تثبيت وتكوين خادم SoftEther على نظام Ubuntu 22.04/20.04

كيف أقوم بإعداد خادم SoftEther آمن وسريع على نظام Ubuntu؟

في هذا الدليل العملي والخطوة بخطوة، ستتعلم كيفية سوفت إيثر قم بتثبيت وتكوين وتأمين هذا البرنامج على نظامي التشغيل أوبونتو 22.04 أو 20.04. هذه المقالة موجهة لمسؤولي الشبكات، ومهندسي DevOps، ومسؤولي المواقع، والمستخدمين التقنيين الذين يحتاجون إلى شبكة VPN مستقرة تدعم بروتوكولات OpenVPN وL2TP/IPsec وSSTP وتقنية الأنفاق من الطبقة الثانية/الثالثة.

المتطلبات الأساسية

قبل البدء، تأكد من استيفاء الشروط التالية:

• خادم أوبونتو 22.04 أو 20.04 مع صلاحيات الجذر أو مستخدم لديه صلاحيات sudo
• ذاكرة وصول عشوائي (RAM) بسعة 1 جيجابايت على الأقل (لبيئات الإنتاج) يوصى بذاكرة 2 جيجابايت أو أكثر.)
• الوصول إلى المنافذ المطلوبة أو القدرة على تكوين جدار الحماية
• أدوات البناء في حالة البناء من المصدر أو تنزيل الملف الثنائي الرسمي

الجزء الأول - تثبيت برنامج SoftEther VPN (التجميع من المصدر)

1. قم بتحديث النظام وتثبيت المتطلبات الأساسية

sudo apt update && sudo apt upgrade -y
sudo apt install -y build-essential gcc make git libreadline-dev libssl-dev libncurses-dev zlib1g-dev liblzma-dev

2. استنسخ المستودع الرسمي وقم بالبناء

قم باستنساخ وتجميع مستودع SoftEther الرسمي؛ سيُطلب منك قبول الشروط عند تشغيل make.

git clone https://github.com/SoftEtherVPN/SoftEtherVPN_Stable.git
cd SoftEtherVPN_Stable
make

أثناء عملية التصنيع، الخيار 1 اضغط على زر الإدخال لمتابعة عملية البناء. بعد اكتمالها، ستجد الملفات التنفيذية في المجلد /etc/bin/bin. خادم VPN لقد تم صنعها.

3. قم بالتثبيت في المسار الافتراضي واضبط الأذونات

sudo mv vpnserver /usr/local/
cd /usr/local/vpnserver
sudo chmod 600 *
sudo chmod 700 vpnserver vpncmd

4. إنشاء خدمة systemd

أنشئ ملف الخدمة وقم بتمكين الخدمة:

sudo tee /etc/systemd/system/vpnserver.service > /dev/null <<'SERVICE'
[Unit]
Description=SoftEther VPN Server
After=network.target

[Service]
Type=forking
ExecStart=/usr/local/vpnserver/vpnserver start
ExecStop=/usr/local/vpnserver/vpnserver stop
Restart=on-abort

[Install]
WantedBy=multi-user.target
SERVICE

sudo systemctl daemon-reload
sudo systemctl enable --now vpnserver
sudo systemctl status vpnserver

الجزء الثاني - الإعداد الأولي باستخدام vpncmd

1. قم بتعيين كلمة مرور المسؤول للخادم

للدخول إلى أداة الإدارة:

sudo /usr/local/vpnserver/vpncmd

في القائمة الأولى، حدد الخيار 1 (إدارة خادم VPN أو جسر VPN) حدد ثم قم بتشغيل الأمر التالي لتعيين كلمة مرور الخادم:

ServerPasswordSet

2. إنشاء مركز افتراضي ومستخدم

HubCreate MyHub
Hub MyHub
UserCreate user1 /GROUP:none /REALNAME:"Trader" /NOTE:"VPS for trading"
UserPasswordSet user1

بناءً على طلب مجموعة كلمات مرور المستخدمقم بتعيين كلمة مرور المستخدم.

3. تفعيل SecureNAT

Hub MyHub
SecureNatEnable

SecureNAT هي أسرع طريقة لإنشاء شبكة داخلية باستخدام DHCP و NAT ولا تتطلب جسرًا محليًا؛ وهي مناسبة للخوادم الافتراضية الخاصة العامة والاستخدامات البسيطة.

4. إنشاء جسر محلي

لتوصيل الموزع بواجهة مادية (مثل eth0):

BridgeCreate MyHub /DEVICE:eth0

ملاحظة: يتطلب تطبيق Local Bridge صلاحيات الجذر وقد لا يعمل على بعض الأجهزة الافتراضية ذات إعدادات الشبكة الخاصة بالمشرف.

الجزء 3 - تفعيل البروتوكولات: OpenVPN، L2TP/IPsec، SSTP

1. OpenVPN (تصدير ملف .ovpn)

OpenVpnEnable yes /PORTS:1194 /HUB:MyHub

بعد التفعيل، يمكنك تصدير ملف .ovpn وإعطائه لعميل OpenVPN.

2. L2TP/IPsec

IPsecEnable /L2TP:yes /L2TPRAW:yes /ETHERIP:yes /PSK:YourSharedSecret /DEFAULTHUB:MyHub

اختر مفتاحًا مشتركًا مسبقًا (PSK) قويًا. بروتوكول L2TP مناسب للهواتف المحمولة وأنظمة التشغيل الافتراضية.

3. SSTP

SstpEnable yes /PORTS:443

يستخدم بروتوكول SSTP منفذ TCP/443 وهو مفيد لتجاوز جدران الحماية الصارمة.

القسم 4 - جدار الحماية و NAT (iptables/ufw)

تفعيل إعادة توجيه IP

sudo sysctl -w net.ipv4.ip_forward=1
sudo sed -i 's/#net.ipv4.ip_forward=1/net.ipv4.ip_forward=1/' /etc/sysctl.conf

قواعد iptables النموذجية لـ SecureNAT (الشبكة الداخلية 10.10.10.0/24)

sudo iptables -t nat -A POSTROUTING -s 10.10.10.0/24 -o eth0 -j MASQUERADE
sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
sudo iptables -A FORWARD -s 10.10.10.0/24 -j ACCEPT

sudo iptables -t mangle -A POSTROUTING -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

قواعد نموذجية مع ufw

sudo ufw allow 443/tcp
sudo ufw allow 992/tcp
sudo ufw allow 1194/tcp
sudo ufw allow 1701/udp
sudo ufw allow 500/udp
sudo ufw allow 4500/udp

قم بالمنافذ إذا لزم الأمر 5555 متاح للإدارة الداخلية فقط — يُنصح بعدم فتحه من الإنترنت..

حفظ قواعد iptables

sudo apt install -y iptables-persistent
sudo netfilter-persistent save

القسم 5 - الأمن وأفضل الممارسات

• كلمات مرور قوية بالنسبة للخادم والمركز والمستخدمين، اختر؛ استخدم عبارات مرور طويلة ومعقدة.
• لا تفتح منفذ الإدارة (5555) للإنترنت. استخدم شبكة VPN داخلية أو نفق SSH للإدارة.
• من Fail2ban يُستخدم للحماية من هجمات القوة الغاشمة.
• استخدم شهادة صالحة (Let's Encrypt) لبروتوكول TLS؛ الملفات fullchain.pem و privatekey.pem أدخل أو استخدم stunnel/HAProxy لإنهاء TLS.
• استخدم مصادقة المفتاح/الشهادة للمستخدمين ذوي الحساسية وقم بالاتصال بـ RADIUS/LDAP إذا لزم الأمر.
• قم بعمل نسخ احتياطية منتظمة لملف التكوين وقم بتخزينه في موقع آمن (S3/السحابة).
• إرسال ومراجعة السجلات إلى نظام مركزي (ELK/Graylog) لتحديد السلوك غير الطبيعي بشكل أسرع.

القسم 6 - تحسين الأداء (للتداول/الألعاب/الذكاء الاصطناعي)

نصائح أساسية لتقليل زمن الاستجابة (ping) وزيادة الاستقرار:

• اختر موقعًا: ضع خادم VPN في أقرب موقع ممكن من الخدمة المستهدفة. بالنسبة للتداول، يُفضل وضع خادم قريب من منصات التداول؛ أما بالنسبة للألعاب، فيُفضل وضع خادم قريب من مركز بيانات اللعبة.
• الأجهزة: بالنسبة للأحمال التشفيرية الثقيلة، استخدم خوادم تدعم AES-NI يستخدم.
• شبكة: يمكن لخطط النطاق الترددي العالي، وبروتوكول BGP، واستخدام شبكة توصيل المحتوى (CDN) أن تقلل من زمن الاستجابة. استخدم خوادم الحماية من هجمات DDoS عند الحاجة.
• ضبط MTU و MSS من الضروري القيام بذلك على الطرق التي تحتوي على أنفاق طويلة أو جسور متعددة لمنع التجزئة.
• اختيار البروتوكول: للحصول على أسرع السرعات، استخدم OpenVPN UDP أو SoftEther الأصلي على منفذ UDP/SSL؛ إذا كان جدار الحماية الخاص بك مقيدًا، فإن SSTP (TCP/443) هو الأنسب.

القسم 7 - سيناريوهات التطبيق والأمثلة

مثال 1 - خادم افتراضي خاص للتداول

• الموقع: بالقرب من الوسيط أو خادم البورصة (على سبيل المثال نيويورك، لندن، طوكيو).
• التكوين: SecureNAT البسيط أو الجسر المحلي، جودة الخدمة والحماية من هجمات DDoS.
• التوصية: استخدام رسائل قصيرة للحفاظ على الاتصال، ومراقبة زمن الاستجابة (ping)، واختيار وحدة معالجة مركزية ذات زمن استجابة منخفض.

مثال 2 - خادم افتراضي خاص للألعاب

• الموقع: بالقرب من خادم اللعبة أو باستخدام منطقة متعددة.
• التكوين: جسر محلي لدعم الشبكة المحلية، مما يقلل من الحمل الزائد للتشفير إذا لزم الأمر.
• التوصية: شبكة بسرعة 10 جيجابت في الثانية ومنفذ مباشر لتقليل زمن الاستجابة (ping) والارتعاش.

المثال 3 - الوصول عن بُعد وعمليات التطوير والتشغيل

• قم بتمكين OpenVPN و L2TP للأجهزة المحمولة، وإدارة المفاتيح للمطورين، واتصال RADIUS للمصادقة الموحدة.

القسم 8 - المراقبة والنسخ الاحتياطي والصيانة

تعليمات بسيطة للصيانة اليومية:

sudo cp -r /usr/local/vpnserver/ /root/backup/vpnserver-$(date +%F).tar.gz

sudo systemctl status vpnserver
sudo journalctl -u vpnserver -f

سجلات SoftEther في الطريق /usr/local/vpnserver/ يتم تحديد مواقعها؛ استخدم rsyslog أو Filebeat لإرسالها إلى خادم سجلات مركزي.

خاتمة

إعداد SoftEther على Ubuntu 22.04/20.04 بسيط، ولكنه يتطلب بعض الاعتبارات المتعلقة بالشبكة والأمان. باستخدام SecureNAT أو Local Bridge، وتفعيل OpenVPN/L2TP/SSTP، وتطبيق قواعد جدار الحماية وNAT، يمكنك إنشاء شبكة VPN آمنة وسريعة للتداول والألعاب وتطبيقات الوصول عن بُعد. بالنسبة لأحمال العملات المشفرة الثقيلة، اختر خادمًا يدعم... AES-NI والموقع المناسب مهم للغاية.

الخدمات والخيارات ذات الصلة

إذا كنت بحاجة إلى خادم افتراضي خاص (VPS) أو خادم سحابي متعدد المواقع، أو خادم رسومات (GPU)، أو خادم مضاد لهجمات DDoS، أو خطط تداول وألعاب خاصة، يمكنك استخدام الخيارات الافتراضية للشركة لاختيار الموقع وتكوينه. يوفر الفريق التقني إمكانية إعداد SoftEther وLocal Bridge، وتكوين جدار الحماية، وتحسين زمن الاستجابة (ping).

الأسئلة الشائعة