ثلاث طرق تكسر بها روسيا خادم Xray لديك، وواحدة منها فقط حجب

كل بضعة أسابيع تصل التذكرة نفسها. كان خادم VPS لأحد العملاء يعمل من روسيا، ثم توقف يومًا ما، وصار العنوان يبدو ميتًا من موسكو بينما يستجيب بلا عيب من كل مكان آخر. والاستنتاج يكتب نفسه: تعرّف الفحص العميق للحزم على VLESS، ودخل الخادم قائمة، واحترق العنوان.

أحيانًا يكون ذلك صحيحًا تمامًا. وفي الأغلب يكون أحد أمرين آخرين يبدوان متطابقين من مقعد العميل ويحتاجان إصلاحين مختلفين كليًا.

وهذا مهم، لأن النصيحة المعتادة — «حوّل النقل إلى gRPC» — صحيحة نصفيًا بطريقة تجعل الاعتراض عليها صعبًا. فهي تساعد فعلًا، لسبب يستحق الفهم بدقة. لكنها لا تساعد ضد العطل الذي يكلّفك العنوان فعلًا، وكثيرون يلجؤون إليها بدل ما ينفع حقًا.

وفي ما يلي ما يجري فعلًا، مرتّبًا بحسب حجم الضرر.

1. الفحص: خادمك يردّ على مسبار، والردّ يفضحه

هذا هو الذي يكلّفك العنوان كله فعلًا.

في مايو 2026 شغّل أحدهم ماسح VPN على الطريقة الروسية ضد خادمه ونشر التقرير. وهو أنفع وثيقة في هذا الموضوع، لأنه يعرض طريقة الاستدلال لا الحكم النهائي فقط. 7

ولا يقتصر الماسح على المنفذ 443، بل يمسح المدى كاملًا من 1 إلى 65535 بخمسمئة خيط، ويرمي على كل ما يستجيب عدة مسابر مختلفة: طلب GET، وطلب CONNECT، ورسالة TLS ClientHello بـ SNI غير صالح عمدًا، وبيانات ثنائية خام. ثم يقارن الردود.

الخادم الحقيقي يتفاعل مع المدخلات العبثية المختلفة بطرق مختلفة، والوكيل ذو الاحتياطي الثابت لا يفعل. وعلى الخادم المفحوص أعاد المنفذ 2096 الـ 41 بايت نفسها، بايتًا ببايت، لكل مسبار، مبتدئًا بسطر الحالة HTTP/0.0 307 Temporary Redirect. ولا يُصدر أي nginx أو Apache أو Caddy حقيقي إصدارًا اسمه HTTP/0.0. وذلك الردّ وحده أشبه باعتراف.

ويضيف التقرير عدة إشارات أخف:

• لا ترويسة Server:. وكل خادم ويب شائع يضبطها. وغيابها يقول «معالج مخصص» لا «موقع ويب».
• شهادة صلاحيتها الكلية ستة أيام. فالسلطات العامة تُصدر لمدة 30 إلى 90 يومًا. وأي مدة دون أسبوعين تقريبًا تعني صناعة يدوية، أي منصة اختبار، أي وكيل.

ومنح الماسح المضيف 48 من 100 وأصدر الحكم OBVIOUSLY-VPN. والنتيجة، بعبارة التقرير نفسه، أن الشذوذات المتراكمة تتجاوز عتبة ТСПУ فـ«يُضاف العنوان إلى قائمة السمعة وتُسقَط التدفقات اللاحقة أو تُبطَّأ حتى تتغير البصمة».

هذه هي الآلية التي يقصدها الناس حين يقولون إن العنوان حُجب. وهي حقيقية، وتعمل على مستوى العنوان، ويُطلقها ما يقوله خادمك حين يُخاطَب، لا البروتوكول الذي تنفق عبره.

2. الدفقة: ثلاث مصافحات خلال خمسين جزءًا من الثانية

الآلية الثانية سلوكية ولا علاقة لها بالفحص.

يصف نقاش في Xray-core كيف يقرأ ТСПУ رسالة TLS ClientHello ويمنحها درجة بحسب الشبكة الفرعية والنظام المستقل للخادم، وبحسب SNI وبصمة المتصفح. فتُحتجز بصمات Chrome وSafari وiOS القادمة من نطاق مشبوه، بينما يمر Firefox وAndroid وOkHttp وEdge. 3

وما يُطلقها هو الكثافة. فثلاثة اتصالات TLS متزامنة أو أكثر إلى المضيف نفسه خلال نحو 20 إلى 50 جزءًا من الثانية تُجمّدها كلها نحو 120 ثانية. وإن ردّ العميل بتدوير بصمته أثناء التجميد، صارت 600 ثانية.

ولهذا فإن متصفحًا يفتح صفحة عبر النفق أسوأ بكثير من تنزيل واحد. فالمتصفحات الحديثة تفتح ستة اتصالات دفعة واحدة بحكم التصميم، وهذا بالضبط الشكل الذي يبحث عنه الكاشف.

3. العدّاد: الكيلوبايت الخامس عشر

الثالثة أخشن، وأنيقة بمعاييرها الخاصة. إذ يراقب الرقيب اتصال TLS نحو خادم أجنبي ويجمّده متى تجاوزت البيانات العائدة نحو 15 إلى 20 كيلوبايت، وهو ما حُدِّد لاحقًا بنحو 25 حزمة في كل اتجاه.

والنقاش الذي يوثّق ذلك، المفتوح في 27 يونيو 2025، صريح في أن الأمر ليس مطابقة بروتوكول: «لا يهم إن كان ترافيك HTTPS ‚شرعيًا' أو كان أحدهم يقلّده». 2

وهذا هو البلاغ من نوع «يعمل ثوانٍ ثم يموت». فالمصافحة وطلبان صغيران يتسعان داخل الميزانية، أما صفحة فيها صور فلا.

كيف تميّزها باختبار واحد

تتشابه الثلاث لأن الرقيب يجمّد الاتصالات ولا يعيد ضبطها. فلا RST ولا ICMP — المصافحة ببساطة لا تكتمل، ويبقى العميل جالسًا حتى تنتهي مهلته، وهو ما لا يُميَّز عن مسار ذهب إلى لا شيء.

من الشبكة المتأثرة، اجلب شيئًا صغيرًا وبسيطًا عبر HTTP من العنوان نفسه.

• يعمل HTTP العادي ولا يعمل TLS — الآلية 2 أو 3. العنوان سليم. ففي بلاغ من نوفمبر 2025 عن حجب REALITY لدى مزود روسي، تحقق صاحب البلاغ من هذا بالذات ووجد أن الموقع على العنوان نفسه ما زال يُحمَّل. 4
• لا شيء يستجيب إطلاقًا — الآلية 1. أنت على قائمة السمعة، ولا ينفع سوى عنوان جديد.

ويستحق التمييز دقيقتيه، لأن استبدال الخادم في الآليتين 2 و3 يشتري لك نحو خمسة عشر كيلوبايت من الراحة قبل أن يتصرف العنوان الجديد تصرفًا مطابقًا. ويقرأ الناس ذلك بوصفه احتراقًا فوريًا للعنوان الجديد. ولم يحترق شيء؛ إنما أُنفقت الميزانية من جديد.

أين يساعد gRPC فعلًا وأين لا

يواصل المشغّلون الإبلاغ بأن gRPC يصمد أسابيع على اتصالات كان TCP العادي يُكتشَف فيها خلال أيام. وليس هذا فولكلورًا ولا حظًا، بل هو الآلية 2، والسبب ميكانيكي.

فـ gRPC يعمل فوق HTTP/2، ووثائق Xray صريحة فيما يمنحه ذلك: «‏gRPC (HTTP/2) فيه تعدد إرسال مدمج. ولا يُنصح بتفعيل mux.cool عند استخدام gRPC وHTTP/2». 5

وتعدد الإرسال يعني أن تدفقات كثيرة تتقاسم اتصال TCP واحدًا، وبالتالي مصافحة TLS واحدة. وكاشف الدفقات يبحث عن ثلاث مصافحات أو أكثر إلى المضيف نفسه خلال خمسين جزءًا من الثانية. والمتصفح فوق TCP العادي يفتح ستة اتصالات فينتج ذلك الشكل بالضبط. أما المتصفح نفسه فوق gRPC فينتج مصافحة واحدة بداخلها ستة تدفقات HTTP/2. ولم تعد هناك دفقة لتُكتشَف.

فإن انتقلت إلى gRPC واختفت مشكلتك، فهذا هو السبب، ولا تدع أحدًا يقنعك بالعودة.

وما لا يفعله هو الردّ على مسبار. فالصفحة نفسها تحذّر من أن «خدمات gRPC معرّضة للفحص النشط»، وتوصي بوكيل عكسي أمامها يفصل الحركة بحسب بادئة المسار. فـ gRPC العاري الذي يستمع على 443 يظل يردّ على الماسح، والذي يضع العنوان على قائمة السمعة هو الآلية 1. وتعدد الإرسال لا يفعل شيئًا حيال ذلك.

ويجدر كذلك معرفة وجهة الأمور. فنقل gRPC صار مهجورًا: وتقول الوثائق الآن «يُنصح بالانتقال إلى XHTTP». 5 وهذه ملاحظة ترحيل لا سبب لاقتلاع شيء يعمل. فـ XHTTP، الذي ظهر في ديسمبر 2024، يتعدد بالطريقة نفسها عبر XMUX ويضيف ما ينقص gRPC: حشو الترويسات، وفصل التدفق الصاعد عن الهابط بحيث يسير الهابط على طلبات GET مستقلة، وهو ما يتجاوز أيضًا قيود gRPC التي تفرضها بعض شبكات توصيل المحتوى. وأمام WebSocket يتفادى ALPN اللافت http/1.1. 6

خطّط للانتقال، ولا تتعجّله.

اجمعها فوق بعضها؛ فهي ليست بدائل

الخطأ الكامن تحت معظم هذه النقاشات هو معاملة الأمر بوصفه اختيارًا واحدًا: REALITY أو gRPC، هذا النقل أو ذاك. فالآليات الثلاث مستقلة، ولذلك فالدفاعات مستقلة كذلك، وهي تتركب:

فخادم يشغّل REALITY خلف nginx فوق نقل متعدد الإرسال يردّ على الثلاثة. وخادم يشغّل واحدًا منها يردّ على واحد.

ضع nginx حقيقيًا في المقدمة ووجّه إليه الاحتياطيات. هذا أعلى التغييرات قيمة، وهو أول توصية في التقرير نفسه: شغّل nginx حقيقيًا بخريطة صفحات أخطاء سليمة، ووجّه احتياطيات Xray إليه، بحيث يتلقى كل ما ليس مصافحة صالحة ردًا حقيقيًا من برنامج خادم ويب حقيقي. 7 وهذا يقضي على سطر الحالة HTTP/0.0، ويعيد ترويسة Server:، ويجعل الردود تتباين بحسب الطلب كما تفعل المواقع. وقدّم عليه موقعًا فعليًا؛ فصفحة ترحيب nginx الافتراضية أفضل من ردّ 307 ثابت، والموقع الحقيقي أفضل منهما معًا.

استخدم شهادة حقيقية. Let's Encrypt مع تجديد تلقائي. فالشهادة الموقّعة ذاتيًا لستة أيام إشارة بحد ذاتها، وإزالتها لا تكلّف شيئًا.

انتبه إلى SNI. فالاستعارة من Microsoft أو Apple أو Google تلفت الأنظار؛ ويُبلَّغ أن المضيفين المحليين ذوي الحركة العالية أكثر استقرارًا بكثير بوصفهم هدفًا للاستعارة. والحجب انتقائي لا شامل، وكثيرًا ما يمرّ نطاق فرعي جديد على عنوان نظيف. 8

انتبه إلى البصمة، ولا تكتفِ بها. يُبلَّغ أن تبديل uTLS من Chrome إلى Firefox يعيد الاتصال لدى مشغّلين يُحتجَز عندهم Chrome. 8 لكن التقييم يزن الشبكة الفرعية والنظام المستقل أيضًا، فالبصمة المثالية على نطاق سيئ التقييم تبقى اتصالًا سيئًا.

استخدم نقلًا متعدد الإرسال، ودعه يتعدد. ‏gRPC أو XHTTP، مع إبقاء mux.cool مطفأً؛ فالوثائق صريحة في عدم التوصية بتفعيله فوق HTTP/2. وإن كنت تشغّل gRPC خلف nginx فذلك هو grpc_pass ببادئة مسار، فتحصل بنشر واحد على دفاع المسبار ودفاع الدفقة معًا.

لا تدع أي شيء آخر على الجهاز يتكلم. فالماسح يمر على المنافذ الـ 65535 كلها، وكل خدمة تستجيب فرصة أخرى لتجميع شذوذ. انقل SSH من المنفذ 22 إلى منفذ مرتفع وأغلقه بجدار حماية على عناوين معروفة.

احتفظ بموقع ثانٍ. ليس عنوانًا احتياطيًا في النطاق نفسه للتدوير، بل مكانًا مختلفًا فعلًا. فحين يكون العطل إقليميًا، ينفع مسار آخر لا رقم آخر على المسار نفسه.

وتوقّع أن يستمر هذا في التغيّر

حجبت هيئة Roskomnadzor بروتوكول VLESS أواخر 2025 باستخدام ТСПУ، وردّ معظم المطوّرين بإصدار إعدادات جديدة خلال أيام. 1 وهذا هو الإيقاع الذي استقر عليه الأمر، والميزانية خلفه تنمو: إذ يُخطَّط لزيادة سعة ТСПУ مرتين ونصفًا بحلول 2030، لتبلغ 954 تيرابت في الثانية، بنحو 186 مليون دولار — وهو ما يكفي، بحساب الوزارة نفسها، لتحليل كل حركة الشبكة الروسية مع فائض.

ولا شيء مما سبق دائم. لكن أمرين يمكن تعميمهما.

أنت لا تُضبَط بسبب ما تنفق عبره، بل لأنك تبدو آلة وُجدت للنفق: بما تردّ به، وبكيفية اتصالها، وبمقدار ما ترسله. وكل ما يجعل الخادم يبدو خادم ويب عاديًا يحمل صدفةً حركة أخرى يشتري لك وقتًا.

وما من إعداد منفرد هو الجواب. فالاكتشاف متعدد الطبقات، ولذلك يجب أن يكون الدفاع كذلك. وإن قال لك أحد إن نقلًا واحدًا يحلّ هذا، فاسأله أيًّا من الآليات الثلاث يحلّ.

المصادر

1. Russia's internet censorship in 2026: VPN crackdowns, mobile shutdowns, Telegram blocks and the state messenger Max، Zona Media، 7 أبريل 2026
2. [Russia] Censor has a new method of blocking، net4people/bbs، فُتح في 27 يونيو 2025
3. Russia blocks 2026، XTLS/Xray-core، 2026
4. TCP + Reality gets blocked، XTLS/Xray-core، 23 نوفمبر 2025
5. gRPC transport، وثائق Project X
6. XHTTP، XTLS/Xray-core، ديسمبر 2024
7. How Bye Bye VPN Works in Russia، MHSanaei/3x-ui، 6 مايو 2026
8. Bypassing Russian GFW، XTLS/Xray-core