## لماذا OpenVPN؟

كان OpenVPN المعيار الفعلي لشبكات VPN مفتوحة المصدر عند إنشاء هذا السكربت. جاء WireGuard لاحقًا وهو أبسط وأسرع لمعظم حالات الاستخدام. اطّلع على [wireguard-install](https://github.com/angristan/wireguard-install).

ومع ذلك، لا يزال OpenVPN خيارًا منطقيًا عندما تحتاج إلى:

- **دعم TCP**: يعمل في البيئات التقييدية التي يُحظر فيها UDP (شبكات الشركات، المطارات، الفنادق، إلخ.)
- **مفاتيح خاصة محمية بكلمة مرور**: تخزّن إعدادات WireGuard المفتاح الخاص كنص عادي
- **التوافق مع الأنظمة القديمة**: يتوفر عملاء لكل المنصات تقريبًا، بما في ذلك الأنظمة الأقدم

## الميزات

- تثبيت وإعداد خادم OpenVPN جاهز للاستخدام
- واجهة سطر أوامر للأتمتة والبرمجة النصية (وضع غير تفاعلي مع مخرجات JSON)
- تجديد الشهادات لكل من شهادات العميل والخادم
- عرض ومراقبة العملاء المتصلين
- فصل فوري للعميل عند إبطال الشهادة (عبر واجهة الإدارة)
- استخدام [مستودعات OpenVPN الرسمية](https://community.openvpn.net/openvpn/wiki/OpenvpnSoftwareRepos) عندما يكون ذلك ممكنًا للحصول على أحدث الإصدارات المستقرة
- إدارة قواعد جدار الحماية وإعادة التوجيه بسلاسة (دعم أصلي لـ firewalld و nftables، مع ارتداد إلى iptables)
- شبكات فرعية قابلة للتهيئة لـ VPN (IPv4: الافتراضي `10.8.0.0/24`، IPv6: الافتراضي `fd42:42:42:42::/112`)
- MTU نفق قابل للتهيئة (الافتراضي: `1500`)
- عند الحاجة، يمكن للسكربت إزالة OpenVPN بشكل نظيف، بما في ذلك الإعدادات وقواعد جدار الحماية
- إعدادات تشفير قابلة للتخصيص، مع إعدادات افتراضية محسّنة (انظر [الأمان والتشفير](#security-and-encryption) أدناه)
- استخدام أحدث ميزات OpenVPN عند توفرها (انظر [الأمان والتشفير](#security-and-encryption) أدناه)
- مجموعة متنوعة من محللات DNS ليتم دفعها إلى العملاء
- خيار استخدام محلل مستضاف ذاتيًا عبر Unbound (يدعم تثبيتات Unbound الموجودة مسبقًا)
- الاختيار بين TCP و UDP
- دعم مرن لـ IPv4/IPv6:
  - نقطة نهاية الخادم IPv4 أو IPv6 (كيفية اتصال العملاء)
  - عملاء IPv4 فقط، أو IPv6 فقط، أو ثنائي الرصة (عنونة VPN والوصول إلى الإنترنت)
  - جميع التركيبات مدعومة: 4→4، 4→4/6، 4→6، 6→4، 6→6، 6→4/6
  - منع تسرب تلقائي: حظر البروتوكول غير المرغوب فيه في أوضاع الرصة الأحادية
- وضع بصلاحيات منخفضة: التشغيل كـ `nobody`/`nogroup`
- حظر تسريبات DNS على ويندوز 10
- اسم عشوائي لشهادة الخادم
- خيار حماية العملاء بكلمة مرور (تشفير المفتاح الخاص)
- خيار السماح لأجهزة متعددة باستخدام نفس ملف تعريف العميل في نفس الوقت (يعطّل عناوين IP الثابتة)
- **مصادقة بصمة النظير** (OpenVPN 2.6+): مصادقة مبسّطة شبيهة بـ WireGuard بدون مرجعية تصديق (CA)
- والعديد من الأشياء الصغيرة الأخرى!

## التوافق

يدعم السكربت توزيعات Linux التالية:

|                     | الدعم |
| ------------------- | ------- |
| AlmaLinux >= 8      | ✅ 🤖   |
| Amazon Linux 2023   | ✅ 🤖   |
| Arch Linux          | ✅ 🤖   |
| CentOS Stream >= 8  | ✅ 🤖   |
| Debian >= 11        | ✅ 🤖   |
| Fedora >= 40        | ✅ 🤖   |
| openSUSE Leap >= 16 | ✅ 🤖   |
| openSUSE Tumbleweed | ✅ 🤖   |
| Oracle Linux >= 8   | ✅ 🤖   |
| Rocky Linux >= 8    | ✅ 🤖   |
| Ubuntu >= 18.04     | ✅ 🤖   |

مما تجب ملاحظته:

- يتم اختبار السكربت بانتظام ضد التوزيعات الموسومة بـ 🤖 فقط.
  - يتم اختباره على بنية `amd64` فقط.
- يتطلب السكربت `systemd`.

### المزوّدون الموصى بهم

- [Vultr](https://umami.stanislas.cloud/q/1HH9Thp8i): مواقع حول العالم، دعم IPv6، يبدأ من \$2.5 شهريًا
- [Hetzner](https://umami.stanislas.cloud/q/HdzaOJWq7): مواقع حول العالم، IPv6، 20 تيرابايت من حركة المرور، يبدأ من €3.59 شهريًا
- [Digital Ocean](https://umami.stanislas.cloud/q/sEVh1l79B): مواقع حول العالم، دعم IPv6، يبدأ من \$4 شهريًا

## الاستخدام

أولاً، نزّل السكربت على خادمك واجعله قابلاً للتنفيذ:```bash
curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
chmod +x openvpn-install.sh

سيرشدك هذا خلال عملية التثبيت وإدارة العملاء.

في مجلدك الرئيسي، سيكون لديك ملفات `.ovpn`. هذه هي ملفات إعدادات العملاء. نزّلها من خادمك (باستخدام `scp` على سبيل المثال) واتصل باستخدام عميل OpenVPN المفضل لديك.

إذا كان لديك أي سؤال، توجه إلى [الأسئلة الشائعة](#faq) أولاً. وإذا كنت بحاجة إلى مساعدة، يمكنك فتح [نقاش](https://github.com/angristan/openvpn-install/discussions). يرجى البحث في المشكلات والنقاشات الموجودة أولاً.

### وضع CLI

> [!WARNING]
> لا يُضمن التوافق مع واجهة برمجة التطبيقات (API). قد تحدث تغييرات جذرية بين الإصدارات. إذا كنت تستخدم هذا السكربت برمجيًا (مثلًا في الأتمتة أو CI/CD)، فثبّت الإصدار على commit محدد بدلاً من استخدام فرع master.

للأتمتة والبرمجة النصية، استخدم واجهة سطر الأوامر:```bash
# Install with defaults
./openvpn-install.sh install

# Add a client
./openvpn-install.sh client add alice

# List clients
./openvpn-install.sh client list

# Revoke a client (immediately disconnects if connected)
./openvpn-install.sh client revoke alice

شغّل `./openvpn-install.sh <command> --help` للحصول على الخيارات الخاصة بالأوامر المحددة.

#### إدارة العملاء```bash
# Add a new client
./openvpn-install.sh client add alice

# Add a password-protected client
./openvpn-install.sh client add bob --password

# Revoke a client
./openvpn-install.sh client revoke alice

# Renew a client certificate
./openvpn-install.sh client renew bob --cert-days 365

مخرجات JSON للبرمجة النصية:```text
$ ./openvpn-install.sh client list --format json | jq
{
  "clients": [
    {
      "name": "alice",
      "status": "valid",
      "expiry": "2035-01-15",
      "days_remaining": 3650
    },
    {
      "name": "bob",
      "status": "valid",
      "expiry": "2035-01-15",
      "days_remaining": 3650
    },
    {
      "name": "charlie",
      "status": "revoked",
      "expiry": "2035-01-15",
      "days_remaining": null
    }
  ]
}

عرض العملاء المتصلين (يتم تحديث البيانات كل 60 ثانية):```text
$ ./openvpn-install.sh server status
══ Connected Clients ══
[INFO] Found 2 connected client(s)

   Name    Real Address          VPN IP      Connected Since   Transfer
   ----    ------------          ------      ---------------   --------
   alice   203.0.113.45:52341    10.8.0.2    2025-01-15 14:32  ↓1.2M ↑500K
   bob     198.51.100.22:41892   10.8.0.3    2025-01-15 09:15  ↓800K ↑200K

[INFO] Note: Data refreshes every 60 seconds.

**Network Options:**

- `--endpoint <host>` - عنوان IP عام أو اسم مضيف للعملاء (الافتراضي: يُكتشف تلقائيًا)
- `--endpoint-type <4|6>` - إصدار IP لنقطة الاتصال (الافتراضي: `4`)
- `--ip <addr>` - IP استماع الخادم (الافتراضي: يُكتشف تلقائيًا)
- `--client-ipv4` - تمكين IPv4 لعملاء VPN (الافتراضي: مفعّل)
- `--no-client-ipv4` - تعطيل IPv4 لعملاء VPN
- `--client-ipv6` - تمكين IPv6 لعملاء VPN (الافتراضي: معطّل)
- `--no-client-ipv6` - تعطيل IPv6 لعملاء VPN
- `--subnet-ipv4 <x.x.x.0>` - شبكة فرعية IPv4 لـ VPN (الافتراضي: `10.8.0.0`)
- `--subnet-ipv6 <prefix>` - شبكة فرعية IPv6 لـ VPN (الافتراضي: `fd42:42:42:42::`)
- `--port <num>` - منفذ OpenVPN (الافتراضي: `1194`)
- `--port-random` - استخدام منفذ عشوائي (49152-65535)
- `--protocol <udp|tcp>` - البروتوكول (الافتراضي: `udp`)
- `--mtu <size>` - MTU للنفق (الافتراضي: `1500`)

**DNS Options:**

- `--dns <provider>` - مزود DNS (الافتراضي: `cloudflare`). الخيارات: `system`, `unbound`, `cloudflare`, `quad9`, `quad9-uncensored`, `fdn`, `dnswatch`, `opendns`, `google`, `yandex`, `adguard`, `nextdns`, `custom`
- `--dns-primary <ip>` - DNS أساسي مخصص (يتطلب `--dns custom`)
- `--dns-secondary <ip>` - DNS ثانوي مخصص (يتطلب `--dns custom`)

**Security Options:**

- `--cipher <cipher>` - تشفير البيانات (الافتراضي: `AES-128-GCM`). الخيارات: `AES-128-GCM`, `AES-192-GCM`, `AES-256-GCM`, `AES-128-CBC`, `AES-192-CBC`, `AES-256-CBC`, `CHACHA20-POLY1305`
- `--cert-type <ecdsa|rsa>` - نوع الشهادة (الافتراضي: `ecdsa`)
- `--cert-curve <curve>` - منحنى ECDSA (الافتراضي: `prime256v1`). الخيارات: `prime256v1`, `secp384r1`, `secp521r1`
- `--rsa-bits <2048|3072|4096>` - حجم مفتاح RSA (الافتراضي: `2048`)
- `--hmac <alg>` - خوارزمية HMAC (الافتراضي: `SHA256`). الخيارات: `SHA256`, `SHA384`, `SHA512`
- `--tls-sig <mode>` - وضع TLS (الافتراضي: `crypt-v2`). الخيارات: `crypt-v2`, `crypt`, `auth`
- `--auth-mode <mode>` - وضع المصادقة (الافتراضي: `pki`). الخيارات: `pki` (قائم على CA)، `fingerprint` (بصمة النظير، يتطلب OpenVPN 2.6+)
- `--tls-version-min <1.2|1.3>` - الحد الأدنى لإصدار TLS (الافتراضي: `1.2`)
- `--tls-ciphersuites <list>` - مجموعات التشفير TLS 1.3، مفصولة بنقطتين (الافتراضي: `TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256:TLS_CHACHA20_POLY1305_SHA256`)
- `--tls-groups <list>` - مجموعات تبادل المفاتيح، مفصولة بنقطتين (الافتراضي: `X25519:prime256v1:secp384r1:secp521r1`)
- `--server-cert-days <n>` - صلاحية شهادة الخادم بالأيام (الافتراضي: `3650`)

**Client Options:**

- `--client <name>` - اسم العميل الأولي (الافتراضي: `client`)
- `--client-password [pass]` - حماية مفتاح العميل بكلمة مرور (الافتراضي: بدون كلمة مرور)
- `--client-cert-days <n>` - صلاحية شهادة العميل بالأيام (الافتراضي: `3650`)
- `--no-client` - تخطي إنشاء العميل الأولي

**Other Options:**

- `--multi-client` - السماح بنفس الشهادة على أجهزة متعددة (الافتراضي: معطّل)

#### أمثلة الأتمتة

**إنشاء عميل دفعة واحدة:**```bash
#!/bin/bash
for user in alice bob charlie; do
  ./openvpn-install.sh client add "$user"
done

**مخرجات JSON للبرمجة النصية:**```bash
# Get client list as JSON
./openvpn-install.sh client list --format json | jq '.clients[] | select(.status == "valid")'

# Get connected clients as JSON
./openvpn-install.sh server status --format json

الفوائد:

- إعداد أبسط: لا حاجة لبنية تحتية لـ CA
- أسهل للفهم: مشابه لنموذج `known_hosts` في SSH
- مثالي للإعدادات الصغيرة: الشبكات المنزلية، المختبرات، الفرق الصغيرة

كيف يعمل:

1. يُنشئ الخادم شهادة موقعة ذاتيًا ويخزن بصمتها
2. يُنشئ كل عميل شهادة موقعة ذاتيًا
3. تُضاف بصمات العملاء إلى كتلة `<peer-fingerprint>` الخاصة بالخادم
4. يتحقق العملاء من الخادم باستخدام بصمة الخادم
5. يزيل الإبطال البصمة من إعداد الخادم (لا حاجة إلى CRL)

المقايضة: إبطال عميل يتطلب إعادة تحميل OpenVPN (البصمات موجودة في server.conf). في وضع PKI، يُعاد قراءة ملف CRL تلقائيًا عند الاتصالات الجديدة.

### قناة البيانات

> [!NOTE]
> تغيّر تشفير قناة البيانات الافتراضي في OpenVPN 2.5. الإصدارات السابقة كانت تستخدم `BF-CBC` افتراضيًا، بينما OpenVPN 2.5+ يستخدم افتراضيًا `AES-256-GCM:AES-128-GCM`. يتضمن OpenVPN 2.6+ أيضًا `CHACHA20-POLY1305` في قائمة التشفيرات الافتراضية عند توفره.

افتراضيًا، استخدم OpenVPN 2.4 والإصدارات الأقدم `BF-CBC` كتشفير لقناة البيانات. Blowfish خوارزمية قديمة (1993) وضعيفة. حتى التوثيق الرسمي لـ OpenVPN يعترف بذلك.

> الافتراضي هو BF-CBC، وهو اختصار لـ Blowfish في وضع Cipher Block Chaining.
>
> لم يعد يُنصح باستخدام BF-CBC بسبب حجم الكتلة البالغ 64 بت. هذا الحجم الصغير يسمح بهجمات تعتمد على التصادمات، كما أوضحت SWEET32. انظر <https://community.openvpn.net/openvpn/wiki/SWEET32> للتفاصيل.
> باحثو الأمن في INRIA نشروا هجومًا على تشفيرات الكتل ذات 64 بت، مثل 3DES وBlowfish. أظهروا أنهم قادرون على استعادة النص الصريح عندما يتم إرسال نفس البيانات بشكل متكرر كافٍ، وأظهروا كيف يمكنهم استخدام ثغرات البرمجة النصية عبر المواقع (XSS) لإرسال البيانات محل الاهتمام بشكل متكرر كافٍ. يعمل هذا عبر HTTPS، ويعمل أيضًا عبر HTTP-over-OpenVPN. انظر <https://sweet32.info/> للحصول على شرح أفضل وأكثر تفصيلًا.
>
> يتأثر تشفير OpenVPN الافتراضي BF-CBC بهذا الهجوم.

في الواقع، AES هو المعيار اليوم. إنه أسرع وأكثر التشفيرات أمانًا المتاحة اليوم. [SEED](https://en.wikipedia.org/wiki/SEED) و[Camellia](https://github.com/angristan/openvpn-install/blob/master/%3Chttps%3A/en.wikipedia.org/wiki/Camellia_%28cipher)>) غير معرضين للخطر حتى الآن لكنهما أبطأ من AES وأقل موثوقية نسبيًا.

> من بين التشفيرات المدعومة حاليًا، يوصي OpenVPN حاليًا باستخدام AES-256-CBC أو AES-128-CBC. OpenVPN 2.4 والأحدث سيدعم أيضًا GCM. بالنسبة للإصدار 2.4+، نوصي باستخدام AES-256-GCM أو AES-128-GCM.

AES-256 أبطأ بنسبة 40% من AES-128، ولا يوجد أي سبب حقيقي لاستخدام مفتاح 256 بت بدلاً من مفتاح 128 بت مع AES. (المصدر: [1](http://security.stackexchange.com/questions/14068/why-most-people-use-256-bit-encryption-instead-of-128-bit),[2](http://security.stackexchange.com/questions/6141/amount-of-simple-operations-that-is-safely-out-of-reach-for-all-humanity/6149#6149)). علاوة على ذلك، AES-256 أكثر عرضة [لهجمات التوقيت](https://en.wikipedia.org/wiki/Timing_attack).

AES-GCM هو [تشفير AEAD](https://en.wikipedia.org/wiki/Authenticated_encryption)، مما يعني أنه يوفر في الوقت نفسه ضمانات السرية والسلامة والمصادقة على البيانات.

ChaCha20-Poly1305 هو تشفير AEAD آخر يوفر أمانًا مشابهًا لـ AES-GCM. إنه مفيد بشكل خاص على الأجهزة التي لا تحتوي على تسريع AES عبر العتاد (AES-NI)، مثل المعالجات الأقدم والعديد من الأجهزة القائمة على ARM، حيث يمكن أن يكون أسرع بشكل ملحوظ من AES.

يدعم السكربت التشفيرات التالية:

- `AES-128-GCM`
- `AES-192-GCM`
- `AES-256-GCM`
- `AES-128-CBC`
- `AES-192-CBC`
- `AES-256-CBC`
- `CHACHA20-POLY1305` (يتطلب OpenVPN 2.5+)

ويستخدم افتراضيًا `AES-128-GCM`.

أضاف OpenVPN 2.4 ميزة تُسمى "NCP": _معاملات التشفير القابلة للتفاوض_. هذا يعني أنه يمكنك توفير مجموعة تشفيرات كما هو الحال مع HTTPS. يتم ضبطها افتراضيًا على `AES-256-GCM:AES-128-GCM` وتتجاوز معامل `--cipher` عند استخدامها مع عميل OpenVPN 2.4. من أجل البساطة، يضبط السكربت `--cipher` (احتياطي للعملاء غير الداعمين لـ NCP)، و`--data-ciphers` (التسمية الحديثة في OpenVPN 2.5+)، و`--ncp-ciphers` (اسم مستعار قديم للتوافق مع OpenVPN 2.4) على التشفير المختار أعلاه.

### قناة التحكم

سيتفاوض OpenVPN 2.4 افتراضيًا على أفضل تشفير متاح (مثل ECDHE+AES-256-GCM)

#### تشفيرات TLS 1.2 (`--tls-cipher`)

يقترح السكربت الخيارات التالية، اعتمادًا على الشهادة:

- ECDSA:
  - `TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256`
  - `TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384`
  - `TLS-ECDHE-ECDSA-WITH-CHACHA20-POLY1305-SHA256` (يتطلب OpenVPN 2.5+)
- RSA:
  - `TLS-ECDHE-RSA-WITH-AES-128-GCM-SHA256`
  - `TLS-ECDHE-RSA-WITH-AES-256-GCM-SHA384`
  - `TLS-ECDHE-RSA-WITH-CHACHA20-POLY1305-SHA256` (يتطلب OpenVPN 2.5+)

يستخدم افتراضيًا `TLS-ECDHE-*-WITH-AES-128-GCM-SHA256`.

#### تشفيرات TLS 1.3 (`--tls-ciphersuites`)

عند التفاوض على TLS 1.3، تُستخدم مجموعة منفصلة من حزم التشفير. يتم تكوينها عبر `--tls-ciphersuites` وتستخدم اصطلاحات تسمية OpenSSL:

- `TLS_AES_256_GCM_SHA384`
- `TLS_AES_128_GCM_SHA256`
- `TLS_CHACHA20_POLY1305_SHA256`

افتراضيًا، يتم تمكين جميع حزم التشفير الثلاث. حزم تشفير TLS 1.3 أبسط لأنها لا تتضمن خوارزمية تبادل المفاتيح (التي يتم التفاوض عليها بشكل منفصل عبر مشاركات المفاتيح).

### تبادل المفاتيح

كان OpenVPN يعتمد تاريخيًا على معاملات DH بحجم 2048 بت لتبادل المفاتيح. اعتاد هذا السكربت على تقديم كل من DH (بأحجام مفاتيح قابلة للتكوين) و ECDH كبدائل.

أضاف OpenVPN 2.4 دعم ECDH، وجعل OpenVPN 2.7 `dh none` (ECDH) هو الافتراضي، نظرًا لأن DH ذات المجال المحدود قيد الإهمال. وبما أن ECDH أصبح مدعومًا ومفضلًا عالميًا الآن، لم يعد هذا السكربت يقدم DH التقليدي.

يقوم السكربت بتكوين `tls-groups` باستخدام قائمة التفضيلات التالية:```
X25519:prime256v1:secp384r1:secp521r1