في وضع التخفي (Cloak Mode)، يُنهي التطبيق كل اتصال على الجهاز نفسه، ثم يطلب من خادمك عبر اتصال منفصل فتحه نيابة عنه. يتصل خادمك بالموقع مباشرة ويمرر البيانات في الاتجاهين. بالنسبة لمراقبي الشبكة، لا تبدو حركة المرور كنفق اتصال واحد طويل، بل كطلبات تصفح متفرقة. يستهلك هذا الوضع جزءاً يسيراً من السرعة والبطارية، ويعيد التطبيق استخدام الاتصال المنتهي للطلب التالي.
يعمل التطبيق بهذه الطريقة حتى بدون تفعيل وضع التخفي: عندما يفتقر خادمك لمحول شبكة خاص به (كما في Docker)، أو أثناء تقسيم حركة المرور حسب النطاق من قِبل المستخدم.
بروتوكول UDP وأمر ping
تنتقل بيانات UDP كحزم عبر النفق أياً كان البروتوكول الذي يستخدمه التطبيق. وينطبق ذلك على أمر ping فقط دون غيره؛ إذ ينقل التطبيق طلبات echo ويتجاهل حزم ICMP الأخرى. يمرر خادمك كلاهما عبر محول الشبكة الخاص به، أو عبر مقابس اتصال مخصصة في حال عدم توفره، ليقوم بعمل الـ ping نيابة عن الجهاز.
على جانب الخادم
عند تثبيت VpnHood! SERVER على Linux، يتوفر له محول شبكة خاص به لتمرير الحزم إلى الإنترنت باستخدام تقنية NAT تماماً كالراوتر. لا تحتوي حاويات Docker على هذا المحول، لذا يعمل الخادم هناك كوكيل (proxy)؛ حيث ترسل التطبيقات طلب TCP واحداً لكل اتصال، ويتولى الخادم فتح كل اتصال ومقبس UDP وping بنفسه. وتتحول التطبيقات إلى هذا الوضع تلقائياً.
في كلتا الحالتين، لا يقوم الخادم بتمرير حركة المرور إلى عناوينه الخاصة أو الشبكات المحلية المتصل بها.
يلزم إبقاء منفذ TCP مفتوحاً، بالإضافة إلى منفذ UDP الذي يختاره الخادم عند أول تشغيل للتطبيقات المضبوطة على UDP. يكون بروتوكول QUIC معطلاً حتى تقوم بتفعيله. يوضح دليل إعداد عناوين IP لخادمك كيفية معرفة منفذ UDP.
يتصل الخادم المُدار بنظام VpnHood! MANAGER عبر HTTPS على access.vpnhood.com للتحقق من المفاتيح عند اتصال أي تطبيق وإرسال تقارير الاستهلاك. لا يتصل MANAGER بالخادم مطلقاً، كما لا تتواصل التطبيقات معه نهائياً. يستطيع MANAGER أيضاً توجيه التطبيق إلى خادم آخر ضمن الشبكة. أما الخادم المستقل فيتحقق من المفاتيح محلياً من ملفاته الخاصة.
ما يحتويه مفتاح الوصول
يحتوي مفتاح الوصول على كل ما يحتاجه التطبيق للوصول إلى خادمك والوثوق به: اسم النطاق، العناوين، المنفذ، اسم الشهادة أو بصمتها الرقمية، والمفتاح السري. المفتاح مُرمّز وليس مشفراً؛ مما يعني أن أي شخص يمتلكه يمكنه قراءة عناوين خادمك والاتصال به. شارك المفاتيح مع مستخدميك الموثوقين فقط، واطلع على دليل حماية عنوان IP لخادمك من الحظر لمعرفة كيف يمكن للشبكات استغلال العناوين المكشوفة.
