حدود اكتشاف VPN: ما يمكن أن يخبرك به مؤشر الشبكة
مؤشر VPN أو Tor أو مركز بيانات من Watch-IP هو تطابق مع قائمة مُحتفَظ بها، لا تحليل سلوكي حي — يخبرك بأن عنوان IP الخاص بالاتصال طابق شبكة معروفة في تلك الفئة اعتبارًا من آخر تحديث للقائمة. تعني false عدم وجود تطابق في القائمة المحمَّلة حاليًا، لا اتصالًا تم التحقق من نظافته، وتختلف التغطية اختلافًا معتبرًا بين IPv4 وIPv6.
كيف يعمل الاكتشاف القائم على القوائم
تُقارِن Watch-IP عنوان IPv4 أو IPv6 المتصل بقوائم مُحتفَظ بها بشكل منفصل لعقد خروج Tor، ومزوِّدي VPN التجاريين، وشبكات مراكز البيانات/الاستضافة، ونطاقات أو أرقام أنظمة مستقلة (ASN) معروفة كتهديد، ومشغِّلي شبكات خاضعين لعقوبات حكومية. يجعل التطابق الحقل المقابل (isTor أو isVpn أو isDatacenter أو isThreat أو isSanctionedNetwork) يساوي true. لا يعمل هذا إلا مع الشبكات المُدرجة في قائمة حمَّلتها Watch-IP — ولا يمكنه اكتشاف خدمة VPN أو وكيل (proxy) غير مُدرَجة في أي قائمة، مهما كانت فعّالة تقنيًا.
false والحذف وtrue تعني أشياء مختلفة
يعني حذف كائن security أن خطتك لا تتضمن هذه البيانات على الإطلاق — لا أن الاتصال فُحص وتبيَّن أنه نظيف. تعني القيمة false في حقل مُدرَج عدم وجود تطابق في القوائم المحمَّلة حاليًا، وهو ادعاء أضعف من "آمن": فتغطية القوائم غير مكتملة بطبيعتها، وقد لا يكون مزوِّد VPN جديد تمامًا أو صغير قد أُدرج بعد. لا تعرض أبدًا نتيجة غير مُقيَّمة أو false بوصفها "نظيف" أو "آمن" أو "مُتحقَّق منه" — فهذه الكلمات تدَّعي يقينًا أكبر مما يمكن أن يدعمه تطابق قائمة.
تعاني IPv6 من ثغرة تغطية حقيقية
تُفحَص اتصالات IPv4 مقابل الفئات الخمس جميعها. أما اتصالات IPv6 فتُفحَص مقابل كل ما سبق باستثناء Tor — إذ لا يتوفر حاليًا مصدر مجاني لقائمة عقد خروج Tor عبر IPv6، لذا تكون قيمة isTor دائمًا false لاتصال IPv6 بصرف النظر عمّا إذا كان فعليًا عقدة خروج Tor. فإذا كان منطق المراجعة لديك يتفرَّع بناءً على isTor، فإن الزائر عبر IPv6 يحصل على فحص مختلف بنيويًا (أضعف) عن زائر IPv4، لا مجرد نتيجة مختلفة.
ما لا تغطيه هذه القوائم
تمثِّل خدمات الوكيل السكني (residential proxy) — التي تُمرِّر حركة المرور عبر عناوين IP حقيقية لمستهلكين بدلًا من مركز بيانات — مشكلة اكتشاف أصعب بكثير من VPN التجاري أو Tor، ولا تُغطِّيها القوائم الحالية. لا تُعيد نقاط نهاية البحث عن أي عنوان IP (GET/POST /v1/lookup) هذا الكائن على الإطلاق؛ فهذه قدرة خاصة بـ GET /v1/geo مرتبطة بالمتصفح المتصل، وليست شيئًا يمكنك طلبه لعنوان IP مخزَّن أو مُقدَّم.
سياسة مراجعة حذِرة
عامل isVpn أو isDatacenter كأحد مدخلات قائمة انتظار مراجعة يدوية إلى جانب سجل الحساب وإشارات أخرى — لا كأساس وحيد لحظر تلقائي. يمر مستخدمون شرعيون عبر شبكات VPN والشبكات المشتركة لأسباب عادية (تفضيل الخصوصية، شبكة مؤسسية، سفر)، لذا فإن سياسة تحظر مباشرةً بناءً على مؤشر واحد سترفض عملاء حقيقيين. واقتران مؤشر شبكة بإشارة ثانية في الحدث نفسه، كمطابقة بريد إلكتروني مؤقت، يشكِّل أساسًا أكثر قابلية للدفاع عنه للإحالة إلى المراجعة من أي إشارة بمفردها.
ما لا يدَّعيه هذا المقال
يصف هذا تنفيذ Watch-IP الخاص القائم على القوائم، لا ادعاءً عامًا حول ما يمكن أن يحققه اكتشاف VPN على مستوى القطاع بأكمله. لا تكتشف Watch-IP الوكلاء السكنيين، ولا تتحقق من الهوية، وتُحدَّث قوائمها وفق جدول زمني (مُخزَّنة في مساحة التخزين الخاصة بنا) لا باستمرار — ويؤدي تحديث بطيء أو فاشل إلى بيانات قديمة أو فارغة، وهو ما يُقرأ مثل "لا تطابق".
المصادر
بقلم فريق التحرير في Watch-IP، بتاريخ 6 سبتمبر 2026. رُوجعت مقابل apps/api/src/lib/threat-store.ts وapps/api/src/lib/threat-sources.ts.