ماذا يرى مزوّد الإنترنت حين يكون VPN مفعّلًا، وما الذي يُخفى عنه (2026)

باختصار: ما يمرّ داخل VPN لا يستطيع مزوّد الإنترنت قراءته. لكنه يرى أن هناك VPN، وإلى أي عنوان يتصل، ومتى يكون مفعّلًا، وكم من البيانات مرّ عبره. والأمر نفسه ينطبق على شركة الاتصالات في الجوال وعلى من يدير شبكة الواي فاي في المقهى. يقلّل VPN كثيرًا مما يراه الآخرون، لكنه لا يجعله صفرًا، ومعظم سوء الفهم يأتي من هذا الفرق.

ما يُرى من دون VPN

من دون نفق يقف المزوّد في طريق كل حزمة. يرى عنوان كل خادم تتصل به ووقت الاتصال، ويرى طلبات DNS إذا كنت تستخدم خادم DNS الخاص به، ويرى اسم الموقع في بداية كل اتصال HTTPS تقريبًا (حقل SNI)، حتى لو كان DNS مشفّرًا. تقنية Encrypted Client Hello تغيّر ذلك، لكنها لم تنتشر بعد على نطاق واسع. أما الصفحات والنماذج والرسائل داخل مواقع HTTPS فلا يراها.

ما يبقى ظاهرًا مع VPN: الخادم والوقت والحجم

مع VPN تذهب كل الحزم إلى خادم واحد، فتتحوّل قائمة طويلة من العناوين إلى تيار واحد. لكن عنوان هذا الخادم يبقى ظاهرًا، وهو يقول شيئًا: شبكات مراكز البيانات تبدو مختلفة عن شبكات المنازل والجوال. اتصال طويل من خط البيت إلى جهاز واحد في مركز بيانات نمط يسهل التعرّف عليه بحدّ ذاته.

التشفير يحمي محتوى الرسالة لا الظرف. متى يبدأ الاتصال وينتهي، وكم بايتًا مرّ في كل اتجاه، وبأي إيقاع، كل ذلك يبقى ظاهرًا للمزوّد. نصف ساعة من بيانات متوازنة في الاتجاهين تشبه مكالمة، وعدة غيغابايتات في اتجاه واحد تشبه تنزيلًا. أي موقع فتحت لا يظهر، لكن نمط يومك يظهر. وبصراحة: VPN يخفي ما يمرّ عبره، لا حقيقة أنك تستخدمه.

مصافحة النفق نفسه

مصافحات المواقع التي تفتحها تجري داخل النفق. أما مصافحة النفق نفسه فتجري خارجه، وما يمكن قراءته منها يتوقف على البروتوكول:

• VLESS Reality: تتوجّه المصافحة إلى موقع حقيقي لطرف ثالث وتحمل اسمه، فلا يوجد اسم نطاق خاص بك يمكن تسجيله. نقطة الضعف في مكان آخر: العنوان الذي يذهب إليه الاتصال لا يعود إلى ذلك الاسم، ويمكن مقارنة الاثنين.
• Hysteria2 وغيره من بروتوكولات QUIC: أول حزمة QUIC محمية بمفاتيح مشتقة من قيم منشورة في RFC 9001، فيستطيع أي أحد على الطريق فكّها وقراءة الاسم. QUIC وحده لا يخفي الاسم.
• VLESS أو Trojan بنطاقك الخاص عبر TLS عادي: يظهر هذا النطاق صريحًا في المصافحة، وهو بمثابة ملصق ثابت على بياناتك.
• WireGuard: لا يستخدم TLS، فلا اسم فيه. لكن هذا لا يعني أنه غير مرئي: مصافحته رسائل بطول 148 و92 بايتًا وببايت أول ثابت، فتكفي قاعدة بسيطة على الطول للتعرّف عليها.

أين تخرج البيانات من حول النفق

• DNS خارج النفق: إذا لم يتولَّ العميل ترجمة الأسماء، تذهب الطلبات إلى DNS المزوّد، وهي تقريبًا قائمة المواقع كاملة التي كان يُفترض أن يخفيها VPN.
• IPv6: إذا كان النفق يحمل IPv4 فقط وخطّك يدعم IPv6، فالمواقع التي تدعم IPv6 تتصل مباشرة. نوع العنوان في شبكات المنطقة مشروح في شبكات الخليج ومصر: IPv6 وCGNAT.
• الاستثناءات: المواقع والتطبيقات التي ضبطتها لتعمل من دون VPN يراها المزوّد كما لو لم يكن هناك VPN.
• عند التشغيل وإعادة الاتصال: قبل أن يقوم النفق، أي عند التشغيل وبعد كل تبديل للشبكة، تمرّ البيانات بالطريق العادي. ومن دون حظر عند الانقطاع تكون هذه الثواني ظاهرة.

كيف يتعامل تطبيقنا مع ذلك

• أين أنت: في صفحة «Where are you?» وضعان. «I am abroad»: كل البيانات، بما فيها المواقع الروسية، تمرّ عبرنا. «I am in Russia»: المواقع الروسية تُفتح مباشرة، ويراها المزوّد كما لو لم يكن هناك VPN. خارج روسيا اختر «I am abroad». واجهة التطبيق حاليًا بالإنجليزية والروسية فقط.
• DNS على iPhone وiPad: تُترجَم أسماء المواقع عبر Cloudflare بتقنية DNS-over-HTTPS ومن خلال خادم VPN. أما المواقع التي تُفتح مباشرة فتُترجَم أسماؤها عبر DNS العام لدى Yandex خارج VPN.
• DNS على الكمبيوتر: تُترجَم الأسماء عبر Cloudflare وGoogle، وتمرّ الطلبات عبر خادم VPN. ويدخل IPv6 أيضًا في النفق مع IPv4.
• عنوان الخادم: يبحث عنه التطبيق قبل الاتصال عبر DNS الشبكة التي أنت عليها، وإلا فلن يجد ما يتصل به. هذا الطلب الواحد يراه المزوّد.
• الانقطاع: على iPhone وiPad يوجد مفتاح «Block the internet if the VPN drops»، فلا تتسرّب أي بيانات من حول VPN ما دام مفعّلًا.

المراقب لا يختفي، بل ينتقل

ما لم يعد المزوّد يراه يراه طرف آخر: بياناتك تخرج إلى الإنترنت من خادم VPN، فيقف من يدير الخادم في المكان الذي كان فيه المزوّد. لذلك يُطرح سؤال «ماذا يرى المزوّد؟» دائمًا مع سؤال «ماذا ترى خدمة VPN؟». وما يُرى على الشبكات المفتوحة في المولات والمطارات مشروح في الواي فاي العام في المولات والمطارات.

ما يجب على المزوّد حفظه من سجلات ومدّته يحدّده قانون بلدك، ويختلف كثيرًا من بلد إلى آخر. ومع VPN يبقى في هذه السجلات اتصالك بخادم VPN، لا المواقع التي زرتها.

كيف تفحص اتصالك

1. 1فعّل VPN وافتح اختبار التسرّب لدينا: يعرض العنوان والبلد اللذين يراهما الموقع، وتسرّب WebRTC، والمنطقة الزمنية. لا يفحص DNS بعد.
2. 2على الكمبيوتر افحص IPv6 بالأمر curl -6 https://ifconfig.co. إذا ظهر عنوان بيتك فإن IPv6 يتجاوز النفق، وإذا ظهر خطأ اتصال فلا يوجد IPv6 أصلًا، ولا بأس في ذلك.
3. 3افحص إعادة الاتصال: أطفئ الواي فاي ثم شغّله، وافتح صفحة الاختبار فورًا. هذه الثواني هي ما يكشف إن كان الحظر عند الانقطاع يعمل.
4. 4لا حاجة إلى الفحص كل أسبوع، يكفي بعد تغيير العميل أو تحديث النظام أو تغيير الخط.

أسئلة شائعة