الاستضافة الذاتية لسطح المكتب البعيد على VPS بقيمة $5

يستعرض هذا الدليل إعدادًا عمليًا لاستضافة سطح مكتب بعيد على VPS بنفسك (“self host remote desktop vps”) يمكنك تشغيله على VPS بقيمة $5 — مفاتيح SSH، جدار ناري، WireGuard، TLS. أولًا، الاختبار الصريح: استضِف بنفسك فقط عندما يجبرك متطلب على ذلك — التزام امتثال مكتوب، شبكة معزولة، أو قاعدة إقامة بيانات. إذا لم يجبرك شيء، فسيكون الريلاي المُدار أرخص عندما تحسب الفاتورة كاملة: المناوبة عند الاستدعاء، التحديثات، حفظ المفاتيح، تجديد الشهادات، منطقة واحدة ولا قدرة على الانتقال عند الفشل. الحساب الكامل موجود في Self-hosted remote desktop: the honest 2026 guide.

لماذا يعد VPS بقيمة $5 نقطة انطلاق منطقية

لحالات استخدام سطح المكتب البعيد (مستخدم واحد، جلسات متقطعة)، غالباً ما يكفي خادم VPS منخفض المواصفات. خطط بقيمة ~ $5 شائعة (مثلاً 1 vCPU / 1GB RAM / 25GB SSD) لدى موفّرين مثل DigitalOcean، Vultr أو Linode تتعامل مع جلسة متزامنة واحدة، وكلاء خوادم بدون واجهة، ومرحّل أو VPN خفيف الوزن.

يستخدم هذا الدليل Ubuntu 22.04 LTS (مستقر ومدعوم على نطاق واسع) ويفترض أن الـ VPS سيكون قابلاً للوصول عبر الإنترنت العام. إذا كانت احتياجاتك تشمل GPU، أو بث عالي الإطارات على عدة شاشات، أو العديد من المستخدمين المتزامنين، فستحتاج إلى خطة أكبر — محطة عمل مخصصة للعبء الكبير، والريلاي المُدار من Tenvo للاتصال، حتى لا يصبح صندوق $5 واحد في منطقة واحدة عنق الزجاجة.

الخطة: ما ستشغله والمنافذ المتوقعة

البنية الدنيا هنا:

• VPS (Ubuntu 22.04) بعنوان IP عام
• SSH للإدارة (مفاتيح فقط)
• WireGuard كنفق آمن (اختياري لكن موصى به)
• خادم سطح المكتب البعيد (سنستخدم Tenvo كمثال لوكيل) يعمل كخدمة systemd
• نطاق اختياري + TLS من Let's Encrypt و nginx كعكس بروكسي لعملاء الويب

الاستهلاك المتوقع للموارد: سيبقى الوكيل وVPN تحت 500MB من الذاكرة عند الخمول؛ عرض النطاق الترددي أثناء جلسة نشطة يركض بنحو 50 KB/s (180 MB/ساعة) للعمل الغالب عليه نص، ~200 KB/s (720 MB/ساعة) للاستخدام المكتبي العام، وحوالي ~1 MB/s (3.6 GB/ساعة) للعمل على الفيديو أو التصميم — تقريبًا 0.4–8 Mbps اعتمادًا على الكوديك ونشاط الشاشة. الميزانية: $5/month VPS + domain (~$10/year) إذا كنت تريد TLS. إذا فضلت عدم وجود منافذ عامة، فانظر Remote Desktop Without Port Forwarding Explained.

الخطوة 1 — تجهيز VPS وتأمين الوصول

أنشئ VPS بقيمة $5 يعمل بنظام Ubuntu 22.04. عند إنشاء النسخة اختر مصادقة SSH بالمفتاح (يمكنك إضافة المفتاح العام في وحدة تحكم الموفر). تقدم أمثلة الموفرين خططاً مشابهة: DigitalOcean 1GB/1vCPU ($5)، Vultr 1GB ($5)، Linode Nanode ($5). تختلف SKU بالاسم لكن مواصفات الشبكة والمعالج متقاربة.

أوامر التقوية الأساسية (شغّلها بصلاحيات root أو كمستخدم sudo):

apt update && apt upgrade -y
adduser adminuser
usermod -aG sudo adminuser
ufw allow OpenSSH
ufw enable

حرّر /etc/ssh/sshd_config لتعطيل مصادقة كلمة المرور وتسجيل دخول الجذر (ضع PasswordAuthentication no و PermitRootLogin no). أعد تشغيل SSH: systemctl restart sshd. هذا يمنع محاولات القوة العمياء ضد VPS الخاص بك.

الخطوة 2 — جدار الحماية، fail2ban، وحدود المعدل

ufw allow 22/tcp          # SSH
ufw allow 51820/udp       # WireGuard (if used)
ufw allow 8443/tcp        # optional remote desktop web port
ufw enable

ثبّت fail2ban لقطع المحاولات المتكررة وتقليل الضوضاء: apt install -y fail2ban. استخدم jail الافتراضي لـ sshd واضبط أوقات الحظر بحسب مستوى المخاطر الذي تتحمّله.

الخطوة 3 — خيارات الشبكات الآمنة: منافذ مباشرة، VPN، أو مرحل عكسي

ثلاثة نماذج شبكية عملية:

• فتح منفذ إلى الإنترنت: الأبسط لكنه يزيد سطح الهجوم. استخدم TLS ومصادقة قوية إذا كشفت منفذ تطبيق.
• نفق WireGuard: الخيار الأكثر أمانًا وبساطة إذا كنت تُشغّل الصندوق بنفسك. أنشئ شبكة خاصة بين جهاز العميل والـ VPS؛ يكون فقط منفذ WireGuard هو العام.
• Relay/Reverse-connect: يقوم العميل بإنشاء اتصال صادر إلى خادم لقاء (rendezvous)، لذلك لا تحتاج أي منافذ واردة على أي طرف — مفيد خلف NAT وبدون VPN. هذا ما يقوم به الريلاي المُدار من Tenvo، على أسطول متعدد المناطق بدلًا من VPS واحد. لاحظ أنه عندما تتراجع الجلسة لاستخدام الريلاي، تنتهي جلسة TLS هناك، لذا من يدير الريلاي في موقف يمكنه رؤية ذلك المرور — سواء كان مرورك أو مرورنا. خلفية عن النمط: Self-Hosted Remote Desktop: Why, How, and What Breaks.

بدء سريع لـ WireGuard (الخادم على VPS):

apt install -y wireguard iproute2
wg genkey | tee /etc/wireguard/server_private.key | wg pubkey > /etc/wireguard/server_public.key
# create /etc/wireguard/wg0.conf and include keys + peers
systemctl enable --now wg-quick@wg0

تفاصيل إعداد WireGuard تعتمد على منصة العميل؛ هناك العديد من الشروحات وتطبيقات العميل لـ Linux و macOS و Windows و Android و iOS. استخدام WireGuard يعني أن ترافيك سطح المكتب البعيد يمرّ مباشرة عبر نفق مشفّر — ولا يحتاج جهاز العميل إلى منفذ تطبيقي عام.

الخطوة 4 — تثبيت خادم سطح المكتب البعيد (مثال Tenvo)

كن دقيقًا فيما تضعه على الـ VPS: ليس عميل سطح مكتب، بل زوج اللقاء والريلاي — hbbs و hbbr — اللذان يروّجان لمصافحة الاتصال ويحملان الجلسة عندما لا يمكن إجراء اتصال مباشر. Tenvo مرخّص تحت AGPL-3.0 ويشغّل نفس الستاكس، لذا يمكنك استضافته بنفسك؛ التثبيت العامل عبر Docker، المنافذ، المفاتيح وتكوين العميل مذكورة خطوة بخطوة في Self-hosted remote desktop: the honest 2026 guide. عملاء سطح المكتب أنفسهم متاحون من صفحة التنزيل. مخطط systemd أدناه هو نمط عام لأي خدمة تختار تشغيلها.

مثال: تثبيت وكيل عام كخدمة systemd (استبدل الباينري والعلامات بالوكيل الذي تختاره):

mkdir -p /opt/remote-relay
# scp or wget your chosen server binary to /opt/remote-relay/relay-server
chown root:root /opt/remote-relay/relay-server
chmod +x /opt/remote-relay/relay-server

cat >/etc/systemd/system/remote-relay.service <<'EOF'
[Unit]
Description=Remote desktop relay
After=network.target

[Service]
ExecStart=/opt/remote-relay/relay-server
Restart=on-failure

[Install]
WantedBy=multi-user.target
EOF

systemctl daemon-reload
systemctl enable --now remote-relay.service

أعد تكوين الوكيل بمفتاح قوي أو كلمة مرور وإذا كان مدعوماً قيد وصول مفاتيح العملاء المسموح بها. إذا استخدمت WireGuard، اضبط الوكيل ليرتبط بواجهة WireGuard أو بعنوان loopback حتى لا يكون قابلاً للوصول عبر الـ IP العام.

TLS، النطاق، والعكس بروكسي (اختياري)

إذا كان لديك عميل يعتمد على الويب (أو واجهة إدارية)، ضع nginx أمامه واستخدم Let's Encrypt لـ TLS. أوامر certbot العملية على Ubuntu 22.04:

apt install -y nginx certbot python3-certbot-nginx
# create nginx site for example.com and proxy_pass to localhost:8443
certbot --nginx -d example.com

احرص على إبقاء مهمة تجديد الشهادة التلقائيّة فعّالة (certbot يقوم بإعداد ذلك). إذا استخدمت نطاقاً، وجه سجل A إلى IP VPS الخاص بك واستخدم النطاق في إعدادات العميل. TLS يحمى واجهات الويب والعملاء في المتصفح؛ لكنه لا يغني عن مصادقة قوية على الوكيل.

الاختبار والتحقق

فحوصات أساسية:

• SSH: حاول تسجيل دخول بكلمة مرور — يجب أن يفشل.
• WireGuard: شغّل العميل وجرّب ping إلى عنوان WireGuard الخاص بالـ VPS.
• العميل: اتصل من جهازك إلى الوكيل عبر واجهة WireGuard أو نقطة نهاية TLS؛ تحقق من الكمون وجودة الصوت/الفيديو.
• السجلات: راجع journalctl -u remote-relay -f (أيا كان اسم الوحدة التي أنشأتها أعلاه) و/var/log/nginx/error.log أثناء الاتصال.

قِس عرض النطاق الترددي وCPU أثناء الجلسة. إذا لاحظت استخدام CPU مرتفعاً على الـ VPS، خفّض جودة الترميز أو معدل الإطارات، أو انقل وسيط الجلسة إلى نسخة أقوى.

الصيانة: التحديثات، النسخ الاحتياطية، والمراقبة

جدول تحديثات نظام التشغيل وأعد التشغيل في فترات منخفضة الاستخدام. استخدم unattended-upgrades لتلقّي تحديثات الأمان لكن اختبر التحديثات الكبرى يدوياً. التقط snapshot لقرص الـ VPS عبر موفر الخدمة قبل تغييرات محفوفة بالمخاطر وخزن نسخة خارج الموقع للاستعادة.

نصائح للمراقبة: فعّل المراقبة الأساسية في وحدة تحكم الموفر (معظمها يعرض CPU و النطاق والقرص) وفكّر بإعداد تنبيه بسيط (بريد إلكتروني عند امتلاء القرص أو ارتفاع CPU). دوّر مفاتيح SSH سنوياً وابطِل أي مفاتيح مفقودة فوراً.

متى لا يكون هذا الخيار مناسباً

الاستضافة الذاتية على VPS بقيمة $5 مناسبة كصندوق مختبر، أو عندما يتركك متطلب بدون خيار. للاستخدام الشخصي والفرق الصغيرة عادة ما تكون الخيار الأغلى بمجرد احتساب وقتك على الفاتورة. كما أنها ليست الخيار الصحيح إذا كنت بحاجة إلى:

• زمن استجابة منخفض لعملاء موزعين عبر مناطق، أو أي نوع من الفشل القابل للتعافي — صندوق واحد بقيمة $5 يعني موقعًا واحدًا وصندوقًا واحدًا. يُشغل الريلاي المُدار من Tenvo نفس مجموعة hbbs/hbbr على أسطول متعدد المناطق: Free $0, Lite $2.99/شهر, Pro $7.99/شهر، مقابل $5 للـ VPS بالإضافة إلى مناوبة الاتصال والتحديثات وتجديد الشهادات التي تتحملها بنفسك. بالنسبة لفريق، انظر خطط الأعمال.
• بث مع تسريع GPU أو العديد من المستخدمين المتزامنين — تلك الحالات تحتاج إلى مثيلات أكبر أو عتاد مخصّص.

لقراء يهمهم الأمان، اقرأ أيضًا مقالتنا الأعمق حول تأمين الوصول البعيد: Remote Desktop Security: What You Need to Know. للحساب الكامل للمقارنة بين الاستضافة الذاتية والمستضافة — النطاق الترددي، المناوبة عند الاستدعاء، حفظ المفاتيح، تجديد الشهادات — راجع Self-hosted remote desktop: the honest 2026 guide.

الخلاصة والخطوات التالية

من الناحية الفنية هذا واضح ومباشر: استخدم مفاتيح SSH، قُم بتأمين الصندوق بجدار ناري، فضّل WireGuard لكي تتعرض منافذ تطبيقات أقل، وشغّل الخدمة تحت systemd. ما لا تُظهِره الخطوات أعلاه هو التكلفة المستمرة — أنت من يدخل في مناوبة الاتصال، جدول التحديثات، حفظ المفاتيح وتجديد الشهادات، على صندوق واحد في منطقة واحدة دون بديل عند الفشل. يستحق ذلك عندما تفرضه التزامات امتثال أو شبكة معزولة أو قاعدة إقامة؛ ليس مستحقًا خلاف ذلك.

إذن: إذا كان هنالك متطلب يلزمك بالاستضافة الذاتية، شغّل VPS بقيمة $5، اتبع الخطوات أعلاه، واستخدم Self-hosted remote desktop: the honest 2026 guide لتثبيت hbbs/hbbr العامل وملف تفصيل تكاليف التشغيل الكامل. إذا لم يُلزمك شيء، فتجاوز الصندوق: حمّل العميل وابدأ على الريلاي المُدار — Free $0, Lite $2.99/شهر, Pro $7.99/شهر في الأسعار, أو خطط الأعمال لفريق.