شبكة خاصة افتراضية

بروتوكول الاتصال هو مجموعة من القواعد لتبادل المعلومات عبر الشبكة. وتتمتع بروتوكولات الاتصال بخصائص متنوعة، مثل كونها موجهة الاتصال أو غير موجهة الاتصال ، أو استخدامها لتبديل الدوائر أو تبديل الحزم .

في بنية بروتوكولات الشبكة ، التي تُبنى غالبًا وفقًا لنموذج OSI ، تُقسّم وظائف الاتصال إلى طبقات بروتوكولية، حيث تستفيد كل طبقة من خدمات الطبقة التي تليها حتى تتحكم الطبقة الأدنى في الأجهزة التي تُرسل المعلومات عبر الوسائط. يُعدّ استخدام طبقات البروتوكولات شائعًا في مجال شبكات الحاسوب. ومن الأمثلة المهمة على بنية البروتوكولات بروتوكول HTTP ، وهو بروتوكول شبكة الويب العالمية . يعمل HTTP عبر بروتوكول TCP/ IP، وهما بروتوكولا الإنترنت، واللذان بدورهما يعملان عبر بروتوكول IEEE 802.11 ، وهو بروتوكول Wi-Fi. تُستخدم هذه البنية بين جهاز التوجيه اللاسلكي والحاسوب الشخصي عند الوصول إلى الإنترنت.

تستخدم معظم شبكات الحاسوب الحديثة بروتوكولات تعتمد على نقل البيانات عبر حزم البيانات . حزمة البيانات هي وحدة بيانات مُنسقة تُنقل عبر شبكة تبديل الحزم . تتكون الحزم من نوعين من البيانات: معلومات التحكم وبيانات المستخدم (الحمولة). توفر معلومات التحكم البيانات اللازمة للشبكة لتوصيل بيانات المستخدم، مثل عناوين الشبكة المصدر والوجهة ، ورموز اكتشاف الأخطاء ، ومعلومات التسلسل. عادةً ما توجد معلومات التحكم في رؤوس الحزم وتذييلاتها ، بينما توجد بيانات الحمولة بينهما.

تُعدّ مجموعة بروتوكولات الإنترنت ، والمعروفة أيضًا باسم TCP/IP، أساس جميع الشبكات الحديثة ومجموعة البروتوكولات الأساسية للإنترنت. وهي توفر خدمات الاتصال المباشر وغير المباشر عبر شبكة غير موثوقة بطبيعتها، يتم نقل البيانات فيها عبر بروتوكول الإنترنت (IP). في جوهرها، تُحدد مجموعة البروتوكولات مواصفات العنونة والتعريف والتوجيه لبروتوكول الإنترنت الإصدار الرابع (IPv4) ولبروتوكول الإنترنت الإصدار السادس ( IPv6 )، وهو الجيل التالي من البروتوكول الذي يتميز بقدرة عنونة مُحسّنة بشكل كبير. ^{[ 6 ]}

تتيح تقنية النفق المنقسم للمستخدم الوصول إلى نطاقات أمان مختلفة في الوقت نفسه، باستخدام نفس اتصال الشبكة أو اتصالات مختلفة. ^{[ 7 ]} عادةً ما يتم تسهيل حالة الاتصال هذه من خلال الاستخدام المتزامن لوحدة تحكم واجهة شبكة محلية (LAN)، ووحدة تحكم شبكة لاسلكية (RAD)، ووحدة تحكم شبكة لاسلكية (WLAN )، وتطبيق برنامج عميل الشبكة الخاصة الافتراضية (VPN). يتم تكوين النفق المنقسم في أغلب الأحيان باستخدام عميل VPN للوصول عن بُعد، مما يسمح للمستخدم بالاتصال في الوقت نفسه بشبكة لاسلكية قريبة ، وموارد على شبكة شركة خارجية ، بالإضافة إلى مواقع الويب عبر الإنترنت.

لا تسمح جميع شبكات VPN بتقسيم النفق. ^{[ 8 ] [ 9 ] [ 10 ]} تشمل مزايا تقسيم النفق تخفيف الاختناقات ، وتوفير عرض النطاق الترددي (حيث لا يمرّ مرور الإنترنت عبر خادم VPN)، وتمكين المستخدم من عدم الحاجة إلى الاتصال والانقطاع باستمرار عند الوصول عن بُعد إلى الموارد. أما عيوبه فتشمل تسريبات نظام أسماء النطاقات (DNS) وإمكانية تجاوز إجراءات الأمان على مستوى البوابة التي قد تكون موجودة ضمن بنية الشركة التحتية. ^{[ 11 ]} غالبًا ما يستخدم مزودو خدمة الإنترنت تقسيم النفق لأغراض اختراق نظام أسماء النطاقات (DNS) . 

يُشبه تكوين الاتصال بين المضيف والشبكة ربط جهاز كمبيوتر واحد أو أكثر بشبكة لا يمكن الاتصال بها مباشرةً. يوفر هذا النوع من التوسيع إمكانية وصول أجهزة الكمبيوتر إلى شبكة محلية لموقع بعيد، أو أي شبكات مؤسسية أوسع، مثل شبكة الإنترانت . يتولى كل جهاز كمبيوتر مسؤولية تفعيل نفق خاص به نحو الشبكة التي يرغب في الانضمام إليها. لا تعرف الشبكة المنضمة سوى مضيف بعيد واحد لكل نفق. يمكن استخدام هذا الأسلوب للعاملين عن بُعد ، أو لتمكين الأفراد من الوصول إلى موارد منازلهم أو شركاتهم الخاصة دون تعريضها للإنترنت العام.

يربط تكوين الموقع إلى الموقع شبكتين، مما يوسع نطاق الشبكة لتشمل مواقع جغرافية متباعدة. يتم إنشاء النفق فقط بين أجهزة البوابة الموجودة في كل موقع من مواقع الشبكة. تُتيح هذه الأجهزة النفق لأجهزة الشبكة المحلية الأخرى التي ترغب في الوصول إلى أي جهاز على الجانب الآخر. يُعد هذا مفيدًا للحفاظ على اتصال المواقع ببعضها البعض بشكل مستقر، مثل شبكات المكاتب مع مقرها الرئيسي أو مركز البيانات. في هذه الحالة، يمكن تهيئة أي طرف لبدء الاتصال طالما أنه يعرف كيفية الوصول إلى الطرف الآخر. في سياق تكوينات الموقع إلى الموقع، يُستخدم مصطلحا "الإنترانت" و "الإكسترانت" لوصف حالتي استخدام مختلفتين. ^{[ 12 ]} يصف VPN الموقع إلى الموقع على شبكة إنترانت تكوينًا تنتمي فيه المواقع المتصلة عبر VPN إلى نفس المؤسسة، بينما يربط VPN الموقع إلى الموقع على شبكة إكسترانت مواقع تابعة لمؤسسات متعددة.

من عيوب الشبكات الافتراضية الخاصة التقليدية أنها اتصالات من نقطة إلى نقطة ، ولا تدعم عادةً نطاقات البث . لذا، قد لا يكون الاتصال والبرمجيات والشبكات القائمة على الطبقة الثانية وحزم البث (مثل NetBIOS المستخدم في شبكات ويندوز ) مدعومة بشكل كامل كما هو الحال في الشبكة المحلية . وقد صُممت أنواع مختلفة من الشبكات الافتراضية الخاصة، مثل خدمة الشبكة المحلية الخاصة الافتراضية (VPLS) وبروتوكولات النفق من الطبقة الثانية، للتغلب على هذا القيد. ^{[ 13 ]}

لا تستخدم الشبكات الافتراضية الخاصة الموثوقة التشفير النفقي، بل تعتمد على أمان شبكة مزود واحد لحماية حركة البيانات. ^{[ 14 ]} غالبًا ما تُدمج تقنية تحويل الملصقات متعددة البروتوكولات (MPLS) مع الشبكات الافتراضية الخاصة الموثوقة، مع توفير تحكم في جودة الخدمة عبر شبكة توصيل موثوقة. أما الشبكة الافتراضية الخاصة الآمنة، فتعتمد إما على الثقة في شبكة التوصيل الأساسية أو على آلية داخلية لفرض الأمان. ما لم تكن شبكة التوصيل الموثوقة تعمل بين مواقع آمنة فعليًا فقط، فإن كلا النموذجين، الموثوق والآمن، يحتاجان إلى آلية مصادقة لتمكين المستخدمين من الوصول إلى الشبكة الافتراضية الخاصة.

تُستخدم الشبكات الافتراضية الخاصة المتنقلة في بيئات لا يكون فيها عنوان IP ثابتًا ، بل ينتقل المستخدم عبر شبكات متعددة، مثل شبكات بيانات شركات الاتصالات الخلوية أو بين نقاط وصول Wi-Fi متعددة ، دون انقطاع جلسة VPN الآمنة أو فقدان جلسات التطبيقات. ^{[ 15 ]} تُستخدم الشبكات الافتراضية الخاصة المتنقلة على نطاق واسع في مجال السلامة العامة ، حيث تُمكّن ضباط إنفاذ القانون من الوصول إلى تطبيقات مثل أنظمة الإرسال بمساعدة الحاسوب وقواعد البيانات الجنائية، ^{[ 16 ]} وفي مؤسسات أخرى ذات متطلبات مماثلة، مثل إدارة الخدمات الميدانية والرعاية الصحية. ^{[ 17 ]}

الشبكة الخاصة الافتراضية متعددة النقاط الديناميكية (DMVPN) ^{[ 18 ]} هي شكل نفق ديناميكي لشبكة خاصة افتراضية مدعومة على أجهزة التوجيه المستندة إلى Cisco IOS ، وأجهزة التوجيه Huawei AR G3، ^{[ 19 ]} وأنظمة التشغيل الشبيهة بنظام Unix .

توفر تقنية DMVPN إمكانية إنشاء شبكة VPN ديناميكية دون الحاجة إلى تهيئة مسبقة ثابتة لجميع نقاط نهاية النفق المحتملة، مثل نظراء IPsec و ISAKMP . ^{[ 20 ]} يتم تكوين DMVPN مبدئيًا لإنشاء شبكة مركزية (Hub-and-Spoke ) من خلال تهيئة مراكز الشبكة (محطات VPN الرئيسية) على الفروع بشكل ثابت؛ ولا يتطلب الأمر أي تغيير في إعدادات المركز لقبول فروع جديدة. باستخدام هذه الشبكة المركزية الأولية، يتم إنشاء الأنفاق بين الفروع ديناميكيًا عند الطلب دون الحاجة إلى أي تهيئة إضافية على المراكز أو الفروع. تُخفف هذه الإمكانية الديناميكية للشبكة من الحاجة إلى أي حمل على المركز لتوجيه البيانات بين الشبكات الفرعية.

تُعدّ شبكة VPN عبر الإيثرنت (EVPN) تقنيةً لنقل بيانات الإيثرنت من الطبقة الثانية في نموذج OSI كشبكة افتراضية خاصة باستخدام بروتوكولات الشبكات واسعة النطاق . تشمل تقنيات EVPN كلاً من الإيثرنت عبر تقنية تبديل الملصقات متعددة البروتوكولات (MPLS) والإيثرنت عبر شبكة محلية افتراضية قابلة للتوسيع . ^{[ 21 ] [ 22 ]}

تقنية تحويل الملصقات متعددة البروتوكولات (MPLS) هي تقنية توجيه في شبكات الاتصالات ، تُوجّه البيانات من عقدة إلى أخرى بناءً على الملصقات بدلاً من عناوين الشبكة. ^{[ 23 ]} فبينما تُحدّد عناوين الشبكة نقاط النهاية ، تُحدّد ملصقات MPLS المسارات المُنشأة بين نقاط النهاية. ويمكن لتقنية MPLS تغليف حزم بروتوكولات الشبكة المختلفة .

يُستخدم بروتوكول MPLS عمليًا بشكل أساسي لتوجيه وحدات بيانات بروتوكول الإنترنت (IP) وحركة مرور خدمة الشبكة المحلية الافتراضية الخاصة ( VPN ). من أبرز تطبيقات MPLS هندسة حركة مرور الاتصالات وشبكات VPN عبر MPLS . يعمل MPLS بالتزامن مع بروتوكول الإنترنت وبروتوكولات التوجيه الخاصة به، وخاصة بروتوكولات البوابة الداخلية (IGPs)، ويدعم إنشاء شبكات افتراضية ديناميكية وشفافة مع دعم هندسة حركة المرور، والقدرة على نقل بيانات VPN ذات نطاقات عناوين متداخلة، بالإضافة إلى أسلاك افتراضية من الطبقة الثانية قادرة على نقل مجموعة متنوعة من حمولات البيانات ( IPv4 ، IPv6 ، ATM، Frame Relay، إلخ). ^{[ 24 ] [ 25 ]}

خدمة الشبكة المحلية الافتراضية الخاصة (VPLS) هي تقنية شبكة افتراضية خاصة توفر اتصالاً متعدد النقاط عبر بروتوكول الإنترنت (IP) أو بروتوكول MPLS ، وذلك باستخدام تقنية إيثرنت . تتيح هذه التقنية للمواقع المتباعدة جغرافيًا مشاركة نطاق بث إيثرنت واحد من خلال ربط المواقع (بما في ذلك الخوادم والعملاء) عبر أسلاك افتراضية . ^{[ 26 ]} تشمل التقنيات التي يمكن استخدامها كأسلاك افتراضية: إيثرنت عبر MPLS ، و L2TPv3 ، وحتى GRE . يوجد معياران من معايير IETF (RFC 4761 وRFC 4762) يصفان إنشاء VPLS. على عكس L2TPv3، الذي يسمح فقط بأنفاق الطبقة الثانية من نموذج OSI من نقطة إلى نقطة ، تتيح VPLS اتصالاً متعدد النقاط (من أي نقطة إلى أي نقطة). ^{[ 27 ] [ 28 ]}

شبكة VPN التي يوفرها الموفر ( PPVPN) هي شبكة افتراضية خاصة (VPN) يتم تنفيذها بواسطة موفر خدمة الاتصال أو مؤسسة كبيرة على شبكة يقومون بتشغيلها بأنفسهم، على عكس "شبكة VPN التي يوفرها العميل" حيث يتم تنفيذ شبكة VPN بواسطة العميل الذي يحصل على خدمة الاتصال بالإضافة إلى الخصائص التقنية للموفر.

بروتوكول أمان الإنترنت (IPsec) هو بروتوكول أمان قائم على المعايير، طُوِّر في البداية من قِبَل فرقة عمل هندسة الإنترنت (IETF) لبروتوكول IPv6 ، وكان مطلوبًا في جميع تطبيقات IPv6 المتوافقة مع المعايير قبل أن تجعله RFC 6434 مجرد توصية. ^{[ 29 ]} كما أنه يُستخدم على نطاق واسع مع IPv4 .

يُلبي تصميم بروتوكول أمان الإنترنت (IPSec) معظم أهداف الأمان: التوافر، والنزاهة، والسرية . يستخدم IPsec التشفير، حيث يُغلّف حزمة IP داخل حزمة IPsec. تتم عملية فك التغليف في نهاية النفق، حيث تُفكّ شفرة حزمة IP الأصلية وتُعاد توجيهها إلى وجهتها المقصودة. كما يدعم مُسرّعات أجهزة الشبكة بروتوكول IPsec في كثير من الأحيان، ^{[ 30 ]} مما يجعل شبكات VPN التي تستخدم IPsec مرغوبة في سيناريوهات استهلاك الطاقة المنخفض، مثل تكوينات VPN للوصول عن بُعد الدائمة. ^{[ 31 ] [ 32 ]}

يتم إنشاء أنفاق IPsec بواسطة بروتوكول تبادل مفاتيح الإنترنت (IKE). يمكن استخدام أنفاق IPsec التي تم إنشاؤها باستخدام IKE الإصدار 1 (المعروفة أيضًا باسم أنفاق IKEv1، أو غالبًا ما تُسمى ببساطة "أنفاق IPsec") بشكل منفرد لتوفير VPN، ولكن غالبًا ما يتم دمجها مع بروتوكول نفق الطبقة الثانية (L2TP) لإعادة استخدام تطبيقات L2TP الحالية للحصول على ميزات مصادقة أكثر مرونة (مثل Xauth ).

يمكن استخدام بروتوكول IKE الإصدار الثاني، الذي طورته مايكروسوفت وسيسكو، بشكل مستقل لتوفير وظائف VPN عبر بروتوكول IPsec. وتتمثل مزاياه الرئيسية في الدعم الأصلي للمصادقة عبر بروتوكول المصادقة القابل للتوسيع (EAP)، وإمكانية استعادة النفق بسلاسة عند تغيير عنوان IP الخاص بالجهاز المضيف المرتبط، وهو أمر شائع في الأجهزة المحمولة المتنقلة، سواء على شبكات الجيل الثالث أو شبكات الجيل الرابع LTE .

يمكن لبروتوكول أمان طبقة النقل (SSL/TLS) حماية حركة مرور الشبكة بأكملها (كما هو الحال في مشروع OpenVPN ومشروع SoftEther VPN ^{[ 33 ]} ) أو تأمين اتصال فردي. يوفر عدد من الموردين إمكانيات الوصول عن بُعد إلى شبكات VPN عبر TLS. يمكن لشبكة VPN القائمة على TLS الاتصال من مواقع تدعم تصفح الويب عبر بروتوكول TLS ( HTTPS ) المعتاد دون الحاجة إلى أي إعدادات إضافية.

يُتيح OpenSSH إمكانية إنشاء أنفاق VPN (وهي تختلف عن إعادة توجيه المنافذ ) لتأمين الاتصالات عن بُعد بالشبكة، والروابط بين الشبكات، والأنظمة البعيدة. يوفر خادم OpenSSH عددًا محدودًا من الأنفاق المتزامنة. ولا تدعم ميزة VPN نفسها المصادقة الشخصية. ^{[ 34 ]} يُستخدم SSH غالبًا للاتصال عن بُعد بالأجهزة أو الشبكات بدلًا من اتصال VPN بين المواقع.

OpenVPN هو بروتوكول VPN مجاني ومفتوح المصدر يعتمد على بروتوكول TLS. يدعم OpenVPN سرية البيانات الأمامية الكاملة ، ومعظم مجموعات التشفير الآمنة الحديثة، مثل AES و Serpent و TwoFish وغيرها. يتم تطويره وتحديثه حاليًا بواسطة OpenVPN Inc.، وهي منظمة غير ربحية تُعنى بتوفير تقنيات VPN الآمنة.

بروتوكول النفق الآمن للمقابس (SSTP) هو شكل من أشكال نفق VPN الذي يوفر آلية لنقل حركة مرور بروتوكول نقطة إلى نقطة (PPP) من خلال قناة SSL/TLS .

WireGuard بروتوكول مصمم ليكون أخف وزنًا من OpenVPN. ^{[ 35 ]} في عام 2020، أُضيفت خاصية دعم WireGuard إلى نواة كلٍ من Linux ^{[ 36 ]} وAndroid ^{[ 37 ]} ، مما أتاح اعتماده من قِبل مزودي خدمات VPN. يستخدم WireGuard افتراضيًا بروتوكول Curve25519 لتبادل المفاتيح و ChaCha20-Poly1305 للتشفير ومصادقة الرسائل، ولكنه يتضمن أيضًا إمكانية مشاركة مفتاح متماثل مسبقًا بين العميل والخادم. ^{[ 38 ]}

• أمان طبقة نقل البيانات ( DTLS ) - يستخدم في Cisco AnyConnect VPN وفي OpenConnect VPN ^{[ 39 ]} لحل المشكلات التي تواجهها TLS مع النفق عبر TCP (SSL/TLS يعتمد على TCP، ويمكن أن يؤدي نفق TCP عبر TCP إلى تأخيرات كبيرة وإجهاض الاتصال ^{[ 40 ]} ).
• يعمل تشفير مايكروسوفت من نقطة إلى نقطة ( MPPE ) مع بروتوكول النفق من نقطة إلى نقطة وفي العديد من التطبيقات المتوافقة على منصات أخرى.
• يقوم بروتوكول Microsoft Secure Socket Tunneling Protocol ( SSTP ) بتمرير حركة مرور بروتوكول Point-to-Point Protocol (PPP) أو بروتوكول Layer 2 Tunneling Protocol من خلال قناة SSL/TLS (تم تقديم SSTP في Windows Server 2008 وفي Windows Vista Service Pack 1).
• شبكة افتراضية خاصة متعددة المسارات (MPVPN). تمتلك شركة Ragula Systems Development العلامة التجارية المسجلة "MPVPN". ^{[ 41 ]}
• تغليف بروتوكول الإنترنت المشفر (CIPE) هو تطبيق VPN مجاني ومفتوح المصدر لتمرير حزم IPv4 عبر بروتوكول UDP باستخدام التغليف . ^{[ 42 ]} طُوّر CIPE لأنظمة تشغيل لينكس بواسطة أولاف تيتز، ونُفّذت نسخة ويندوز منه بواسطة داميون ك. ويلسون. ^{[ 43 ]} توقف تطوير CIPE في عام 2002. ^{[ 44 ]}
• بروتوكول L2TP ^{[ 45 ]} هو بديل قائم على المعايير لبروتوكولين خاصين بشبكات VPN: بروتوكول Cisco's Layer 2 Forwarding (L2F) ^{[ 46 ]} (الذي أصبح قديمًا اعتبارًا من عام 2009) .) وبروتوكول النفق من نقطة إلى نقطة من مايكروسوفت (PPTP) . ^{[ 47 ]}

بحسب تقديرات عام 2022، يستخدم 3% من مستخدمي الإنترنت الصينيين شبكات VPN، مقارنةً بـ 8.5% من الأمريكيين. ^{[ 52 ] [ 53 ]} في الصين، تتزايد عمليات حظر شبكات VPN، وقد يُعرّض الاستخدام غير المصرح به المستخدمين لغرامات وملاحقات قانونية. ^{[ 52 ]} استنادًا إلى تقديراتها لوثائق حكومية مسربة، قدّرت ChinaFile في عام 2026 أن الطلب على شبكات VPN في الصين كان ضئيلاً للغاية. كما قدّرت أن التطبيقات الأجنبية المحظورة بواسطة جدار الحماية الصيني العظيم تشهد حركة مرور منخفضة للغاية، خاصةً بالمقارنة مع التطبيقات المحلية؛ إذ شهدت التطبيقات المحلية الخمسة الأولى حركة مرور تفوق حركة مرور التطبيقات الأجنبية الخمسة الأولى بألف ضعف. ^{[ 54 ]}

اعتبارًا من عام 2025استخدم ما يقرب من 1.75 مليار شخص شبكات VPN. ومن المتوقع أن ينمو هذا السوق إلى 76 مليار دولار بحلول عام 2027. ^{[ 55 ]}

في ظل القيود المفروضة على الإنترنت وحجبه في روسيا، أنشأ نشطاء الإنترنت مشروع Amnezia VPN في عام 2020 خلال هاكاثون للحقوق الرقمية نظمته منظمة Roskomsvoboda . اكتسبت الخدمة شعبية بين المستخدمين الروس من خلال توفير الوصول إلى الموارد المحجوبة، بالإضافة إلى ميزات تهدف إلى تعزيز إخفاء الهوية ومقاومة تحليل حركة البيانات. ^{[ 56 ] [ 57 ]}