بروتوكول IKEv2 على iPhone: ماذا تدخل في حقول «الخادم»، «المعرف البعيد»، و«المعرف المحلي»

الجواب السريع: في حقل «الخادم»، عادةً تدخل اسم المجال أو عنوان IP الخاص بخادم VPN؛ في حقل «المعرف البعيد»، تدخل المعرف الذي يجب أن يتطابق مع ما يتوقعه الخادم (غالبًا اسم المجال الظاهر في شهادة الخادم)؛ في حقل «المعرف المحلي»، تدخل معرّف العميل الذي يستخدمه الخادم لتطبيق السياسات (غالبًا يترك فارغًا أو يُعيّن إلى اسم مستخدم/معرف يقدمه مزود خدمة VPN خاصتك). احرص دائمًا على الحصول على القيم الدقيقة من مزود الخدمة أو المسؤول – التخمين هو سبب شائع لأخطاء التحقق من الشهادة أو فشل الاتصال.

معنى حقول IKEv2 على iOS ولماذا هي مهمة

بروتوكول IKEv2 (IPsec) هو بروتوكول يتم فيه تبادل المعلمات والتحقق من الهويات بين الطرفين. على جهاز iPhone، سترى ثلاثة حقول تسبب غالبًا بعض الالتباس:

• الخادم – العنوان الذي تتصل به (بوابة VPN).
• المعرف البعيد – كيفية تحقق جهاز iPhone من الخادم؛ هذا السطر يخبر iOS كيفية التحقق من تطابق الخادم مع شهادة الأمان الخاصة به (عادةً هو معرف شهادة الخادم).
• المعرف المحلي – كيفية تعرف الخادم عليك؛ هذا المعرف الخاص بالعميل قد يُستخدم في التحقق أو تطبيق سياسات الخادم.

هذه القيم جزء من عملية المصادقة. إذا لم تتطابق مع إعدادات الخادم أو الشهادة، قد لا تثق iOS بالخادم أو يرفض الخادم الاتصال بالعميل. لمزيد من التفاصيل حول منطق المصادقة والمعرفات، يُرجى مراجعة الوثائق الرسمية من Apple عن IKEv2/IPsec: Apple: إعدادات إدارة الأجهزة لـ IKEv2.

حقل «الخادم»: اسم المجال أو IP، وكيف تعرف ماذا تدخل

الإدخالات الأكثر شيوعًا

• اسم مجال مؤهل بالكامل (FQDN) مثل vpn.example.com — هو الخيار الأكثر شيوعًا، وملائم عندما تتغير عناوين IP مع ضرورة استمرار التحقق من الشهادة المطابقة لهوية الخادم المُعدة.
• عنوان IP — يستخدم أحيانًا للاختبارات السريعة أو إذا لم يكن هناك اسم مجال. مع ذلك، من المهم أن يكون «المعرف البعيد» هو المفتاح عند التحقق من الشهادة.

قبل المتابعة

• استعلم من مزود الخدمة لديك عما إذا كان يجب الاتصال باسم مجال أو بواسطة عنوان IP. إذا تم تزويدك باسم مجال وشهادة، عادةً يُفضل استخدام اسم المجال.
• إذا استخدمت IP، تحقق مما إذا كان يتغير مع الوقت (كما في IP المنزلي أو الديناميكي). التغييرات المتكررة قد تسبب مشاكل اتصال متقطعة.

ممارسات آمنة (سهلة التراجع)

• إذا لم تكن متأكدًا، ابدأ بما تقوله تعليمات مزود الخدمة. لا تُعطل التحقق من الشهادة أو تجرب خيارات «غير مؤكدة» عند حدوث أخطاء – من الأفضل التأكد من العنوان الصحيح.
• إذا زودك مزود الخدمة باسم مجال وعنوان IP، جرب كتابة اسم المجال في «الخادم» واستخدم IP مؤقتًا عند استكشاف الأخطاء فقط، ثم عد للاستخدام العادي.

«المعرف البعيد»: مفتاح التحقق من الشهادة والخيارات الشائعة

غالبًا ما يسبب «المعرف البعيد» أخطاء لأن iOS يستخدمه لمطابقة هوية الخادم أثناء المصادقة. عندما تكون الشهادات جزءًا من العملية، عادةً ما يُطابق هذا الاسم الموجود في شهادة الخادم.

القيم النموذجية لـ «المعرف البعيد»

• اسم مجال VPN (مثل vpn.example.com) — الخيار الأكثر شيوعًا وبساطة.
• سلسلة معرف (مثل ikev2.example.com أو gateway-id) — يُستخدم عندما يرغب المزود في فصل «عنوان الاتصال» عن «اسم الهوية».
• عنوان IP — يُسمح به أحيانًا، لكنه غالبًا ما يسبب مشاكل إذا كانت الشهادة صادرة باسم مجال وليس IP.

كيفية معرفة القيم المتوقعة

• راجع إعدادات IKEv2 التي زودك بها مزود الخدمة: أحيانًا يكون «المعرف البعيد» محددًا بشكل منفصل عن «الخادم».
• إذا كنت تملك ملف إعداد (.mobileconfig) أو نص إعدادات المزود، عادةً ما يُكتب «المعرف البعيد» هناك صراحةً. عند إدخال الإعدادات يدويًا، حاول مطابقة تلك القيم بدقة.
• إذا فشل الاتصال بسبب أخطاء ثقة أو شهادة، فإن سببًا شائعًا هو عدم تطابق «المعرف البعيد» مع الاسم الموجود في شهادة الخادم.

ممارسات آمنة (سهلة التراجع)

• إذا استخدمت عنوان IP كـ«المعرف البعيد»، جرب التبديل إلى اسم المجال المزود لك (وعُد إذا استلزم الأمر).
• إذا كان «الخادم» IP وزودك المزود باسم مجال للمعرف، احتفظ بالـIP في «الخادم» واضبط اسم المجال تحت «المعرف البعيد» بدقة لضمان تحقق صحيح من الشهادة.
• إذا أعطاك المزود «معرف بعيد» منفصل (سلسلة لا تطابق المجال)، استخدمه بالضبط حتى لو بدا غريبًا.

«المعرف المحلي»: متى تتركه فارغًا ومتى تحدده

«المعرف المحلي» يشير إلى كيفية تعريفك كعميل. هو اختياري في بعض الإعدادات لكن ضروري في أخرى، خصوصًا إذا كان الخادم يميز المستخدمين أو السياسات ليس فقط باسم المستخدم بل أيضًا بالمعرف.

خيارات «المعرف المحلي» الشائعة

• فارغ — خيار شائع إذا كان الخادم يحتاج فقط اسم المستخدم/كلمة المرور (EAP) أو شهادة العميل.
• اسم المستخدم — في بعض الحالات يُطلب منك تعيين نفس اسم المستخدم المستخدم في EAP كـ«المعرف المحلي.»
• سلسلة معرف محددة — إذا زودك مزود الخدمة بمعرف محلي مميز مثل client123 أو user@realm.

تحقق قبل التعديل

• إذا رفض الخادم الاتصال (وليس بسبب ثقة الشهادة) وذكر المزود «المعرف المحلي»، فتأكد أنك لم تتركه فارغًا بطريق الخطأ.
• إذا كان لديك عدة ملفات تعريف/مستخدمين وبعضهم فقط يعملون، قارن ما إذا تم تعيين «المعرف المحلي» بينهم.

ممارسات آمنة (سهلة التراجع)

• إذا لم يعطك مزود الخدمة «معرف محلي»، ابدأ بحقل فارغ؛ فهو أكثر أمانًا وأقل عرضة لأخطاء التطابق.
• إذا أعطاك مزود الخدمة «معرف محلي» محدد، أدخله بدقة (حساسية الحالة والأحرف مهمة). إذا لم يُجدي نفعًا، عد للحقل الفارغ وتحقق من الصيغة مع المزود.

نوع مصادقة IKEv2 على iPhone وصلته بالمعرفات

على iOS، هناك طريقتان شائعتان للمصادقة في IKEv2:

• اسم المستخدم/كلمة المرور (EAP) — تدخل بيانات الاعتماد، والخادم يتحقق من هويتك. يستخدم الخادم عادة شهادة حتى يستطيع iPhone التأكد من أنه يتصل بالخادم الشرعي. يكون «المعرف البعيد» صحيحًا ومهمًا هنا بشكل خاص.
• المصادقة بواسطة الشهادة — يكون لدى العميل أيضًا شهادة (عادة صادرة عن المزود أو المسؤول). في هذه الحالة، «المعرف المحلي» قد يكون مهمًا لاختيار الشهادة المناسبة أو السياسة، لكن التصرف الدقيق يعتمد على إعدادات الخادم.

كيف تعرف أي الوضع تستخدم

• إذا زودك المزود باسم مستخدم وكلمة مرور فقط، فغالبًا تستخدم EAP.
• ملف .mobileconfig أو شهادة فقط لا يحدد طريقة تسجيل الدخول: قد يهيئ الملف EAP، والشهادة قد تُستخدم فقط لبناء الثقة مع الخادم. تحقق من طريقة المصادقة المحددة من قبل مزود الخدمة.

ممارسات آمنة (سهلة التراجع)

• لا تحاول تغيير نوع المصادقة عشوائيًا إذا زودك المزود بمعلمات لطريقة معينة – هذا غالبًا يؤدي إلى رفض الخادم للاتصال.
• إذا شككت في خطأ (مثلًا حصلت على شهادة لكن تحاول الاتصال باسم مستخدم/كلمة مرور)، استشر مزودك للطريقة الصحيحة ثم اتبع إعداداته الموصى بها.

التحقق من تطابق اسم الشهادة مع «المعرف البعيد»: قائمة مراجعة

عمليًا: عندما يتحقق iPhone من شهادة الخادم، يجب أن يتطابق «المعرف البعيد» مع الاسم الظاهر في شهادة الخادم (غالبًا اسم مجال). إذا لم يتطابقا، لن يُقام الاتصال.

قائمة التشخيص (دون كشف معلومات حساسة)

إذا أردت دليلًا خطوة بخطوة لإضافة ملف تعريف IKEv2 على iOS (تعليمات دقيقة للنقرات والإدخالات)، راجع: إعداد VPN IKEv2 على iOS. هنا نركز على معنى الحقول وكيفية التحقق من التطابق.

نصائح سريعة لإدارة هذه الإعدادات بأمان

• لا تشارك «الخادم» و«المعرفين البعيد/المحلي»، بيانات الدخول، كلمات السر، المفاتيح، أو محتويات الشهادة في محادثات أو لقطات شاشة. إذا وجب عرض مشكلة، قم بإخفاء التفاصيل الحساسة.
• غيّر إعدادًا واحدًا في كل مرة حتى تعرف بالضبط السبب في أي تأثير ويمكنك التراجع بسهولة.
• لا تعطل التحقق من الشهادة أو لا تقبل «أي شهادة» لمجرد الاتصال السريع؛ هذا يُضعف الحماية ضد الخوادم المزيفة.

الأسئلة المتكررة: أسئلة شائعة عن «الخادم»، «المعرف البعيد»، و«المعرف المحلي»

هل يمكن أن يكون «الخادم» و«المعرف البعيد» مختلفين؟

نعم، هذا إعداد شائع: «الخادم» هو العنوان الذي تتصل به، و«المعرف البعيد» هو كيف تؤكد هوية الخادم. على سبيل المثال، يمكنك الاتصال باستخدام عنوان IP لكن تحقق من الخادم باستخدام اسم المجال في شهادته (إذا قال مزود الخدمة ذلك).

إذا كان لدي فقط عنوان IP، ماذا يجب أن أدخل في «المعرف البعيد»؟

ذلك يعتمد على ما أُصدرت له شهادة الخادم وكيف تم تكوين VPN. غالبًا ما يقدم المزود اسم مجال أو معرف منفصل لـ«المعرف البعيد». إذا لم تكن لديك هذه المعلومات، اسأل مزودك بدل التخمين.

هل يجب ملء «المعرف المحلي» إذا أسجل الدخول باسم مستخدم وكلمة مرور؟

عادةً لا، يُترك فارغًا. لكن بعض الإعدادات تتطلب تحديد «المعرف المحلي» لتطابق السياسات. إذا أعطاك المزود قيمة، استخدمها؛ وإلا البدء بحقل فارغ هو الأفضل.

لماذا توقف خادم VPN عن الاتصال بعد تغيير اسم المجال؟

سببان شائعان: تغير عنوان «الخادم» (DNS/التوجيه) أو لم يعد اسم الشهادة يطابق «المعرف البعيد». النهج الآمن هو التراجع عن القيم السابقة ثم تأكيد المجال الجديد و«المعرف البعيد» مع المزود، مع التأكد من أن الشهادة تغطي الاسم الجديد.

هل يمكنني استخدام نفس «المعرف البعيد» لخوادم مختلفة؟

نعم، إذا قام المسؤول بتكوين عدة بوابات بنفس هوية الخادم المعتمد وشهادات صالحة لذلك المعرف البعيد. استخدامات أخرى قد تستعمل معرفات مختلفة. اتبع الإعدادات التي يزودك بها المزود للبوابة المختارة.

متى يساعدك الخادم الشخصي: إذا أردت بوابة VPN مستقرة مخصصة تحتوي على IP ثابت، بدون مشاركة مع آخرين، وإعدادات IKEv2 واضحة (بما في ذلك قيم «الخادم/المعرف» الصحيحة)، فإن الأمر يكون أسهل عندما يزودك مزودك بمعلومات اعتماد شخصية وتدير ملف تعريف معين.

ومتى لن يحل المشكلة: إذا كانت المشاكل ناتجة عن بيانات ناقصة أو خاطئة (مثل «المعرف البعيد» أو الشهادات) أو قيود على الشبكة/الجهاز، فلن يحل الخادم الشخصي الحاجة للإعداد الصحيح والتحقق من الشهادات — يجب عليك دائمًا استخدام بيانات مزود الخدمة مع الحفاظ على التحقق.

إذا تفضل سيناريو «مستخدم واحد – خادم واحد»، يقدم موقع vpn.how خوادم VPN شخصية مع عناوين IP مخصصة؛ اطلع على المواقع الحالية، البروتوكولات، الأسعار والسياسات على موقعهم وفي حسابك.