ما هو تتبع مستخدمي VPN؟ وكيف تمنع تعقبك؟

مقدمة: لماذا لا يمنحك VPN «حصانة مطلقة»

الافتراض الشائع هو: ثبت NordVPN / Surfshark / أو WireGuard مستضافًا ذاتيًا، وغير IP الخروج، وعندها «لن يعرف أحد من أنت». هذا تفكير ينتمي إلى العقد الثاني من الألفية. فقد تجاوزت تقنيات التتبع «طبقة IP» منذ زمن بعيد:

• كشف أنك «تستخدم VPN» قدرة أساسية لدى أنظمة إدارة المخاطر (بالتحقق مما إذا كان IP ينتمي إلى رقم ASN لمزود VPN — وتكاد جميع نطاقات مراكز البيانات التي تستخدمها خدمات VPN التجارية تكون موسومة بالفعل)
• تحديد «IP الحقيقي الذي كنت تستخدمه سابقًا» لا يحتاج إلا إلى طبقة IP — تسريبات WebRTC / IPv6 / DNS / تجاوز CDN للوصول إلى الخادم الأصلي — وزلة واحدة تكفي لوسمك بملف cookie إلى الأبد
• تحديد «من أنت بالضبط» لا يعتمد على IP إطلاقًا — بل على بصمة المتصفح، وأنماط السلوك، والربط بين الحسابات
• وفي الحالات القصوى، يمكن للمساعدة القانونية (مذكرات الاستدعاء / التحقيقات العابرة للحدود) أن تجبر مزودي VPN على تسليم السجلات

بعبارة أخرى، ما يتتبعك ليس ثغرة واحدة — بل تقاطع N من الجوانب — عليك أن تحمي كل جانب منها، بينما يكفي المتتبع أن ينجح في أي جانب واحد. لهذا يكاد يكون «إخفاء الهوية التام» مستحيلًا من الناحية الهندسية، أما «تقليل الارتباط بدرجة كبيرة» فممكن — وهذا المقال يوضح لك كيف.

① تسريبات طبقة IP — انكشاف IP الحقيقي مباشرة

إنها الحالة الأشهر والأكثر شيوعًا. لا يتولى VPN إلا حركة HTTP / TCP في المتصفح، لكن القنوات التالية قد تتجاوز VPN تمامًا وتسلم IP العام لمنزلك مباشرة إلى الطرف الآخر:

1.1 تسريب WebRTC

يستخدم WebRTC المدمج في المتصفح (المخصص لمكالمات الفيديو) بروتوكول STUN بشكل نشط لاكتشاف IP العام الذي يراه، ويمكن لشيفرة JavaScript قراءة هذه القيمة مباشرة. خوادم بروكسي HTTP / SOCKS لا تعترض سوى TCP، بينما يعمل STUN عبر UDP، فيتجاوز البروكسي تمامًا ويخرج عبر محول الشبكة المنزلي، كاشفًا IP الحقيقي الخاص بك.

الحماية: استخدم VPN بوضع TUN (Mihomo / Clash Premium / WireGuard TUN / Tailscale)، إذ يتولى كل حركة TCP+UDP على محول الشبكة الافتراضي. وعند استخدام بروكسي للمتصفح فقط، قيد WebRTC عبر سياسة بدلًا من إزالته: سياسة الشركات (enterprise policy) في Chrome / Edge: WebRtcIPHandling = disable_non_proxied_udp؛ وفي Brave: فعّل «Disable Non-Proxied UDP»؛ وفي Firefox: about:config → media.peerconnection.ice.proxy_only_if_behind_proxy = true.

جربه بنفسك: استخدم أداة كشف التسريب /leak للتحقق مما إذا كان IP العام الذي يعيده WebRTC STUN يطابق نقطة خروج HTTP لديك.

1.2 تسريب IPv6 في المكدس المزدوج

VPN الخاص بك لا يمرر سوى IPv4، لكن اتصال النطاق العريض المنزلي لديك يدعم IPv6 أيضًا — فيفضل المتصفح الخروج عبر IPv6، متجاوزًا VPN بالكامل. وهذه ثغرة شائعة جدًا لدى مستخدمي النطاق العريض المنزلي من China Telecom.

الحماية: إما أن تستخدم VPN يمرر IPv4 وIPv6 معًا، أو أن تعطل IPv6 على مستوى النظام / المتصفح. على Windows عدّل سجل النظام (Registry)، وعلى macOS استخدم networksetup.

1.3 تسريب DNS (نتناوله بشكل منفصل، انظر ② طبقة DNS)

1.4 تجاوز CDN إلى الخادم الأصلي

إذا كان الموقع يستخدم CDN مثل Cloudflare، فأنت تصل فعليًا إلى IP عقدة طرفية في CDN — لكن إذا حصل مهاجم على IP الحقيقي للخادم الأصلي للموقع، فيمكنه تجاوز CDN والوصول إليه مباشرة. والعكس صحيح بالنسبة إلى المتتبعين: إذا كانت عقدة CDN التي تصل إليها في الصين، لكن موردًا ثابتًا ما في الجلسة نفسها يجلب مباشرة من الخادم الأصلي (لا يغطيه CDN)، فإن IP الحقيقي الخاص بك ينتهي في سجلات الوصول على الخادم الأصلي.

الحماية: تعتمد هذه الحالة الطرفية أساسًا على صرامة إعدادات الموقع المستهدف نفسه — وما يمكن للمستخدم فعله من جهته محدود.

② تسريبات طبقة DNS — النطاقات التي تستعلم عنها تكشف هويتك

تمر حركة IP عبر VPN، لكن استعلامات DNS قد تظل تمر عبر مزود خدمة الإنترنت المحلي. ويحدث التسريب بطريقتين:

2.1 عدم تطابق دولة محلل DNS

نقطة خروج VPN لديك في هولندا، لكن عندما يرسل نظامك استعلامات DNS، يستخدم محلل stub خادم DNS الذي ضبطه مزود النطاق العريض المنزلي (China Telecom). وعندما يتلقى خادم الأسماء الموثوق الاستعلام، يرى IP مصدر من China Telecom — فينكشف موقعك الحقيقي للجهات المشغلة لكل نطاق تزوره.

2.2 تسريب الشبكة الفرعية عبر ECS

تمرر المحللات العودية العامة (يفعل 8.8.8.8 من Google خاصية EDNS Client Subnet افتراضيًا) شبكتك الفرعية /24 الحقيقية إلى الخادم الموثوق المستهدف من أجل «توجيه CDN حسب الموقع». لكن في تلك اللحظة تكون شبكتك الفرعية قد كشفت للخادم الموثوق البعيد — وهي أدق من IP خروج المحلل، إذ تحدد الشبكة الفرعية للحي الذي تسكنه.

الحماية:

• اضبط عميل VPN على استخدام DNS مخصص إلزاميًا — استخدم DNS الخاص بمزود VPN (يوفره كل من NordVPN / Mullvad / ProtonVPN)
• لا تدع استعلامات DNS تتسرب خارج النفق — إذ سيرى المحلل حينها IP الحقيقي الخاص بك، الذي لن يتطابق مع حركة تصفحك، فينكشف أمرك فورًا. لاحظ أن 1.1.1.1 / 8.8.8.8 يعملان بتقنية Anycast: فما دام الاستعلام يمر عبر النفق، فإنه يصل إلى نقطة قريبة من خروج VPN ولا يكشف شيئًا. المشكلة الحقيقية هي أن يتجاوز النظام النفق ليتصل بهما مباشرة
• إذا اخترت محللًا عوديًا عامًا، فتأكد على الأقل من أنه في الدولة نفسها التي توجد فيها نقطة خروج VPN
• استخدم DoH (DNS-over-HTTPS) لفرض تشفير استعلامات DNS ومنع مزود خدمة الإنترنت من فحصها بأسلوب الوسيط (MITM)

جربه بنفسك: تشغل أداة كشف تسريب DNS /leak التابعة لنا خادم أسماء موثوقًا خاصًا بها، وتعيد توجيه استعلامات متصفحك فعليًا إلى خادمنا لترى IP المحلل + الشبكة الفرعية في ECS. وللاطلاع على الآلية كاملة، راجع الدليل الشامل لمحللات DNS العامة.

③ بصمة TLS (ja3 / ja4) — ما العميل الذي تستخدمه

أثناء مصافحة HTTPS، يرسل العميل حزمة ClientHello إلى الخادم، يسرد فيها ما يدعمه من إصدارات TLS ومجموعات التشفير والامتدادات والمنحنيات الإهليلجية وغيرها. والترتيب الدقيق لهذه الحقول ومحتواها يختلفان من عميل إلى آخر (Chrome 124 مقابل Firefox 123 مقابل curl مقابل Python requests)، والبصمة المركبة الناتجة هي ما يعرف في هذا المجال باسم ja3 / ja4.

يمكن للمواقع تسجيل بصمة ja3 / ja4 لكل زائر ومقارنتها بترويسة User-Agent — فإذا ادعى UA لديك أنه Chrome 124 بينما تطابق بصمة ja3 مكتبة Python requests، فهذه حركة روبوت أو سكربت. وهذه أيضًا إحدى الإشارات الأساسية التي تعتمد عليها خدمات مكافحة الروبوتات مثل Cloudflare وAkamai.

الحماية:

• استخدم متصفحًا رئيسيًا حقيقيًا (Chrome / Firefox / Edge) — ولا تشغل Selenium / Puppeteer دون تمويه، فبصمات ja3 الخاصة بهما مميزة للغاية
• عند الحاجة إلى الأتمتة، استخدم undetected-chromedriver / Playwright + curl-impersonate
• لا تثبت إضافات متصفح «مضادة للبصمة» — فهي تجعل بصمة ja3 لديك أكثر تميزًا من Chrome العادي، وكأنك تعلن بنفسك أنك تستخدم أدوات لمكافحة التتبع

④ بصمة HTTP / المتصفح — Canvas / WebGL / الخطوط / المنطقة الزمنية

البصمات المكشوفة في طبقة التطبيقات أغنى، والحماية منها أصعب:

فخ أساسي: يعد عدم تطابق المنطقة الزمنية / اللغة / الخطوط مع دولة نقطة خروج VPN إشارة قوية جدًا إلى «استخدام VPN». ينقلك VPN إلى الولايات المتحدة، لكن المنطقة الزمنية في المتصفح ما زالت Asia/Shanghai واللغة zh-CN — فينكشف الأمر فورًا.

الحماية:

• «الظهور بمظهر عادي» — لا تثبت إضافات مكافحة البصمة في متصفحك، فهذا بحد ذاته أمر غير طبيعي. فبصمة Chrome العادية لمستخدم عادي هي أفضل تمويه.
• افصل بين الاستخدامات: استخدم متصفحك الرئيسي لهويتك الحقيقية، وملف تعريف متصفح منفصلًا / آلة افتراضية (VM) / Tails / Whonix للأنشطة الحساسة من ناحية الخصوصية
• اجعل دولة نقطة خروج VPN والمنطقة الزمنية للنظام ولغة المتصفح متسقة جميعها — وعلى الأقل لا تسرب الإشارة الفاضحة «أنا مستخدم صيني أتصل عبر VPN أمريكي»
• صمم متصفح Tor خصيصًا لهذا الغرض — إذ يبدو جميع المستخدمين متطابقين، على حساب الأداء

جربه بنفسك: استخدم أداة فحص بصمة المتصفح /fingerprint لترى مدى تفرد بصمتك عبر 14 جانبًا.

⑤ بصمة طبقة TCP/IP — Initial Window / TTL / MTU

حتى قبل الوصول إلى طبقة التطبيقات، توجد بصمات في طبقة الشبكة. فتنفيذ مكدس TCP/IP يختلف اختلافًا طفيفًا من نظام تشغيل إلى آخر:

• TTL الأولي: القيمة الافتراضية في Windows هي 128، وفي Linux 64، وفي macOS 64، وفي iOS 64
• حجم نافذة TCP الأولية: Windows 64KB، وLinux 14600، وmacOS 65535
• ترتيب خيارات TCP: ترسل أنظمة التشغيل المختلفة خيارات MSS / SACK / Timestamp بترتيب مختلف
• MTU: 1500 للنطاق العريض المنزلي العادي، و1492 لاتصال PPPoE، و1380-1450 عادةً لأنفاق VPN

تستغل أداة p0f (الكشف السلبي عن بصمة نظام التشغيل) هذه الحقول تحديدًا، فتحدد نظام تشغيل الطرف النظير دون إرسال أي حزم استكشاف. ويمكن للمواقع جمع هذه المعلومات ومقارنتها بقيمة UA التي تعلنها — فإذا قال UA إنه Safari على Mac، بينما TTL هو 128 وقيمة Initial Window تطابق قيم Windows، فأنت في الواقع تستخدم Windows مع UA مزيف لجهاز Mac.

ويمكن أن تسرب قيمة MTU أيضًا أنك «تستخدم VPN» — فبما أن MTU في أنفاق VPN يكون عادةً أقل من 1500، تختلف حركة المرور بوضوح عن النطاق العريض الأصلي.

الحماية:

• استخدم VPN بوضع TUN: يتولى مكدس خادم VPN نفسه الاتصال، فتكون بصمة TCP/IP التي تراها المواقع تابعة لخادم VPN لا لجهازك العميل
• يعمل OpenVPN / WireGuard بوضع TUN افتراضيًا، أما خوادم بروكسي HTTP/SOCKS فلا — وهذا هو الفرق الجوهري
• لا ترفع MTU للنفق قسرًا إلى 1500 لمجرد أن «يبدو أقل شبهًا باتصال VPN» — فتغليف النفق نفسه يستهلك عشرات البايتات، وتجاوز الحد يسبب التجزئة أو ثقبًا أسود في PMTUD (تتعطل الحزم الكبيرة، وتتوقف الصفحات في منتصف التحميل). احتفظ بالقيمة الافتراضية للعميل (WireGuard 1420، وOpenVPN تلقائي)

⑥ تحليل السلوك — توقيت حركة المرور + عادات الإدخال

هذا هو الجانب الأصعب في الحماية، لأنه لا يعتمد على أي بصمة تقنية إطلاقًا، بل يعتمد كليًا على التعلم الآلي:

• توزيع أوقات الوصول: إذا كانت ساعات نشاطك اليومية متطابقة عبر عدة حسابات، فهذا يعني أنه الشخص نفسه
• مسار الفأرة / سرعة التمرير / إيقاع الضغط على المفاتيح: فريدة لكل شخص، وتجمعها البنوك / أنظمة مكافحة الاحتيال
• مدة الجلسة / أنماط التنقل: عادات التصفح لديك فريدة
• سمات إدخال النص: معدل أخطاء الكتابة لديك، وتفضيلاتك في اختيار الكلمات، وأسلوبك النحوي

الحماية:

• افصل بصرامة بين ساعات الاستخدام عبر الحسابات — لا تسجل الدخول إلى «الحساب A + الحساب B» في الوقت نفسه؛ بل باعد بينهما بعدة ساعات
• عندما تحتاج فعلًا إلى إخفاء الهوية، بدل الجهاز (من الحاسوب المحمول إلى الهاتف / الجهاز اللوحي)
• من المستحيل الحماية من هذا بالكامل، لكن يمكنك جعل الربط أصعب بكثير

⑦ سجلات مزود VPN + الولاية القضائية

هذه هي خطيئة VPN الأصلية. فأنت تثق بأن مزود VPN لا يحتفظ بالسجلات، لكن في الواقع:

• يمكن أن تستحوذ جهة أخرى على مزودي VPN التجاريين (استحوذت NortonLifeLock على Avast → فتغيرت سياسة الخصوصية)
• قد يجمع المزود السجلات سرًا (في عام 2017 سلمت PureVPN سجلات مستخدمين إلى FBI، رغم ادعائها سابقًا أنها «لا تحتفظ بالسجلات»)
• يمكن لمذكرات الاستدعاء القضائية فرض التعاون — فالولايات المتحدة / المملكة المتحدة / كندا / أستراليا / نيوزيلندا (تحالف العيون الخمس Five Eyes) كلها تقبل التحقيقات العابرة للحدود
• العيون التسع (Nine Eyes) = العيون الخمس + الدنمارك / فرنسا / هولندا / النرويج
• العيون الأربع عشرة (Fourteen Eyes) = العيون التسع + ألمانيا / بلجيكا / إيطاليا / إسبانيا / السويد

معايير الاختيار:

يمنحك VPN المستضاف ذاتيًا تحكمًا أكبر — لكن مزودي VPS (Vultr / Hetzner / DigitalOcean) يحتفظون بسجلاتهم الخاصة وقد يتعاونون أيضًا مع التحقيقات. أما إخفاء الهوية الحقيقي فيتطلب شراء VPS نقدًا / بالعملات المشفرة مع التسجيل بهوية مزيفة، وهذا يتطلب جهدًا هندسيًا كبيرًا.

⑧ الربط بين الحسابات — حسابات متعددة تتشارك ملفات cookie / البصمات

بعد تسجيل الدخول إلى الحساب A، يخزن المتصفح ملفات cookie / localStorage / الذاكرة المؤقتة. فإذا انتقلت إلى الحساب B في المتصفح نفسه، يستطيع الموقع أن يعرف فورًا أنك الشخص نفسه.

• البصمة نفسها + تسجيل الدخول إلى عدة حسابات خلال فترة زمنية قصيرة = ربط بين الحسابات
• التتبع عبر المواقع بملفات cookie (وإن كانت المتصفحات الحديثة بدأت تقييده)
• سكربتات التتبع من جهات خارجية (Google Analytics / Facebook Pixel) التي تربط النشاط عبر المواقع

الحماية:

• إضافة Multi-Account Containers في Firefox: يحصل كل حساب على ملفات cookie / مساحة تخزين معزولة
• إعداد ملفات تعريف متعددة في Chrome (الصورة الرمزية أعلى اليمين → إضافة مستخدم)
• إجراء متطرف: شغل كل حساب في جهاز افتراضي منفصل، على أن يستخدم كل جهاز افتراضي (VM) نقطة خروج VPN مختلفة

جدول ملخص استراتيجيات الحماية

نصيحة عملية: ما مستوى إخفاء الهوية الذي تحتاجه فعلًا؟

قبل أن تقرر مدى عمق الحماية التي تحتاجها، حدد أولًا من يتتبعك فعلًا:

• المعلنون + وسطاء البيانات (شدة منخفضة): uBlock Origin + رفض ملفات cookie الخاصة بالجهات الخارجية + VPN عادي تكفي للغالبية العظمى من الاستخدامات اليومية
• أنظمة مكافحة الاحتيال وإدارة المخاطر (شدة متوسطة): ما سبق + DNS متسق مع VPN + تطابق المنطقة الزمنية/اللغة + ملفات تعريف متصفح معزولة
• المنافسون التجاريون / برامج كشط الويب (شدة متوسطة إلى عالية): ما سبق + وضع TUN + متصفح حقيقي (دون آثار Selenium) + مسح ملفات cookie المتبقية
• التحقيقات الحكومية / العابرة للحدود (شدة قصوى): كل ما سبق ليس سوى خط الأساس. تحتاج إلى Tor / Whonix / Tails / VPS مشترى نقدًا + XMR + أجهزة معزولة تمامًا

معظم الناس لا يحتاجون إلا إلى المستويين 1-2؛ أما المستوى 3 فما فوق فهو مجال المتخصصين. لا تثقل استخدامك اليومي بإخفاء هوية لا تحتاج إليه فعلًا.