VPN · بدون KYC
استضف WireGuard على VPS خارجي
شغّل شبكة WireGuard VPN الخاصة بك على خادم ChainVPS خارجي، واحصل على نفق مشفّر سريع وحديث لا يخضع لأحد سواك.
ما هو
WireGuard هو بروتوكول VPN خفيف الوزن وعالي الأداء مدمج في نواة Linux، ينشئ أنفاقًا مشفّرة من نقطة إلى نقطة باستخدام تشفير حديث (Curve25519 وChaCha20 وPoly1305). واستضافته ذاتيًا على خادم VPS تحوّل ذلك الخادم إلى عقدة خروج VPN شخصية تتحكم فيها بالكامل، بحيث تمر حركة بياناتك عبر عنوان IP الخاص بالخادم بدلاً من مزوّد تجاري مشترك.
لماذا تستضيفه خارجيًا
خصوصية شبكة VPN المستضافة ذاتيًا لا تتجاوز خصوصية الخادم الذي تعمل عليه، لذا فإن استضافة بلا KYC، تُدفع بالعملات المشفرة، وفي نطاق قضائي صديق للخصوصية، تزيل أثر الهوية الذي تحتفظ به شبكات VPN التجارية والسحابات المعروفة في سجلاتها. النطاق الترددي غير المحدود لدى ChainVPS ومواقعها من فئة الخصوصية (NL/CH/RO/IS/MD/LU) يتيحان للنفق نقل حركة بيانات حقيقية دون مفاجآت في القياس أو أثر ورقي يربط عنوان IP الخروج بك.
النشر
إعداد مرجعي عملي
انسخ هذا إلى نسخة ChainVPS جديدة. استبدل العناصر النائبة، ثم قم بتشغيله.
# wg-easy: WireGuard + web admin UI. Docker + compose plugin required.
# 1) Generate a bcrypt admin password hash first:
# docker run --rm ghcr.io/wg-easy/wg-easy:14 wgpw 'ChooseAStrongPassword'
# -> copy the PASSWORD_HASH value into the file below.
# NOTE: in docker-compose, every '$' in the hash MUST be doubled to '$$'.
# 2) Replace WG_HOST with your server's public IP (or a DNS name pointing to it).
# 3) docker compose up -d then open http://SERVER_IP:51821
services:
wg-easy:
image: ghcr.io/wg-easy/wg-easy:14
container_name: wg-easy
restart: unless-stopped
environment:
- WG_HOST=YOUR.SERVER.PUBLIC.IP
- PASSWORD_HASH=$$2a$$12$$REPLACE_WITH_YOUR_BCRYPT_HASH
- WG_PORT=51820
- WG_DEFAULT_DNS=1.1.1.1
- WG_DEFAULT_ADDRESS=10.8.0.x
- WG_ALLOWED_IPS=0.0.0.0/0, ::/0
volumes:
- ./wg-data:/etc/wireguard
ports:
- "51820:51820/udp" # WireGuard tunnel
- "51821:51821/tcp" # Web admin UI
cap_add:
- NET_ADMIN
- SYS_MODULE
sysctls:
- net.ipv4.ip_forward=1
- net.ipv4.conf.all.src_valid_mark=1جدار الحماية
المنافذ المطلوب فتحها
| المنفذ | البروتوكول | الغرض |
|---|---|---|
| 51820 | UDP | نفق WireGuard (مستوى البيانات) - يجب أن يكون مفتوحًا على الإنترنت |
| 51821 | TCP | واجهة إدارة الويب wg-easy - أبقِها خلف جدار الحماية، وصِل إليها عبر نفق SSH أو خادم وكيل عكسي (reverse proxy) مع مصادقة |
الحجم الأمثل
الباقة التي تحتاجها
VPS Nano / Small (1 vCPU, 1-2 GB RAM)
1-3 أجهزة شخصية، تصفح عام وتغيير الموقع الجغرافي (geo-shifting). WireGuard سريع لأنه يعمل داخل النواة؛ نادرًا ما يكون المعالج هو القيد في هذه الفئة.
VPS Pro (2-4 vCPU, 4-8 GB RAM)
أسرة أو فريق صغير، 10-25 طرفًا (peers)، بث وتنزيلات مستمرة. النطاق الترددي غير المحدود أهم من عدد الأنوية هنا.
Dedicated (أو أفضل خطة VPS بأنوية مخصصة)
أكثر من 50 طرفًا، أو معدل نقل يشبع رابط Gigabit، أو بوابة ربط بين موقعين (site-to-site). المعالج المخصص يتجنّب تذبذب 'الجار المزعج' (noisy neighbor) على مسار التشفير.
أفضل المواقع: اختر موقعًا من فئة الخصوصية لدى ChainVPS كمخرج لشبكة VPN: سويسرا (CH) وآيسلندا (IS) وهولندا (NL) توفّر أنظمة حماية بيانات قوية ونقل أوروبيًا جيدًا، بينما تستكمل رومانيا (RO) ومولدوفا (MD) ولوكسمبورغ (LU) قائمة النطاقات القضائية البعيدة عن ضغوط مشاركة المراقبة الشائعة. اختر الموقع الأقرب جغرافيًا إلى مكان تصفحك الفعلي لتقليل زمن استجابة النفق، لأن كل حزمة بيانات تقطع الرحلة ذهابًا وإيابًا عبر نقطة الخروج.
أحكِم تأمينه
قائمة تحقق التحصين
- لا تُعرّض أبدًا واجهة إدارة الويب wg-easy (51821) على الإنترنت - اربطها بـ localhost فقط وصِل إليها عبر 'ssh -L 51821:localhost:51821 user@server'، أو ضعها خلف خادم وكيل عكسي مع TLS ومصادقة HTTP. يجب ألا يكون متاحًا للعامة سوى المنفذ 51820/udp.
- ضع جدار حماية حقيقيًا أمام الخادم: 'ufw default deny incoming'، واسمح فقط بمنفذ SSH الخاص بك و51820/udp، ودع إعادة التوجيه في Docker تتكفل بالباقي. تأكد من أن net.ipv4.ip_forward=1 يبقى ثابتًا بعد إعادة التشغيل.
- ثبّت الصورة (image) على وسم محدد (tag) مثل :14 بدلاً من :latest حتى لا يغيّر أي تحديث من المصدر السلوك دون علمك، وأعد البناء عن قصد بعد مراجعة ملاحظات الإصدار. احتفظ بمجلد ./wg-data وملفات الإعداد بصلاحيات 0600 - فهو يحتوي على المفاتيح الخاصة لكل طرف (peer).
- قوِّ حماية SSH قبل أي شيء آخر: مصادقة بالمفاتيح فقط، وتعطيل تسجيل الدخول بكلمة المرور وبحساب root، وتغيير المنفذ أو حمايته. خصوصية شبكة VPN محدودة بمن يستطيع تسجيل الدخول إلى الخادم.
- اضبط WG_DEFAULT_DNS على مُحلّل (resolver) تثق به (أو شغّل مُحلّلك الخاص على الخادم) حتى لا تُسرّب الأجهزة طلبات DNS خارج النفق، وتحقق من ذلك باختبار تسرب IP/DNS بعد الاتصال. أعد إصدار أو ألغِ إعدادات الطرف (peer) من الواجهة عند فقدان أحد الأجهزة.
الأسئلة
الاستضافة WireGuard — الأسئلة الشائعة
هل شبكة WireGuard VPN المستضافة ذاتيًا أكثر خصوصية من شبكة VPN تجارية؟
إنها تستبدل عنوان IP خروج مشتركًا بتحكم حصري كامل. الشبكة التجارية تُخفيك بين آلاف المستخدمين، لكن عليك أن تثق بادّعائها عدم الاحتفاظ بالسجلات؛ أما نقطة النهاية المستضافة ذاتيًا على VPS بلا KYC فتعني ألا تحتفظ أي جهة خارجية بهويتك أو سجلاتك، رغم أن عنوان IP الخروج يخصّك وحدك. وجمعها مع الدفع بالعملات المشفرة وموقع من فئة الخصوصية يزيل أثر الهوية تمامًا.
هل أحتاج إلى واجهة الويب، أم يمكنني تشغيل WireGuard مباشرة بدونها؟
صورة wg-easy أعلاه هي الطريق الأسرع لأنها تولّد إعدادات الأطراف (peers) ورموز QR نيابةً عنك. إذا كنت تفضّل عدم وجود أي واجهة ويب على الإطلاق، ثبّت حزمة 'wireguard' مباشرة على Ubuntu 24.04 وأدر ملف /etc/wireguard/wg0.conf يدويًا - نفس وحدة النواة، لكن مع إدارة يدوية للمفاتيح والأطراف.
هل يغطي النطاق الترددي غير المحدود فعلاً الاستخدام المكثف لشبكة VPN؟
نعم - خطط ChainVPS VPS تتضمن نطاقًا ترددًيا غير محدود، وهو بالضبط ما تحتاجه شبكة VPN، لأن كل بايت تتصفحه أو تبثّه أو تنزّله يمر عبر النفق مرتين. لا توجد أي رسوم إضافية لكل غيغابايت يجب القلق بشأنها.
لماذا يجب أن يكون المنفذ UDP 51820 هو المنفذ الوحيد الذي أفتحه للعامة؟
يعمل مستوى بيانات WireGuard بالكامل عبر منفذ UDP هذا وحده. أما منفذ إدارة الويب (51821/tcp) فهو للإدارة فقط، ويجب أن يبقى خلف جدار الحماية ويُصل إليه عبر نفق SSH، بحيث تقتصر مساحة الهجوم العامة على مستمع UDP واحد يتجاهل بصمت أي حزم غير موثّقة.
هل يمكنني استخدام هذا لعدة أجهزة وأفراد العائلة؟
نعم. يحصل كل جهاز على إعداد طرف (peer) خاص به من الواجهة، وتستطيع خطة من فئة VPS Pro التعامل بسهولة مع أسرة من 10-25 طرفًا. انتقل إلى خطة Dedicated فقط عند الحاجة إلى إشباع رابط Gigabit أو تشغيل بوابة ربط بين موقعين.
هل تهم الحماية من هجمات DDoS بالنسبة لنقطة نهاية VPN؟
نعم، فهي مفيدة - منفذ UDP العام لشبكة VPN قد يجذب هجمات إغراق حجمية، وتتضمن ChainVPS تخفيفًا لهجمات DDoS بحيث لا يؤدي اندفاع من البيانات العشوائية إلى إسقاط النفق. لكنها لن توقف مهاجمًا يملك بالفعل مفاتيح طرف صالحة، لذا حافظ على تلك المفاتيح تحت سيطرة صارمة.
المزيد للاستضافة الذاتية
حزم أخرى بنقرة واحدة
أطلق فورًا WireGuard
خلال الـ60 ثانية القادمة.
نطاق غير محدود · حماية DDoS مشمولة · 21 عملة رقمية · بدون KYC.