عادةً ما يظهر IPsec في أحد الأماكن القليلة. في قائمة البروتوكولات في تطبيق VPN، بجوار WireGuard و OpenVPN. أو في بريد إلكتروني من قسم تكنولوجيا المعلومات، يقول إن VPN الشركة القديمة يتم إيقافه وهذا هو البديل له.
ما هو VPN IPsec؟ الجواب القصير: IPsec هو مجموعة من القواعد لتشفير حركة الإنترنت، وVPN IPsec هو VPN مبني على تلك القواعد.
كل شيء بعد ذلك هو المكان الذي يصبح فيه الأمر محيرًا، وهناك سبب واحد لذلك: تم تصميم IPsec في التسعينيات، والإنترنت الذي تم تصميمه من أجله ليس هو الذي نستخدمه الآن. لقد تم تصحيحه وتوسيعه منذ ذلك الحين لمواكبة التطورات، وهو ما يجعل الأمر يبدو معقدًا للغاية اليوم. هذه الدليل يوضح أي الأجزاء لا تزال تهمك وأيها يمكنك تجاهله.
Table of Contents
ما هو IPsec؟
قبل التحدث عن IPsec، هناك شيء آخر يجب تغطيته أولاً: بروتوكول الإنترنت. هذا هو الجزء من الإنترنت الذي ينقل البيانات من مكان إلى آخر. تم بناؤه للتسليم، دون حماية، لذا فإن أي شيء يحمله يسافر في العلن ويمكن قراءته من قبل أي شخص يتعامل معه في الطريق. IPsec هو مجموعة المعايير التي أضيفت لاحقًا لسد تلك الفجوة. الاسم هو تلك الفكرتين المدمجتين معًا: بروتوكول الإنترنت، بالإضافة إلى الأمان.
لذا فإن IPsec ليس بروتوكول VPN واحد VPN protocol، وليس اسم VPN. إنه مجموعة من المعايير، تلك التي تجعل بروتوكول الإنترنت أكثر أمانًا لإرسال البيانات عبره.
الفرق أسهل في الرؤية جنبًا إلى جنب:
IPsec هو مجموعة من المعايير.
IPsec VPN هو VPN مبني باستخدامها.
IKEv2/IPsec هو الخيار الذي ستراه في تطبيقات VPN. إنها طريقة معينة لتشغيل IPsec، وهي قريبة من كونها الوحيدة التي لا تزال مستخدمة في الحياة اليومية.
تقضي معظم الشروحات وقتها في الأولين. الثالث هو ما ستتعامل معه فعليًا.
ما الذي يفعله IPsec لك بالفعل
لذا نعود إلى IPsec. ماذا يفعل بالضبط؟ إنه يتعامل مع وظيفتين.
الأول هو التشفير. البيانات التي تغادر جهازك يتم تشفيرها، لذا أي شخص يتعامل معها في الطريق، بما في ذلك مزود خدمة الإنترنت الخاص بك، يرى مجموعة من الأحرف التي لا يمكنهم فك تشفيرها. هذا يحافظ على خصوصية بياناتك.
الثاني هو التحقق. يؤكد IPsec أن البيانات جاءت حقًا من الجهاز الذي تدعي أنها جاءت منه، وأنه لم يتم تغيير أي شيء أثناء النقل. هذا يحافظ على سلامة البيانات.
تتعامل أجزاء مختلفة من IPsec مع هذين العملين، ولهذا السبب تقدم بعض الأدلة هذين الخيارين كخيار تحتاج إلى اتخاذه. عادةً ما ترى الخيارين مدرجين جنبًا إلى جنب، أحدهما يتحقق فقط من البيانات والآخر يقوم بتشفيرها أيضًا، مع سطر أسفل يقول إن الثاني أكثر أمانًا. ومع ذلك، لم يعد خيارًا حقيقيًا منذ سنوات، على الرغم من أن العديد من المقالات لا تزال تصفه كواحد.
💡 من الأمور التي يجب ملاحظتها أن IPsec يعمل أيضًا حزمة بحزمة، على كل قطعة من البيانات التي يرسلها جهازك، لذا فهو ليس محدودًا بما يحدث في المتصفح. يعتمد نوع حركة المرور التي تمر عبر النفق على كيفية إعداد VPN.
لماذا يبدو أن IPsec أكثر تعقيدًا مما ينبغي؟
بالنسبة لسبب شعور IPsec بالتعقيد، يعود ذلك إلى الوقت الذي تم بناؤه فيه. إنه يعود إلى منتصف التسعينيات، وكان الإنترنت في ذلك الوقت مكانًا أبسط بكثير مما هو عليه الآن.
كان الافتراض في ذلك الوقت هو أن أي جهازين يمكن أن يتواصلوا مع بعضهما مباشرة، كل منهما بعنوانه العام الخاص، وأن كل شيء بينهما سيمرر البيانات دون لمسها أو النظر إلى نوع البيانات التي كانت.
💡 الجزء الأوسط يستحق الشرح. البيانات لا تنتقل مباشرة من جهاز إلى آخر. يتم تمريرها بواسطة المعدات الموجودة في المنتصف، ومعظمها أجهزة توجيه، حيث يقوم كل منها بتمريرها نحو الوجهة المقصودة.
لا شيء من تلك الافتراضات صحيح الآن. في المنزل، يقوم جهاز التوجيه الخاص بك بإعادة كتابة العناوين أثناء خروج البيانات. بعيدًا عن المنزل، تقوم شبكات الفنادق والمكاتب بتصفية البيانات حسب نوع الحركة، مما يسمح بمرور بعضها وإسقاط الباقي. وتتحرك الهواتف بين الواي فاي وبيانات الهاتف المحمول عدة مرات في اليوم.
لم يأخذ التصميم الأصلي لـ IPsec في الاعتبار أيًا من ذلك، ولم يتم إعادة بنائه حوله. في كل مرة ظهرت فيها حالة جديدة، تم إضافة طبقة أخرى في الأعلى حتى تستمر الاتصالات في المرور.
هذا هو مصدر الأسماء الغريبة التي ستواجهها: أرقام المنافذ الإضافية، والمكونات التي تصفها مقالات أخرى. لم يكن معظمها موجودًا في البداية. تم إضافته للحفاظ على عمل IPsec في عالم لم يتم بناؤه من أجله.
IKEv2: الجزء من IPsec الذي سترى فعليًا
IPsec هو مجموعة من المعايير، وأحدها يتعامل مع كل ما يجب تسويته قبل أن تتحرك أي بيانات. هذا هو IKE، اختصار لتبادل المفاتيح عبر الإنترنت. وهو أيضًا الاسم الذي ستراه داخل تطبيق VPN، مدرجًا هناك كـ IKEv2/IPsec.
بمزيد من التفصيل، IKE هو ما يحدد أي طريقة تشفير ستستخدمها الاتصال، وما إذا كان كل جانب هو حقًا من يدعي أنه، وأي المفاتيح ستقوم بتشفير وفك تشفير كل ما يلي. بمجرد أن يقوم IKE بحل كل ذلك، فإنه يسلم المهمة إلى أجزاء IPsec التي تحمل بياناتك.
يحتوي IKE على إصدارين، IKEv1 و IKEv2. تصف بعض الأدلة هذين الإصدارين كمرحلتين في كيفية عمل IKE، لكن هذا غير صحيح. إنهما إصداران من نفس الشيء، يفصل بينهما سبع سنوات، وقد تم كتابة IKEv2 ليحل محل IKEv1. تستخدم أي اتصال معينة واحدًا منهما.
الخلط ربما يأتي من حقيقة أن IKEv1 لديه مرحلتين داخليتين، تعرفان باسم المرحلة 1 والمرحلة 2. IKEv2 ليس لديه مثل هذا الهيكل على الإطلاق.
تم إيقاف IKEv1 أيضًا الآن. لقد تخلت معظم عملاء VPN عن الدعم له ولا يُوصى به للإعدادات الجديدة، مما يجعل IKEv2/IPsec قريبًا من النسخة الوحيدة التي لا تزال قيد الاستخدام بشكل عام.
يحتوي IKEv2 على ميزة أخرى تستحق المعرفة. إذا كنت تستخدم VPN على هاتفك، يمكنه الحفاظ على الاتصال عندما يتغير الشبكة الأساسية. لنفترض أنك تغادر المنزل: يتوقف هاتفك عن استخدام Wi-Fi ويتحول إلى بيانات الهاتف المحمول، ويظل نفق VPN نشطًا بدلاً من أن يتوقف ويطلب منك إعادة الاتصال. تأتي هذه الميزة من جزء اختياري من IKEv2 يسمى MOBIKE، لذا يعتمد ذلك على دعم تطبيقك وخوادمه لها. عندما يحدث ذلك، يكون ذلك مريحًا حقًا.
نقطة ضعف IPsec: لماذا يفشل VPN الخاص بك على واي فاي الفندق
يجب على IKE إنهاء تحضيراته قبل أن يبدأ باقي IPsec في نقل بياناتك، ويسافر هذا التحضير عبر أرقام منافذ محددة: UDP 500، أو UDP 4500 على الشبكات التي تستخدم NAT.
تلك أرقام المنافذ هي تسميات. كل قطعة من البيانات التي تعبر الشبكة تحمل واحدة، تشير إلى نوع حركة المرور، والمعدات على طول الطريق تقرأها لتقرر ماذا تفعل بالبيانات. حركة مرور الويب تحمل تسمية واحدة، وحركة مرور البريد الإلكتروني تحمل أخرى، وIPsec يحمل خاصته.
تم تثبيت تسميات IPsec عندما كُتبت المعايير. كل اتصال IPsec يستخدم نفس التسميات، ويمكن لأي شخص البحث عنها. هذا يجعل اتصال IPsec سهل التعرف عليه. لا يتعين على معدات الشبكة كسر التشفير أو قراءة أي شيء داخل الحزمة، حيث إن قراءة التسمية تكفي لتحديد حركة مرور IPsec. وهذا يعني أيضًا أن IPsec سهل الحظر.
الآن يمكنك على الأرجح أن ترى لماذا يفشل VPN الذي يعمل على IPsec غالبًا في الاتصال في المطار أو الفندق. عادةً ما تسمح شبكة Wi-Fi الخاصة بهم بتصفح الويب والبريد الإلكتروني وتقطع كل شيء آخر، لذا عندما يتصل VPN الخاص بك عبر IPsec، تقرأ الشبكة التسمية، وتجد أنها ليست في القائمة المسموح بها، ولا يتم إنشاء الاتصال أبدًا. تعمل أجهزة التوجيه المنزلية مع أدوات التحكم الأبوية أو تصفية المحتوى بنفس الطريقة على نطاق أصغر، وغالبًا ما تكون الشبكات المحمولة أكثر صرامة من الاتصالات المنزلية.
إذا كنت تريد أن يعمل VPN في أماكن مثل هذه، يمكنك تغييره إلى بروتوكول مختلف. OpenVPN هو الخيار المناسب، لأنه يمكنه السفر بالطريقة التي تسير بها حركة مرور الويب العادية ويتم السماح له بناءً على ذلك. WireGuard من غير المحتمل أن يساعد هنا. إنه يستخدم فقط UDP ولا يتضمن تشويشًا مدمجًا، لذا قد لا تزال الشبكات التقييدية قادرة على التعرف عليه وحظره، حتى لو لم يعتمد على منفذ ثابت واحد.
الخياران الآخران اللذان تقول الأدلة أنك يجب أن تتخذها: AH مقابل ESP ووضع النفق مقابل وضع النقل
في مقالات أخرى حول IPsec، ستواجه جزئين آخرين موصوفين كخيارات تحتاج إلى اتخاذها. لا يعد أي منهما حقًا قرارًا تحتاج إلى اتخاذه بعد الآن.
AH و ESP
تتم معالجة وظائف التشفير والتحقق المذكورة سابقًا بواسطة مكونات مختلفة من IPsec، وتلك المكونات لها أسماء:
AH يتعامل مع التحقق فقط.
ESP يتعامل مع التحقق والتشفير معًا.
مفصولًا بهذه الطريقة، يبدو وكأنه شيء يمكنك الاختيار بينه، وهكذا تقدم معظم المقالات حول IPsec. في الممارسة العملية، لا يبقى شيء للاختيار. عندما تغادر البيانات شبكتك، يقوم جهاز التوجيه المنزلي بإعادة كتابة معلومات العنوان فيها، وتغطي تحقق AH تلك المعلومات. ليس لدى AH وسيلة لتمييز جهاز التوجيه الذي يقوم بعمله الطبيعي عن شخص يتلاعب بالبيانات على طول الطريق، لذا بمجرد تغيير العنوان، يفشل التحقق وتنقطع الاتصال.
هذا يعني أن AH لا يعمل على شبكة منزلية عادية، مما يستبعده في nearly كل حالة. تستخدم اتصالات IPsec ESP بدلاً من ذلك. وإذا كانت التحقق بدون تشفير هو كل ما تحتاجه، يمكن لـ ESP القيام بذلك بمفرده، مما يترك AH مع سبب أقل للوجود.
وضع النفق ووضع النقل
ثم الزوج الثاني. تنتقل البيانات في أحد وضعين:
وضع النفق: يتم لف الحزمة الأصلية بالكامل داخل حزمة جديدة تحمل عنوانًا جديدًا.
وضع النقل: المحتويات محمية، لكن معلومات العنوان الأصلية تبقى كما هي.
إذا كنت تستخدم VPN، فأنت في وضع النفق. يتم استخدام وضع النقل بشكل أساسي للإعدادات المحددة داخل الشبكات الخاصة، وعادةً ما لا يكون من بين الخيارات التي يقدمها لك تطبيق VPN.
باختصار، لا يستحق أي من الزوجين الالتزام بهما في الذاكرة. معرفة الأسماء تكفي. ثم عندما تصادف جدول مقارنة مبني حولهما، ستعرف أنه لا يوجد خيار تحتاج إلى اتخاذه، لأن كل شيء قد تم تحديده لك بالفعل.
هل لا يزال استخدام VPN IPsec يستحق ذلك في عام 2026؟
على الهواتف والأجهزة الشخصية، لم يعد IPsec الخيار السائد. WireGuard أسرع، وقد أصبح بالفعل البروتوكول الافتراضي في معظم تطبيقات VPN للمستهلكين. الحجة الوحيدة المتبقية لـ IPsec هي البقاء متصلاً عند تغيير الشبكة، وكونه مدمجًا في نظام التشغيل، وهذه ليست كافية لجعله الخيار الأول بعد الآن.
في الشركات، الوضع هو العكس. لسنوات، كانت SSL VPN هي الخيار الافتراضي للعمل عن بُعد، لكن العقد الماضي لم يكن لطيفًا معها. ظهرت نفس المكونات مع ثغرات حرجة مرة بعد مرة، واستُغلت العديد من تلك الثغرات قبل وجود تصحيح لها. توصي وكالة الأمن القومي وCISA في الولايات المتحدة المنظمات بتفضيل IPsec المعتمد على المعايير مع IKEv2 على SSL/TLS VPNs المبنية على كود مخصص، وذهبت مركز الأمن السيبراني الوطني في النرويج إلى أبعد من ذلك، حيث أخبرت المنظمات بـ إلغاء SSL VPN تمامًا. قامت Fortinet بـ إزالة وضع نفق SSL VPN من FortiOS 7.6.3 وما بعده، مما ترك IPsec كمسار الانتقال لعملائها.
مجتمعة، تعتبر IPsec تقنية عمرها ثلاثون عامًا في وضع غريب: في طريقها للخروج من الأجهزة المحمولة، وتوصى بها بشدة الحكومات لشبكات الشركات.
هل يجب عليك اختيار IKEv2/IPsec؟
السؤال الذي يطرحه الناس أولاً هو عادةً أي بروتوكول هو الأكثر أمانًا، والإجابة الصادقة هي أن الأمان ليس العامل الحاسم هنا. يُعتبر IKEv2/IPsec وWireGuard وOpenVPN جميعها آمنة عندما يتم إعدادها بشكل صحيح، وأي منها سيحافظ على خصوصية حركة المرور الخاصة بك على شبكة لا تثق بها. ما يميزها هو كيفية تصرفها، وليس مدى قوتها.
هذا هو السبب أيضًا في أن معظم التطبيقات تحتوي على إعداد تلقائي، ولماذا تركه بمفرده هو خيار معقول بدلاً من كونه خيارًا كسولًا. التطبيق يختار بناءً على أشياء لا يمكنك رؤيتها بسهولة، ويتبدل عندما لا تعمل الاتصال.
إذا كنت تفضل الاختيار لنفسك:
IKEv2/IPsec إذا كنت تستخدم الهاتف بشكل أساسي وتتنقل بين الواي فاي وبيانات الهاتف المحمول طوال اليوم. إنه يعيد الاتصال بشكل أقل، وكونه مدمجًا في نظام التشغيل يميل إلى الحفاظ على خفته.
WireGuard إذا كنت تريد الخيار الأسرع وأنت على شبكة لا تتداخل معه.
OpenVPN إذا كنت في مكان يمنع الآخرين، مثل فندق أو مطار.
وإذا كنت تقوم بإعداد هذا للوصول إلى شبكة الشركة، فإن القرار ليس لك. تختار تكنولوجيا المعلومات البروتوكول، وللأسباب المذكورة في القسم الأخير، فإن IPsec هو ما يختارونه بشكل متزايد.
الأسئلة الشائعة
هل IPsec آمن؟
نعم، عندما يكون IKEv2. لقد نصحت وكالات الأمن السيبراني في الولايات المتحدة والنرويج كلاهما المنظمات باستخدام IPsec مع IKEv2 بدلاً من VPNs المعتمدة على SSL/TLS، جزئيًا لأن IPsec هو معيار مفتوح مع سطح هجوم أصغر. IKEv1 هو الاستثناء. تم تقاعده رسميًا في 2023 ولا ينبغي استخدامه.
هل IKEv2 هو نفس IPsec؟
ليس تمامًا. IKEv2 هو جزء من IPsec، الجزء الذي يتعامل مع كل شيء قبل أن تبدأ بياناتك في التحرك. عندما يسرد تطبيق IKEv2/IPsec، فهذا يعني أن IKEv2 يتفاوض على الاتصال وIPsec يحمي البيانات. يتم استخدام الاسمين بالتبادل في الممارسة العملية، حيث أن IKEv2 هو النسخة الوحيدة التي لا تزال قيد الاستخدام العام. وهذا هو السبب أيضًا في أن البحث عن تطبيق IPsec، أو إعداد IPsec، عادةً ما لا يؤدي إلى أي شيء. IPsec ليس شيئًا تقوم بتثبيته.
ما الفرق بين VPN IPsec و VPN SSL؟
يعملون على مستويات مختلفة. يحمي IPsec حركة المرور حزمة بحزمة، على مستوى الشبكة. تقع VPNs SSL أعلى: بعضها يوفر الوصول المستند إلى المتصفح إلى تطبيقات محددة، بينما تحمل الإصدارات الكاملة من النفق حركة المرور العادية تمامًا كما يفعل VPN IPsec. IPsec هو معيار مفتوح ومنتجات VPN SSL عادة ما تكون ملكية، وهو جزء من سبب توصية العديد من وكالات الأمن السيبراني الوطنية الآن باستخدام IPsec للوصول عن بُعد.
IPsec مقابل OpenVPN مقابل WireGuard: أيهما يجب أن أستخدم؟
جميعها آمنة. WireGuard هو الأسرع والأبسط، وهو الافتراضي في معظم تطبيقات المستهلك الآن. IKEv2/IPsec يحافظ على الاتصال عندما يغير هاتفك الشبكات ويستخدم طاقة أقل. OpenVPN هو الأبطأ من الثلاثة ولكنه الأكثر احتمالاً للعمل على شبكة مقيدة.
هل يبطئ IPsec اتصالي؟
بشكل طفيف. يضيف IPsec حوالي 50 إلى 80 بايت إلى كل حزمة، لذا فإن كمية أقل من بياناتك الخاصة تناسب كل واحدة. في اتصال عادي، لن تلاحظ ذلك. يتولى عميل VPN المصمم بشكل جيد التعديل نيابةً عنك، وليس شيئًا تحتاج إلى تكوينه.
هل أحتاج إلى فتح المنافذ لـ IPsec؟
ليس إذا كنت تستخدم تطبيق VPN. لا تحتاج إلى إعداد إعادة توجيه المنفذ الوارد على جهاز التوجيه الخاص بك، لأن مزودك يتولى الجانب الخادم. تظهر هذه الحاجة فقط إذا كنت تقوم بتشغيل خادم IPsec الخاص بك، ومن السهل أن تخطئ في ذلك، حيث أن الجزء من IPsec الذي يحمل بياناتك في شكله الأصلي ليس خدمة قائمة على المنفذ على الإطلاق.
لماذا يستخدم IPsec رقمين للمنفذ؟
يحدث التفاوض على الإعداد في UDP 500. يوجد UDP 4500 بسبب أجهزة التوجيه المنزلية. تستخدم أجهزة التوجيه أرقام المنافذ لتتبع الجهاز الذي تنتمي إليه قطعة من البيانات، والجزء من IPsec الذي يحمل بياناتك ليس له رقم منفذ خاص به، لذا لا يمكنه العودة إليك بمفرده. يقوم المنفذ 4500 بتغليفه في شيء يمكن لجهاز التوجيه اتباعه، وهذا هو كيف تعمل تقريبًا كل اتصال منزلي.
هل يستخدم IKEv2 طاقة بطارية أقل؟
أحيانًا. تم تضمين IKEv2 في iOS وAndroid وWindows وmacOS، لذا فإن تشغيله يستخدم تنفيذ النظام الخاص بدلاً من الكود المدمج داخل التطبيق، وعادة ما يكون ذلك أخف على المعالج. ومع ذلك، لا يوجد ضمان. تم تصميم WireGuard ليكون فعالًا أيضًا، ويعتمد الاستخدام الفعلي للبطارية على جهازك وتطبيقك ومدى جودة الإشارة لديك.
ما هي عيوب IPsec؟
اثنان، بشكل رئيسي. من السهل على الشبكة التعرف عليها، ولهذا السبب غالبًا ما تفشل في واي فاي الفنادق والمطارات، وتضيف قليلاً من الحمل الزائد على كل حزمة. لا يتعلق أي منهما بالتشفير نفسه. البروتوكولات الأحدث مثل WireGuard أسرع وأبسط، ولهذا السبب تعتمد معظم تطبيقات المستهلكين عليها الآن.
ما هو الفرق بين VPN و IPsec VPN؟
VPN هو الفكرة العامة، اتصال مشفر بين جهازك وخادم في مكان آخر. IPsec هو واحد من عدة مجموعات من القواعد لبناء هذا الاتصال، إلى جانب WireGuard و OpenVPN. لذا فإن VPN IPsec هو VPN، ولكنه مبني بطريقة معينة.
