VPN على Linux في شبكة مقيدة: لماذا لا يكفي الاختيار بين WireGuard وOpenVPN TCP؟

كنت قد حسمت اختياري قبل أن أصل إلى الفندق: على Linux سأستخدم WireGuard.

أستخدم Ubuntu، وأحب أن تبقى طبقة الشبكة بسيطة. لدي إعداد أعرفه، وواجهة wg0 تعمل من المنزل ومن بيانات الهاتف بسرعة تكاد تجعلني أنسى وجود VPN أصلًا.

ثم فتحت اللابتوب على Wi-Fi الفندق.

المتصفح يعمل. البريد يصل. بوابة الفندق قبلت تسجيل الدخول. لكن عندما شغلت WireGuard لم يظهر handshake.

أوقفته وشغلته. غيرت الخادم والمنفذ.

لا شيء.

المشكلة أنني لم أكن أجرب VPN بدافع الفضول. كنت أحتاج SSH إلى خادم عمل، ثم git pull قبل اجتماع قريب.

شغلت hotspot من الهاتف.

اتصل WireGuard فورًا.

وهنا تغير السؤال. لم تعد المشكلة «لماذا لا يعمل WireGuard على Linux؟». الجهاز والإعداد والخادم أثبتوا أنهم يعملون.

المتغير الحقيقي كان الشبكة.

WireGuard رائع… إلى أن تقرر الشبكة ألا تمرره

هناك أسباب وجيهة جدًا لاختيار WireGuard على Linux. تصميمه صغير وبسيط، واندماجه مع النظام ممتاز، كما أن أداءه يجعل استخدامه اليومي مريحًا.

لكن هناك تفصيل واحد يصبح مهمًا جدًا على الشبكات المقيدة: WireGuard يعتمد على UDP. (WireGuard)

في البيت لم أفكر في ذلك.

على شبكة الهاتف لم أحتج إلى التفكير فيه.

أما Wi-Fi الفندق فحوّل هذه المعلومة الصغيرة إلى سبب مباشر لفشل عملي.

بعض الشبكات العامة تسمح أساسًا بحركة الويب المعتادة وتكون أكثر تشددًا مع أنواع أخرى من الاتصال. لهذا تحتفظ حلول مثل OpenVPN بمسار TCP 443 تحديدًا كخيار عندما لا يمر المسار الأسرع المعتاد. (OpenVPN)

وكان هذا هو الشيء التالي الذي جربته.

OpenVPN TCP 443 أعادني إلى العمل

كان لدي إعداد OpenVPN احتياطي.

شغلته عبر TCP 443.

اتصل.

فتحت الطرفية وجربت SSH.

ظهر الخادم.

ثم نفذت git pull، وبدأت الملفات تصل.

في تلك اللحظة بدا الجواب محسومًا: إذا فشل WireGuard على شبكة مقيدة، أستخدم OpenVPN TCP 443.

وهو استنتاج منطقي. المنفذ 443 هو المسار الذي يعتمد عليه HTTPS، ولذلك يكون إبقاؤه مفتوحًا ضروريًا لمعظم التصفح الطبيعي. OpenVPN نفسها تقدم TCP 443 باعتباره خيارًا عمليًا عندما تكون الشبكة أكثر تقييدًا. (OpenVPN)

حتى التجارب العامة للمسافرين تكرر المشهد نفسه باختصار: WireGuard يعمل في مكان، يفشل على Wi-Fi فندق، ثم يصبح TCP 443 خطة الإنقاذ. (Reddit)

لكن بعد أن استعدت SSH، بدأت ألاحظ أن «يعمل» ليست دائمًا نهاية المقارنة.

الاتصال عاد، لكنني شعرت بالفرق

تمكنت من العمل، وهذا أهم شيء.

لكن نقل الملفات لم يكن بالسلاسة التي اعتدت عليها مع WireGuard. وعندما دخلت مكالمة لاحقًا أصبح التأخير أكثر وضوحًا.

هناك سبب معروف لذلك: تمرير حركة TCP داخل نفق يعمل هو نفسه فوق TCP يمكن أن يضيف تأخيرًا وإعادات إرسال غير مرغوبة، وهي المشكلة التي يشار إليها عادةً باسم TCP-over-TCP أو TCP Meltdown. (OpenVPN)

بالنسبة لي لم أكن بحاجة إلى شرح أعمق.

النتيجة أمامي كانت كافية:

WireGuard أعطاني الاتصال الذي أحب استخدامه، لكنه لم يعبر شبكة الفندق.

OpenVPN TCP 443 عبر الشبكة، لكنه بدا كمسار احتياطي أكثر من كونه الاتصال الذي أريد الاعتماد عليه طوال اليوم.

وهنا بدأت أبحث عن خيار ثالث، لا عن خادم ثالث.

المشكلة لم تكن نقص البروتوكولات

على Linux من السهل أن يتحول أي عطل إلى مشروع جانبي.

أستطيع تعديل ملفات .conf.

أستطيع تشغيل wg show.

أستطيع مراجعة ip route.

وأستطيع تغيير إعدادات OpenVPN يدويًا حتى أصل إلى التركيبة التي تريدها الشبكة.

لكن كان لدي اجتماع، لا ليلة كاملة لتشخيص Wi-Fi الفندق.

والأهم أن وضع OpenVPN على 443 لا يجعله تلقائيًا يشبه HTTPS عاديًا. أبحاث عن OpenVPN أظهرت أن حركة البروتوكول يمكن تمييزها من خصائص الاتصال نفسه، لا من رقم المنفذ وحده. (USENIX Security)

هذه النقطة غيرت معي معيار المقارنة.

لم أعد أسأل:

WireGuard أم OpenVPN TCP؟

أصبحت أسأل:

أي اتصال صُمم أصلًا كي يتعامل مع شبكة تحاول تمييز حركة الـVPN أو تقييدها؟

عندها توقفت عن تعديل الإعدادات

فتحت OnlydogVPN واستخدمت الوضع المخصص للشبكات المقيدة.

لم أختر WireGuard.

لم أختر OpenVPN.

لم أحدد TCP أو UDP أو منفذًا يدويًا.

ضغطت اتصال.

ثم عدت إلى الطرفية.

عمل SSH.

نفذت git pull.

اكتمل.

دفعت تعديلاتي إلى المستودع، ثم دخلت الاجتماع.

وهنا حدث الشيء الذي كنت أريده منذ البداية: توقفت عن التفكير في الـVPN.

الاختلاف لم يكن مجرد خادم آخر. الخدمة تستخدم نقلًا مبنيًا على HTTP/3 مع تمويه إضافي للحركة، ولذلك كانت المحاولة مختلفة عن إعادة إرسال WireGuard أو OpenVPN التقليدي بالطريقة نفسها.

بدل أن تجعلني أقرر أي بروتوكول قد يمر، بدأت من المشكلة نفسها: شبكة مقيدة.

وهذا كان أكثر فائدة من قائمة خيارات أطول.

التمويه كان أهم من اسم البروتوكول

قبل هذه التجربة كنت أقارن خدمات VPN على Linux بالطريقة المعتادة.

هل تدعم WireGuard؟

هل تدعم OpenVPN؟

كم بروتوكولًا يوجد؟

بعد Wi-Fi الفندق أصبحت هذه الأسئلة ثانوية.

لأن وجود البروتوكول لا يعني شيئًا إذا كانت الشبكة تستطيع تمييزه أو تعطيل المسار الذي يعتمد عليه.

في الخيار الأصغر، HTTP/3 أعطاني طريقة نقل مختلفة، بينما أضاف التمويه الشيء الذي كنت أفتقده في المحاولتين السابقتين: محاولة جعل الاتصال أقل وضوحًا كحركة VPN مألوفة.

لا أستطيع من خارج شبكة الفندق رؤية قواعد التصفية الداخلية وتحديد القاعدة التي أسقطت WireGuard أو سمحت باتصال آخر. لكنني لم أحتج إلى معرفة ذلك كي أنهي عملي.

النتيجة العملية كانت أوضح من التشخيص النظري:

المسار الأول لم يعمل.

TCP 443 أنقذني.

الاتصال المموّه أعاد لي تجربة أقرب إلى ما كنت أريده أصلًا، من دون سلسلة تعديل يدوي.

وهنا أصبحت البساطة جزءًا من الأداء

قد تبدو واجهة تعتمد على «الحالة» أقل تقنية من تطبيق يعرض عشرة بروتوكولات وعشرات الإعدادات.

داخل الفندق شعرت بالعكس.

كنت أعرف المشكلة التي لدي: هذه شبكة مقيدة.

لم أكن أعرف أي قاعدة داخل الشبكة تسببها.

الخدمة لم تطلب مني معرفة ذلك.

وهذه هي النقطة التي جعلتها أكثر ملاءمة لجهاز Linux الذي أستخدمه في السفر. أنا أريد حرية التحكم عندما أحتاجها، لكنني لا أريد أن يصبح كل Wi-Fi غريب اختبارًا يدويًا لـUDP وTCP والمنافذ والخوادم.

كل دقيقة أقضيها في ذلك هي دقيقة لا أستخدم فيها SSH أو Git أو الأدوات التي فتحت اللابتوب من أجلها.

ثم تغيرت الشبكة مرة أخرى

بعد الاجتماع خرجت من الفندق، فاختفت شبكة Wi-Fi وانتقل الهاتف إلى بيانات الهاتف.

كنت قد اعتدت في هذه المواقف أن أراقب الـVPN وأتوقع انقطاعًا جديدًا.

لكن الاتصال استعاد مساره واستمر الاستخدام.

هذه لم تكن المشكلة الرئيسية في القصة، لكنها أصبحت سببًا إضافيًا للاحتفاظ بالتطبيق.

السفر لا يعطيني شبكة ثابتة. فندق، مطار، مقهى، hotspot، ثم 5G.

لذلك أصبحت أقدّر خدمة تتعامل جيدًا مع تغير الشبكة أكثر من خدمة تفوز فقط في اختبار سرعة على اتصال منزلي مثالي.

هل ما زلت أستخدم WireGuard وOpenVPN؟

نعم.

WireGuard ما زال اختياري المفضل عندما تكون الشبكة طبيعية وأريد اتصالًا بسيطًا وسريعًا على Linux. (WireGuard)

وOpenVPN TCP 443 ما زال خطة إنقاذ جيدة عندما تكون الشبكة أكثر تقييدًا ولا يمر الاتصال المعتاد. (OpenVPN)

لكنني لم أعد أعتبرهما السؤال كله.

لأن التجربة وضعت أمامي ثلاثة مستويات مختلفة:

WireGuard عندما تكون الشبكة متعاونة.

OpenVPN TCP عندما أحتاج طريقًا تقليديًا أكثر قابلية للمرور.

واتصال مموّه مصمم للشبكات المقيدة عندما لا أريد أن أختار يدويًا بينهما في كل مرة تتغير فيها البيئة.

الخدمة الأصغر لديها تاريخ عام أقصر وعدد مواقع أقل من أكبر مقدمي VPN. لو كان هدفي أكبر قائمة دول ممكنة، فهذا مهم.

لكنني في الفندق لم أكن أحتاج إلى خمسين دولة إضافية.

كنت أحتاج إلى SSH يعمل قبل الاجتماع.

إذن: WireGuard أم OpenVPN TCP على Linux في شبكة مقيدة؟

إذا كانت المقارنة محصورة بين الاثنين، فWireGuard هو الخيار الذي أفضله عندما يمر، وOpenVPN TCP 443 هو الخطة الاحتياطية الواضحة عندما تصبح الشبكة أكثر تشددًا.

لكن هذا التقسيم يفترض أن عليّ أنا تشخيص الشبكة أولًا.

وهذا هو الشيء الذي لم أعد أريده.

OnlydogVPN أعطاني معيارًا أبسط: بدل أن أختار البروتوكول ثم أكتشف هل تحبه الشبكة، اخترت حالة «شبكة مقيدة» وعدت مباشرة إلى عملي.

WireGuard كان الأسرع في الظروف الجيدة.

OpenVPN TCP كان المنقذ عندما فشل المسار الأول.

لكن الاتصال المموّه كان الخيار الوحيد الذي جعلني أتوقف عن التفكير في البروتوكول نفسه.

على Linux في شبكة مقيدة، أفضل اتصال بالنسبة لي ليس الذي يعطيني أكبر عدد من البروتوكولات؛ بل الذي يعيدني إلى الـterminal بأقل عدد من القرارات.