الاستضافة الذاتية لسطح المكتب البعيد: الدليل الصادق 2026

ابحث عن "self-hosted remote desktop" وستجد عشرات البرامج التعليمية التي تتوقف عند docker compose up -d. التثبيت هو الجزء السهل، ويستغرق حقًا 30 دقيقة. هذا الدليل يشرح العملية كاملة — ثم يغطي الجزء الذي يقرر ما إذا كان ينبغي عليك فعل ذلك أصلاً: كم يكلف تشغيله بعد انتهاء الشرح.

الإجابة المختصرة

استضف ذاتيًا عندما يجبرك مطلب على ذلك. استخدم موجهًا مدارًا عندما لا توجد حاجة. قد يبدو ذلك إجمالياً، فإليك الاختبار الفعلي:

• استضف ذاتيًا إذا: التزام امتثالي مكتوب ينص على أن حركة الجلسات لا يجب أن تمر عبر بنية طرف ثالث؛ أو تدير شبكات مفصولة هوائيًا أو مقيدة بحيث لا يمكن الوصول إلى موجه خارجي؛ أو تقيد قواعد مكانية البيانات بمنطقة اختصاص يجب البقاء داخلها.
• استخدم موجهًا مدارًا إذا: سببك أي نسخة من "أفضل أن أشغله بنفسي." هذا تفضيل حقيقي، ولكنه أيضًا مهمة تشغيل دائمة — اطلع على الفاتورة أدناه قبل أن تلتزم بها.

من المفيد توضيح ما تختاره، لأنه ليس منتجين مختلفين. Tenvo مرخص بموجب AGPL-3.0 والموجه المدار يشغّل نفس بنية hbbs/hbbr التي يثبتها هذا الدليل. الاختيار هو من يدير الخادم، وليس ما تفعله البرمجية.

أولاً: ما الذي يمكن للموجه رؤيته فعلاً

هذا مهم قبل أي شيء، لأنه عادةً سبب لجوء الناس للاستضافة الذاتية في المقام الأول — وغالبًا ما يتم وصفه خطأ.

في اتصال نظير-لنظير مباشر، تكون الجلسة مُشفرة من طرف إلى طرف بين الجهازين. عندما لا يمكن إقامة اتصال مباشر — NAT متماثل، جدران حماية شركة صارمة — تُعاد توجيه الجلسة عبر الموجه، وينتهي TLS عند الموجه. من يدير ذلك الموجه يكون في موقف يسمح له برؤية حركة المرور الممررة. لن نزوّدك بمعلومات مخالفة عن موجهاتنا.

هذه خاصية للبروتوكول، وليست خاصة بمن يدفع ثمن الخادم. تشغيل الموجه بنفسك لا يشفر شيئًا كان موجه بائع سيشفّره؛ ما يتغير هو من يشغل ذلك الموقع. إذا كان جوابك على "من المسموح له شغل هذا الموقع" مكتوبًا في التزام امتثالي، فالاستضافة الذاتية هي الإجابة الصحيحة وهذا الدليل مخصّص لك. إذا لم يكن مكتوبًا في أي مكان، فأنت تتولى مهمة تشغيل لحل مشكلة غير موجودة لديك.

ما الذي تبنيه

خدمتان:

• hbbs (خادم التلاقي): يتعامل مع المصافحة الأولية. كلا العميلين يتصلان به لفترة قصيرة لاكتشاف بعضهما، تبادل المفاتيح العامة، ومعرفة ما إذا كان P2P مباشر ممكنًا. يستمع على TCP/UDP 21115-21117.
• hbbr (خادم الموجه): ينقل الجلسة عندما يفشل P2P المباشر. يستمع على TCP 21117 (و UDP في بعض السيناريوهات).

الموجه ينشط فقط عندما لا يعمل P2P — شائع على NAT المستهلك، ونادر على إعداد نفس الشبكة المحلية. لذا حتى عند الاستضافة الذاتية، تدفع عرض نطاق VPS فقط للجلسات التي تحتاج فعلاً إلى التوجيه.

الخطوة 1: اختر VPS

عرض النطاق هو المورد المهم. المعالج والذاكرة ضئيلتان، لأن الموجه يعيد توجيه الحزم بدلًا من معالجتها.

• Hetzner CX22 (€4/mo, 2 vCPU, 4 GB RAM, 20 TB bandwidth, EU data centres) — أفضل نسبة سعر إلى عرض نطاق.
• DigitalOcean Basic Droplet ($6/mo, 1 vCPU, 1 GB, 1 TB bandwidth) — تجربة مستخدم جيدة، مناطق US/EU.
• OVH VPS Starter (€3.50/mo, 2 vCPU, 2 GB, unmetered bandwidth) — الأفضل لسيناريوهات عرض النطاق العالي.

اختر منطقة قريبة من العملاء الذين سيتصلون. حركة مرور الموجه مقيدة بزمن الرحلة ذهابًا وإيابًا، لذا هذا هو أداة التحكم الأكبر لديك على الكمون الملحوظ — وكما سنغطي أدناه، هو الشيء الذي يفشل به VPS واحد في الأفضلية.

الخطوة 2: جهّز الخادم

شغّل VPS جديد بنظام Ubuntu 22.04 أو Debian 12. اتصل عبر SSH كـ root.

# Update + harden basics
apt update && apt upgrade -y
apt install -y ufw fail2ban docker.io docker-compose-plugin
ufw allow 22/tcp     # SSH
ufw allow 21115:21119/tcp
ufw allow 21115:21119/udp
ufw enable
systemctl enable --now docker

لا تتخطى الجدار الناري. الإعداد الافتراضي يفتح المنافذ المطلوبة فقط؛ يجب قفل كل شيء آخر.

الخطوة 3: شغّل hbbs + hbbr عبر Docker

أنشئ /opt/tenvo-relay/docker-compose.yml:

services:
  hbbs:
    image: rustdesk/rustdesk-server:latest
    container_name: hbbs
    restart: unless-stopped
    ports:
      - "21115:21115/tcp"
      - "21116:21116/tcp"
      - "21116:21116/udp"
      - "21118:21118/tcp"
    command: hbbs -r your-server.example.com:21117
    volumes:
      - ./data:/root
  hbbr:
    image: rustdesk/rustdesk-server:latest
    container_name: hbbr
    restart: unless-stopped
    ports:
      - "21117:21117/tcp"
      - "21119:21119/tcp"
    command: hbbr
    volumes:
      - ./data:/root

استبدل your-server.example.com بالاسم المضيف الفعلي، ثم شغّله:

cd /opt/tenvo-relay
mkdir -p data
docker compose up -d
docker compose logs --tail 20

يطبع hbbs مفتاحًا عامًا عند التشغيل الأول. احفظه من السجلات (id_ed25519.pub في مجلد البيانات) — يستخدمه العملاء للتحقق من أنهم يتصلون بموجهك وليس ببديل محتال.

الخطوة 4: اضبط DNS

وجّه سجل A لـ relay.yourdomain.com إلى عنوان IP الخاص بـ VPS. يمكن استخدام IP مباشر أيضًا، لكن اسم مضيف أسهل عند ترحيل الخادم لاحقًا.

الخطوة 5: وجّه العملاء إلى الموجه

الجزء الذي تتجاهله معظم الأدلة. يحتاج كل عميل إلى ثلاث قيم:

• خادم المعرف = relay.yourdomain.com:21116
• خادم الموجه = relay.yourdomain.com:21117
• المفتاح العام = محتوى data/id_ed25519.pub من VPS الخاص بك

على Windows و macOS و Linux:

1. افتح عميل Tenvo أو RustDesk.
2. الإعدادات → الشبكة → خادم المعرف/الموجه.
3. أدخل القيم الثلاث أعلاه واحفظ.
4. أعد تشغيل العميل.

يجب أن يتحول مؤشر الحالة إلى أخضر خلال ثوانٍ قليلة. إن بقي أحمر، فتحقق من قواعد الجدار الناري وأن المفتاح العام يطابق حرفيًا — السطر الجديد الزائد هو السبب الشائع.

الخطوة 6: أضِف TLS

ضع وكيلًا عكسيًا أمام منافذ الموجه. Caddy هو أقصر طريق:

relay.yourdomain.com {
    reverse_proxy /ws/* localhost:21118
    reverse_proxy * localhost:21115
}

يقوم Caddy بإصدار شهادة Let's Encrypt وتجديدها نيابةً عنك. حدّث العملاء لاستخدام المنفذ 443 مع تفعيل TLS — مما يدخلك أيضًا عبر جدران حماية خروج مقيدة تسمح فقط بالمنفذ 443.

الخطوة 7: نسخ المفاتيح احتياطيًا

مجلد data/ يحتوي على زوج مفاتيح خادم التلاقي. إن فقدته، سيتعين إعادة تكوين كل عميل بمفتاح عام جديد — يدويًا، على كل جهاز.

# Local backup
rsync -avz vps:/opt/tenvo-relay/data/ ~/tenvo-relay-backup-$(date +%Y%m%d)/
# OR copy the two key files
scp vps:/opt/tenvo-relay/data/id_ed25519* ~/tenvo-keys/

خزّن النسخة احتياطيًا وضعها خارج الإنترنت. إذا تعرض VPS للاختراق يمكنك إعادة الإنشاء على صندوق جديد بنفس المفاتيح، حتى تستمر العملاء بالعمل بدون تغيير.

حالات الفشل التي تتجاهلها الدروس

العملاء لا يمكنهم الوصول إلى الموجه. في الغالب الجدار الناري. تحقق من ufw status، وتأكد أن مجموعة الأمان لمزود السحابة تسمح بالمنافذ نفسها، وشغّل nc -vz relay.yourdomain.com 21116 من عميل لتأكيد الوصول.

الكل يعود للاعتماد على الموجه. NAT المتماثل وجدران حماية الشركات الصارمة تجبر كل جلسة على المرور عبر الموجه. الأداء يظل مقبولًا، لكن فاتورة عرض النطاق تصبح القصة كلها بدل الاستثناء.

الموجه يموت ولا يعود. خاصية Docker restart: unless-stopped تغطي الحالات الشائعة. لكنها لا تغطي قرص ممتلئ بالكامل، أو قتل OOM، أو انهيار نواة — لهذه الحالات تحتاج مراقبة تنبه شخصًا، وذلك الشخص هو أنت.

انتهت صلاحية الشهادة. تلقائي مع Caddy. مع nginx + certbot هو مهمة مجدولة عبر cron عليك تذكّر أنك المسؤول عنها؛ certbot.eff.org يحتوي على الدليل الرسمي.

الفاتورة التي لا تُظهرها الدروس

VPS بقيمة €4 هو أقل سطر في الفاتورة، والاقتباس منه باعتباره تكلفة الاستضافة الذاتية هو نفس الخدعة كاقتباس سعر شراء سيارة كتكلفة القيادة. الباقي:

• أنت على دراجة الاتصال لموجهك. عندما يتوقف عند الساعة 2 صباحًا، الوصول عن بُعد هو ما لن تملكه لإصلاحه.
• ترقيع نظام التشغيل، إلى الأبد. صندوق معرض للإنترنت هو صندوق مسؤول عن بقائه محدثًا.
• حيازة المفاتيح. فقدان data/ يجرّ إعادة تكوين كل عميل يدويًا. هذه النسخة الاحتياطية هي الآن شيء يجب أن تتحقق منه فعليًا، لا مجرد جدول زمني.
• تجديد الشهادات. تلقائي حتى اليوم الذي لا يكون كذلك.
• منطقة واحدة، صندوق واحد. VPS واحد موقع واحد ولا يوجد تبديل احتياطي. العملاء على الجانب البعيد من العالم يدفعون ثمن ذلك بالكمون؛ إذا تعطل الصندوق، الجميع يتأثرون.

عرض النطاق هو التكلفة الوحيدة السهلة التقدير فعلاً. أرقام تقريبية لكل ساعة جلسة ممرّرة:

• جودة منخفضة، عمل نصّي بكثرة: ~50 KB/s = 180 MB/الساعة
• متوسطة، عمل مكتبي عام: ~200 KB/s = 720 MB/الساعة
• عالية، فيديو وعمل تصميم: ~1 MB/s = 3.6 GB/الساعة

سعة 20 TB/شهريًا في Hetzner CX22 تغطي نحو 5,500 ساعة من جلسات عالية الجودة الممرّرة. للفرد أو فريق صغير، ذلك الحد نادرًا ما يكون القيد المُقيد — وهذه هي الفكرة بالضبط. إذا كان عرض النطاق هو سبب استضافتك الذاتية، فهو سبب غير مقنع. القيود الحقيقية هي البنود الأربعة المذكورة أعلاه.

ما الذي يفعله الموجه المدار بدلًا من ذلك

نفس البنية، مشغل مختلف. أسطول الموجهات متعدد المناطق بدلًا من VPS واحد، لذا يتصل العملاء بشيء قريب منهم بدلًا من قريب منك. يخضع للمراقبة من قِبل أشخاص هذه وظيفتهم. توقيف المفاتيح، الترقيع وتجديد الشهادات يتوقف أن يكون مشكلتك. عندما ينهار شيء عند 2 صباحًا، الشخص الذي يتلقى الإنذار ليس أنت.

هذا ما تشتريه الاشتراك: Free عند $0، Lite عند $2.99/mo، Pro عند $7.99/mo — راجع pricing لمعرفة ما في كل طبقة، أو the business plans إذا كنت تنشر عبر فريق. مقابل VPS بقيمة €4 بالإضافة إلى جدولك الخاص بالمداومة، الحسابات عادةً لا تميل لصالح الاستضافة الذاتية لمعظم الناس.

متى تكون الاستضافة الذاتية الخيار الصحيح فعلاً

هي الخيار الصحيح عندما ينص التزام على ذلك: عمل منظّم حيث لا يجوز أن تعبر الحركة بنية طرف ثالث، شبكات مفصولة هوائيًا أو مقيدة حيث لا يمكن الوصول إلى موجه خارجي، أو قواعد مكانية تقيدك إلى ولاية اختصاص. في تلك الحالات تكون تكلفة التشغيل ليست عبئًا إضافيًا، بل مطلبًا، وهذا الدليل هو ما تحتاجه بالضبط.

كما أن وجود الخيار مهم بحد ذاته. Tenvo مرخصة بموجب AGPL-3.0 وكومة الخوادم مفتوحة المصدر، لذا الموجه المدار هو خدمة تشتريها لا قفلٍ تقبله. إذا توقفنا يومًا عن كوننا مفيدين، فالمخرج هو الدليل أعلاه — هذه هي فكرة نشره. انظر كيف تقارن النسخة المدارَة بـ plain RustDesk، أو كيف يعمل نموذج الأمان.

الخلاصة

1. VPS في المنطقة الأقرب إلى عملائك.
2. Docker، UFW، وحاويات hbbs/hbbr.
3. سجل DNS A يشير إلى VPS.
4. ثلاث قيم تكوين على كل عميل: خادم المعرف، خادم الموجه، المفتاح العام.
5. نسخة احتياطية غير متصلة من data/ قمت فعليًا باستعادتها مرة واحدة على الأقل.
6. TLS عبر Caddy، ومراقبة تنبّهك عند الحاجة.

ثلاثون دقيقة للتشغيل؛ ملكية مستمرة إلى أجل غير مسمى. إذا وضعك مطلب في ذلك المقعد، فإن الخطوات أعلاه هي المهمة كلها. إن لم يكن هناك مطلب، ابدأ بالموجه المدار — حمّل العميل، وارجع إلى هذه الصفحة عندما يصبح نموذج الامتثال ذا صلة.