طريقة استخدام ملف تكوين WireGuard

ما الذي يحتويه ملف .conf، سطرًا بسطر

كل تكوين WireGuard له الشكل نفسه المكوّن من جزأين. [Interface] يصف طرف النفق الخاص بك؛ و[Peer] يصف الجهاز الذي تتصل به. إليك تكوين عميل كاملًا استُبدلت فيه البيانات السرية بقيم نائبة:

[Interface]
PrivateKey = YOUR_PRIVATE_KEY_KEEP_THIS_SECRET
Address    = 10.7.0.4/32
DNS        = 10.7.0.1

[Peer]
PublicKey           = THE_SERVER_PUBLIC_KEY_FROM_YOUR_PROVIDER
Endpoint            = 198.51.100.10:51820
AllowedIPs          = 0.0.0.0/0, ::/0
PersistentKeepalive = 25

قسم [Interface]: طرفك أنت

• PrivateKey — هذا هو هويتك على الشبكة الافتراضية. أي شخص يملكه يستطيع أن يتصل بصفتك. يتكون من 44 حرفًا بترميز base64 وينتهي بـ =؛ فإن كان طول مفتاحك مختلفًا، فقد اقتُطع الملف في مكان ما أثناء النسخ.
• Address — عنوان IP الذي يحمله جهازك داخل النفق، وليس عنوان IP العام الخاص بك. تعني /32 «هذا العنوان وحده فقط»، وهو أمر طبيعي للعميل.
• DNS — خادم تحليل الأسماء المستخدم أثناء تشغيل النفق. بدونه يواصل جهازك سؤال خادمك القديم، مما يكشف ما تبحث عنه، وغالبًا ما يفشل في تحليل أي شيء على الطرف الآخر.
• MTU — اختياري، وهو أكثر سطر يستحق أن تعرفه. يغيب عن معظم الملفات لأن القيمة الافتراضية صحيحة؛ راجع قسم استكشاف الأخطاء وإصلاحها للحالة التي لا تكون فيها كذلك.

قسم [Peer]: طرف الخادم

• PublicKey — المفتاح العام للخادم. مفتاحك العام لا يظهر أبدًا في ملفك؛ بل يحتفظ به الخادم.
• Endpoint — وجهة إرسال الحزم، بصيغة host:port. يعمل WireGuard عبر UDP فقط، و51820 هو المنفذ المتعارف عليه وليس منفذًا إلزاميًا.
• AllowedIPs — الوجهات التي تمر عبر النفق. 0.0.0.0/0, ::/0 تعني كل شيء، وهذا بالضبط الغرض من شبكة VPN للخصوصية. أما القائمة الأضيق — لنقل النطاق الداخلي لشركتك فقط — فتمرر هذا النطاق وحده وتترك الباقي على اتصالك العادي. يُسمى هذا الترتيب النفق المنقسم (split tunnel)، وهو خيار مقصود وليس نفقًا كاملًا معطّلًا.
• PersistentKeepalive — يرسل حزمة صغيرة كل 25 ثانية حتى يُبقي جهاز NAT الواقع بينك وبين الخادم مسار العودة مفتوحًا. تحتاج إليه كلما كنت خلف NAT، وعلى الهاتف أو الاتصال المنزلي أنت دائمًا خلفه.

Windows: استيراد النفق

لنظام Windows تطبيق WireGuard رسمي، واستيراد ملف إليه هو كل المهمة.

1. ثبّت WireGuard من wireguard.com/install.
2. انقر إضافة نفق في أسفل اليسار، فتُفتح نافذة اختيار ملفات مقتصرة على ملفات التكوين (*.zip, *.conf). اختر ملف .conf الخاص بك وسيظهر في قائمة الأنفاق باسم الملف.
3. أو الصقه بدلًا من ذلك. يوفّر السهم المجاور لزر إضافة نفق خيار إضافة نفق فارغ…، الذي يمنحك مربع نص — وهو مفيد عندما يصلك التكوين في رسالة لا في ملف. يملأ المربع مسبقًا مفتاحًا خاصًا جديدًا، فاحذف ذلك السطر والصق تكوينك مكانه.
4. انقر تفعيل. تتغير الحالة إلى نشط وتبدأ اللوحة في عدّ البايتات المنقولة. هذا العدّاد أسرع فحص متاح لك: إن أظهر بيانات تخرج دون أن يعود شيء، فالمصافحة لا تكتمل.

Android وiPhone: امسح رمز QR أو استورد الملف

على الهاتف أمامك طريقتان، ورمز QR موجود تحديدًا لأن كتابة مفتاح من 44 حرفًا على شاشة لمس أمر مرهق.

Android

1. ثبّت WireGuard من Play Store واضغط زر +.
2. تعرض شاشة إنشاء نفق وايرجارد الخيارات مسح من رمز الاستجابة السريعة (QR) واستيراد من ملف أو أرشيف وإنشاء نفق من الصفر. اختر ما يناسب ما حصلت عليه.
3. أعطِ النفق اسمًا إذا طُلب منك ذلك، ثم فعّل مفتاحه. يطلب Android مرة واحدة إذنًا لإضافة تكوين VPN — وهذا الطلب صادر عن نظام التشغيل لا عن التطبيق.

iPhone وiPad

1. ثبّت WireGuard من App Store واضغط Add a tunnel.
2. تحت Add a new WireGuard tunnel، اختر Create from QR code أو Create from file or archive. عنوان شاشة المسح هو Scan QR code؛ وبعد المسح الناجح تطلب منك تسمية النفق.
3. فعّله واسمح بتكوين VPN عندما يطلب iOS ذلك.

إنشاء رمز QR من ملف تكوين لديك بالفعل

رمز QR ليس شيئًا يجب أن يعطيك إياه المزوّد — إنه مجرد ملف التكوين نفسه مرسومًا كصورة، ويمكنك إنشاؤه بنفسك بأمر واحد. بل إن تطبيق WireGuard نفسه يقترح ذلك:

# prints the code straight into the terminal, ready to scan off the screen
qrencode -t ansiutf8 < wg0.conf

# or write it to an image file
qrencode -o wg0.png < wg0.conf

على Debian أو Ubuntu تحصل على qrencode عبر apt install qrencode؛ وعلى macOS عبر brew install qrencode.

macOS وLinux

macOS

ثبّت WireGuard من Mac App Store. تطبيق Mac ليس تطبيق iPhone على شاشة أكبر: فهو يعيش في شريط القوائم، وتُفتح نافذته من Manage Tunnels. انقر Import tunnel(s) from file (وفي شريط القوائم الأمر نفسه باسم Import Tunnel(s) from File…)، واختر ملف .conf، ثم حدد النفق وانقر Activate. لا يوجد ماسح لرموز QR على Mac — فرموز QR مخصصة للهواتف — لذا استخدم الملف نفسه، أو اختر Add Empty Tunnel… والصق التكوين فيه.

إذا كنت تفضّل العمل في الطرفية، فإن brew install wireguard-tools يمنحك أوامر wg-quick نفسها الموجودة على Linux، والمشروحة أدناه.

Linux

1. ثبّت الأدوات. على Debian أو Ubuntu: sudo apt install wireguard. معظم التوزيعات لديها حزمة بالاسم نفسه.
2. ضع الملف حيث يبحث عنه wg-quick. هذه هي الخطوة التي يخطئ فيها الناس، لأن اسم الملف يصبح اسم الواجهة:

   sudo install -m 600 -o root -g root wg0.conf /etc/wireguard/wg0.conf

   القيمة 600 مهمة — فالملف يحتوي على مفتاحك الخاص ويجب ألا يتمكن المستخدمون الآخرون على الجهاز من قراءته. اجعل الاسم قصيرًا وبسيطًا؛ إذ يجب أن يكون اسم واجهة شبكة صالحًا.
3. شغّل النفق:

   sudo wg-quick up wg0
   sudo wg show

   wg show هو الأمر الوحيد الجدير بالحفظ. يطبع الطرف النظير ونقطة النهاية وسطر latest handshake وعدادات النقل. أما توقيت المصافحة الذي لا يظهر أبدًا فهو علامة المشكلة المشروحة في القسم التالي.
4. التشغيل عند الإقلاع: sudo systemctl enable --now wg-quick@wg0. ولإيقاف النفق يدويًا: sudo wg-quick down wg0.

على الراوتر، لتغطية المنزل بأكمله

وضع النفق على الراوتر يغطي كل جهاز خلفه، بما في ذلك الأجهزة التي لا تستطيع تشغيل تطبيق VPN أصلًا — جهاز ألعاب، أو تلفاز، أو مكبر صوت ذكي. وإمكانية ذلك تعتمد كليًا على البرنامج الثابت (الفيرموير) لديك.

إذا كان الراوتر لديك هو الجهاز الذي سلّمتك إياه شركة الإنترنت، فالخياران الواقعيان هما وضع راوتر تتحكم فيه خلفه، أو الاستمرار في استخدام تكوين لكل جهاز. لا يُعد أي منهما فشلًا؛ بل إن الإعداد لكل جهاز غالبًا ما يكون أفضل، لأنك تستطيع إبقاء النفق مغلقًا على الأجهزة التي لا تحتاج إليه.

أمر واحد عليك حسمه قبل أن تمرّر المنزل كله عبر نفق: كل شيء سيمر عبره حينها. مواقع البنوك التي لا ترحب بالعناوين الأجنبية، وخدمات البث التي تتحقق من منطقتك، وكل ما يتواصل مع أجهزة على شبكتك المحلية، قد يتصرف بشكل مختلف. وهنا تُثبت قائمة AllowedIPs الأضيق قيمتها — مرّر فقط ما يلزم، واترك الباقي كما هو.

يتصل لكن لا شيء يُحمَّل، ومشاكل حقيقية أخرى

WireGuard هادئ على نحو غير معتاد عندما يفشل، وهذا خيار تصميمي مقصود — الحزمة غير الموثَّقة لا تتلقى أي رد على الإطلاق، فلا يستطيع الماسح أن يعرف ما إذا كان هناك شيء يستمع. والأثر الجانبي أن المفتاح الخاطئ والمنفذ الخاطئ والشبكة المحجوبة تبدو كلها متطابقة من طرفك: صمت. انطلق من العَرَض.

«Handshake did not complete»

أرسل جهازك حزمة بدء ولم يتلقَّ شيئًا في المقابل. تحقق بهذا الترتيب:

• نقطة النهاية. المضيف الصحيح، والمنفذ الصحيح، وأن المنفذ UDP. خطأ مطبعي هنا ينتج هذا العَرَض بالضبط ولا شيء غيره.
• هل يصل UDP إلى الخارج أصلًا. شبكات Wi-Fi للضيوف، وشبكات الفنادق، وبعض شبكات الشركات، وعدد قليل من مشغّلي الهاتف المحمول لا تسمح إلا بـ TCP على المنافذ الشائعة. إذا كان التكوين نفسه يعمل على اتصالك المنزلي ويفشل على شبكة معينة، فالتكوين سليم والمشكلة في الشبكة.
• المفاتيح في موضعها الصحيح. PublicKey في [Peer] هو المفتاح العام للخادم، ويجب أن يحتفظ الخادم بشكل منفصل بالمفتاح العام المطابق لـ PrivateKey الخاص بك. التكوين المنسوخ لجهاز آخر يفشل هنا.
• ساعة جهازك. تتضمن مصافحة WireGuard طابعًا زمنيًا وترفض الطابع البعيد جدًا عن الوقت الصحيح. هذا نادر، لكنه يحدث على الأجهزة التي فقدت ضبط الوقت.

إذا كان النفق يعمل من المنزل لكنه لا يعمل أبدًا عبر اتصال الهاتف المحمول، فقد يكون السبب لدى مزودك لا لديك — فـ NAT على مستوى المشغّل (CGNAT) والترتيبات المشابهة تغيّر ما يمكنه الوصول إليك. يشرح دليل إعادة توجيه المنافذ كيف تتحقق من ذلك من الراوتر الخاص بك في دقيقتين.

مشكلة MTU، التي تستحق أن تفهمها مرة واحدة

هذه هي الحالة الكلاسيكية «متصل لكن الإنترنت معطّل»، ونمطها مميز: ping يعمل، وDNS يعمل، والصفحات الصغيرة تعمل، وكل ما هو أكبر يتوقف إلى الأبد.

السبب هو الحجم. تغليف حركة المرور للنفق يضيف ترويسات، فالحزمة التي كانت تتسع تمامًا في اتصالك العادي لم تعد تتسع بعد دخولها WireGuard. الحزم الصغيرة تمر بسلاسة؛ والكبيرة تُسقَط. في العادة تُبلغ الشبكة المرسل باستخدام حزم أصغر، لكن الرسالة التي تقوم بذلك كثيرًا ما تُرشَّح، فبدلًا من ظهور خطأ تظل تنتظر فحسب.

الحل أن تطلب من WireGuard استخدام حزم أصغر منذ البداية. wg-quick يحاول ذلك بالفعل: يأخذ MTU مسارك العادي ويطرح منه 80 بايت لحمل النفق الإضافي، فتحصل على 1420 في اتصال عادي بحجم 1500 بايت. وعندما يظل ذلك كبيرًا جدًا — في بعض شبكات الهاتف المحمول ومعظم الاتصالات التي تمر أصلًا عبر نفق آخر — اضبطه صراحةً وانزل تدريجيًا:

[Interface]
MTU = 1420      # what wg-quick would have picked
# still stalling? try 1380, then 1280

1280 هو الحد الأدنى الذي يستحق التجربة، لأنه أصغر حجم حزمة يشترط IPv6 أن تحمله كل المسارات، فيصمد عمليًا على أي مسار. يكلّفك قليلًا من الكفاءة، وهو أفضل بكثير من نفق يتجمد.

النفق يعمل لكن لا شيء يمر عبره

تحقق من AllowedIPs أولًا. إنها ليست جدار حماية ولا قائمة أذونات — بل تحدد أي الوجهات تُوجَّه إلى النفق من الأساس. إن لم تتضمن 0.0.0.0/0، فحركة المرور إلى بقية الإنترنت لم يكن مقررًا لها أن تمر عبره أصلًا، واتصالك يتصرف تمامًا كما هو مهيأ. على Linux يُظهر الأمر ip route show table all | grep wg0 ما وُجِّه فعليًا.

إذا كان التوجيه صحيحًا والأسماء ببساطة لا تُحلَّل، فالسبب سطر DNS — إما أنه مفقود، أو موجود لكنه لم يُطبَّق لأن resolvconf غير مثبّت.

من أين يأتي ملف التكوين

كل ما سبق يفترض أن لديك ملفًا. وهناك طريقتان فقط للحصول عليه.

شغّل الخادم بنفسك

تولّد زوج مفاتيح، وتثبّت WireGuard على جهاز بعنوان عام، وتضيف جهازك كطرف نظير، وتكتب تكوين العميل يدويًا. ليس الأمر صعبًا، وهو فعلًا شيء جيد تتعلمه. أما تكلفته فمستمرة: خادم تدفع ثمنه وتحافظ على تحديثه، وتعديل يدوي على الطرفين في كل مرة تضيف فيها جهازًا — لأنه، تذكّر، الطرف النظير الواحد يعني جهازًا واحدًا.

احصل عليه من مزود

البديل أن يُولَّد الملف لك وتقوم أنت بتنزيله. مع HytHost VPN، من €0.99 شهريًا، إليك مكانه:

1. اطلب الخدمة وسجّل الدخول إلى منطقة العملاء، ثم افتح خدمة VPN الخاصة بك من القائمة.
2. ابحث عن قسم WireGuard Configuration. يمنحك زرين — Copy to Clipboard الذي يضع نص التكوين في الحافظة، وDownload Configuration الذي يعطيك الملف جاهزًا.
3. إذا نسخته، فالصقه في محرر نصوص عادي واحفظه بامتداد .conf — والاسم wg0.conf اختيار جيد. تأكد من أن المحرر لم يُضف .txt إلى نهاية الاسم.
4. استورده باتباع القسم الخاص بجهازك أعلاه. على الهاتف، حوّله أولًا إلى رمز QR باستخدام qrencode.

تُظهر الصفحة نفسها ما إذا كان النفق متصلًا بالخادم حاليًا، مما يحسم سؤال «هل المشكلة عندي أم عندهم» قبل أن تبدأ بتغيير الإعدادات. لا يوجد زر لرمز QR — أنشئه بنفسك من الملف، وهذا يعني أيضًا أن الرمز لا ينتقل أبدًا إلى أي مكان لا داعي لذهابه إليه.