> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# أمن الشبكات اللاسلكية: WPA3 وفصل الضيوف وإيقاف WPS
- URL: https://arabroot.io/articles/امن-الشبكات-اللاسلكية-wpa3-وفصل-شبكة-الضيوف-وايقاف-wps/
- Published: 2026-10-26T22:33:37.000Z
- Updated: 2026-10-26T23:33:55.000Z
- Description: دليل الإعدادات الدفاعية في أي راوتر: تشفير WPA3 وكلمة مرور قوية، وفصل شبكة الضيوف وأجهزة إنترنت الأشياء، وإيقاف ميزة WPS الخطرة.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, الاستضافة الذاتية

مررنا في هذه السلسلة بجانبي أمن الشبكة اللاسلكية: رأينا في مقال Aircrack-ng كيف تسقط كلمة مرور ضعيفة في ثوان، وفي مقال Kismet كيف تكتشف جهازا دخيلا، وفي مقال FreeRADIUS كيف تعطي كل موظف حسابا. وصاحب متجر القهوة الذي رافقنا يسأل الآن السؤال العملي الذي يسبق كل ذلك: «ما الإعدادات التي أضبطها في الراوتر اليوم لأحمي شبكتي؟». فهو لا يملك سيرفر RADIUS ولا مستشعر Kismet، وإنما راوترا واحدا وواجهة إعدادات، ويريد أن يعرف ماذا يغير فيها. وهذا حال أغلب المتاجر والمكاتب الصغيرة، فالحلول الكبيرة مهمة ولكنها خطوة لاحقة، والخطوة الأولى التي لا غنى عنها هي ضبط ما بين يديك صحيحا.

والجميل في هذه الإعدادات أنها لا تكلف شيئا ولا تحتاج شراء جهاز، فهي كلها موجودة في راوترك الآن، تنتظر أن تضبطها. والمؤلم أن أغلب الشبكات تبقى على إعداداتها الافتراضية لسنوات، لأن الجميع يفترض أن «الراوتر يعمل» يعني «الراوتر آمن»، وبينهما فرق كبير. فالراوتر يخرج من المصنع مضبوطا على السهولة لا على الأمان: ميزة التوصيل السهل مفعلة، وكلمة مرور لوحة الإدارة معروفة، وشبكة واحدة للجميع. وتحويله إلى آمن قرار تأخذه أنت.

هذا المقال هو الجواب: دليل الإعدادات الدفاعية التي تحتاجها كل مؤسسة صغيرة في أي راوتر، قبل أن تفكر في حلول أكبر. وهو يجمع الدروس الدفاعية من كل مقالات هذه السلسلة في مكان واحد، حول ثلاث ركائز: تشفير WPA3 وكلمة مرور قوية، وفصل شبكة الضيوف، وإيقاف ميزة WPS الخطرة. والصورة التالية تبين هذه الركائز الثلاث، وكل واحدة تغلق هجوما رأيناه فعلا:

![ثلاث ركائز: WPA3 وكلمة مرور قوية، وفصل شبكة الضيوف، وإيقاف WPS](https://arabroot.io/content/images/2026/10/wifi-security-01-pillars.webp)

ثلاث ركائز في إعدادات الراوتر نفسها، كل واحدة تغلق هجوما من مقالات هذه السلسلة

[![](https://arabroot.io/content/images/2026/10/aircrack-lab-cover-cover.webp)دليلاختبار أمان شبكتك اللاسلكية بإذن مع Aircrack-ngكسرنا كلمات مرور WPA وWEP على ملفات الالتقاط الرسمية لـ Aircrack-ng، فظهر لماذا الهجوم دون اتصال، ولماذا تسقط كلمة القاموس في ثوان.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%85%D8%A7%D9%86-%D8%B4%D8%A8%D9%83%D8%AA%D9%83-%D8%A7%D9%84%D9%84%D8%A7%D8%B3%D9%84%D9%83%D9%8A%D8%A9-%D8%A8%D8%A7%D8%B0%D9%86-%D9%85%D8%B9-aircrack-ng/)[![](https://arabroot.io/content/images/2026/10/network-segmentation-cover-cover.webp)دليلتقسيم الشبكة Network Segmentation بال VLAN وال VPCلماذا تصل كاميرا مخترقة إلى قاعدة بياناتك، وكيف تمنع ذلك بتقسيم الشبكة إلى مناطق لا يمر بينها إلا ما تسمح به.](https://arabroot.io/articles/%D8%AA%D9%82%D8%B3%D9%8A%D9%85-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-network-segmentation-vlan-%D9%88-vpc/)[![](https://arabroot.io/content/images/2026/10/wifi-enterprise-radius-cover-cover.webp)دليلWi-Fi للمؤسسات بحساب لكل موظف مع FreeRADIUSبنينا سيرفر FreeRADIUS واختبرنا دخول WPA2/3-Enterprise بأداة eapol\_test، فرأينا الـ VLAN لكل موظف، وكيف أوقفت شهادة منتهية الدخول للجميع.](https://arabroot.io/articles/wi-fi-%D9%84%D9%84%D9%85%D8%A4%D8%B3%D8%B3%D8%A7%D8%AA-%D8%A8%D8%AD%D8%B3%D8%A7%D8%A8-%D9%84%D9%83%D9%84-%D9%85%D9%88%D8%B8%D9%81-%D9%85%D8%B9-freeradius/)

وسوف نناقش في هذا المقال ما يلي:

- لماذا WPA3 وليس WPA2، وما الفرق عمليا، وكيف تنتقل إذا كانت عندك أجهزة قديمة.
- كلمة المرور القوية: ما الذي يجعلها قوية فعلا أمام التخمين.
- لماذا WPS يهدم كلمة مرورك مهما طالت، وكيف تطفئه.
- فصل شبكة الضيوف وأجهزة إنترنت الأشياء، وعزل الأجهزة Client Isolation.
- تأمين الراوتر نفسه: لوحة الإدارة والتحديثات والميزات التي تطفئها.
- شبكة الضيوف المفتوحة وبوابة الدخول، ومتى تحتاجها.
- خريطة كاملة للإعدادات، وقائمة تحقق، والجانب السعودي.

## الركيزة الأولى: WPA3 وكلمة مرور قوية

التشفير هو خط الدفاع الأول، وله أجيال، والفرق بينها ليس تفصيلا تقنيا بل فرق بين شبكة تصمد وشبكة تسقط. والصورة التالية تقارن الأجيال الثلاثة:

![مقارنة بين WEP وWPA2 وWPA3 وما يكسر كل واحد](https://arabroot.io/content/images/2026/10/wifi-security-02-wpa.webp)

WEP مكسور، وWPA2 يعتمد كله على قوة كلمة المرور، وWPA3 يغلق باب التخمين

الجيل الأقدم WEP مكسور رياضيا كما رأينا في مقال Aircrack-ng، حيث سقط مفتاحه في ثانيتين بلا قائمة كلمات، فلا تستخدمه إطلاقا، وأي جهاز قديم ما زال عليه يجب استبداله أو عزله. وقد يفاجئك أنك ما زلت تجد WEP خيارا في بعض الراوترات، لا لأنه آمن بل لتوافقية مع أجهزة قديمة جدا، فلا تختره أبدا حتى لو كان متاحا. وبينهما WPA الأول وتشفير TKIP، وهما أيضا قديمان ضعيفان، فلا تستخدمهما، واترك AES الحديث فقط. والجيل الحالي الأوسع انتشارا WPA2، وهو تشفير قوي بمعيار AES، ولكن حمايته كلها معلقة على كلمة المرور، لأن المهاجم يلتقط المصافحة ويخمن عليها دون اتصال بملايين المحاولة في الثانية. أما WPA3 فيغير قواعد اللعبة.

الفرق الجوهري في WPA3 أنه يستبدل طريقة المصافحة القديمة بطريقة اسمها SAE، واسمها الكامل Simultaneous Authentication of Equals. وفكرتها أن إثبات معرفة كلمة المرور لا يترك في الهواء أي قيمة يمكن تجربة الكلمات عليها لاحقا، فكل محاولة تخمين يجب أن تمر بنقطة الوصول نفسها وتنتظر ردها. وهذا يحول الهجوم من ملايين المحاولة في الثانية على جهاز معزول، إلى محاولات معدودة بطيئة تكتشفها نقطة الوصول وتوقفها. وتقول [صفحة الأمان في Wi-Fi Alliance](https://www.wi-fi.org/discover-wi-fi/security?ref=arabroot.io) إن مستخدمي WPA3-Personal يحصلون على حماية أكبر من محاولات تخمين كلمة المرور. والنتيجة العملية: في WPA2 كلمة المرور الضعيفة تسقط حتما، وفي WPA3 حتى الكلمة المتوسطة تصمد لأن المهاجم لا يستطيع تجربتها بسرعة.

ولا يعني هذا أن WPA3 كامل بلا عيوب، فأي بروتوكول جديد تظهر فيه ثغرات تصلح تباعا. فبعد إطلاقه بسنة كشف باحثون مجموعة ثغرات في طريقة SAE سموها Dragonblood، بعضها يسمح بتسريب جزئي لمعلومات عن كلمة المرور أو إرهاق نقطة الوصول، وقد عالجتها تحديثات الأجهزة. والدرس من هذا ليس التشكيك في WPA3، فهو ما زال أقوى بكثير من WPA2، بل أن تحديث برنامج الراوتر جزء من الأمن لا يقل عن اختيار البروتوكول، فالثغرة التي اكتشفت تصلح بتحديث، والجهاز الذي لا يحدث يبقى مكشوفا لها. وهذا ما سنعود إليه في تأمين الراوتر نفسه.

وميزة ثانية في WPA3 هي أن حماية إطارات الإدارة PMF إلزامية فيه، كما تذكر Wi-Fi Alliance أنها مطلوبة في كل الأجهزة الحديثة الحاصلة على الشهادة. وهذه الحماية توقع رسائل الإدارة مثل رسالة قطع الاتصال، فلا يستطيع مهاجم قريب أن يرسل رسالة قطع مزورة يطرد بها جهازك، وهو بالضبط التنبيه NOCLIENTMFP الذي رفعه Kismet في مختبرنا عن جهاز بلا هذه الحماية. فWPA3 يغلق البابين معا: التخمين دون اتصال، وطرد الأجهزة.

وميزة ثالثة أقل شهرة أن WPA3 يعطي كل جلسة سرية أمامية Forward Secrecy، أي أن المهاجم لو التقط حركة مشفرة اليوم وحصل على كلمة المرور لاحقا، لا يستطيع أن يفك ما التقطه، لأن مفاتيح كل جلسة مشتقة بطريقة لا تعتمد على كلمة المرور وحدها. وهذا يحمي الماضي، بعكس WPA2 الذي يمكن فيه فك حركة ملتقطة سابقا بمجرد معرفة كلمة المرور. ومعنى ذلك عمليا أن اختراق كلمة مرور WPA3 لاحقا لا يكشف ما مر على الشبكة قبله، وهو فرق مهم لشبكة تحمل بيانات حساسة.

💡

إذا لم تجد في راوترك خيار WPA3 منفردا، فابحث عن وضع الانتقال WPA2/WPA3 Mixed الذي يقبل الاثنين، فيستخدم كل جهاز أفضل ما يدعمه. وهو حل وسط جيد عندما يكون عندك أجهزة قديمة لا تدعم WPA3، ولكن اعلم أن الشبكة تبقى مكشوفة لهجوم التخمين عبر الأجهزة التي تنزل إلى WPA2، فاجعل كلمة المرور قوية كأنك على WPA2، واستهدف WPA3 منفردا على الشبكات الحساسة. والخطة الأفضل أن تجعل شبكة الموظفين الداخلية WPA3 منفردا إن كانت أجهزتهم حديثة، وتترك الوضع المختلط لشبكة الضيوف التي قد تدخلها أجهزة قديمة، فتحمي الأهم بالأقوى.

### ما الذي يجعل كلمة المرور قوية؟

رأينا في مقال Aircrack-ng أن كلمة `biscotte` سقطت لأنها في قائمة كلمات، وأن سرعة التخمين على معالج عادي نحو تسعة ملايين كلمة في الثانية، وأضعافها على كرت رسوميات. فما الذي يقاوم هذا؟ ليس التعقيد الظاهري، فكلمة `P@ssw0rd!` تبدو معقدة ولكنها من أوائل ما يجربه المهاجم، لأنها كلمة قاموس بتحويرات معروفة. والذي يقاوم هو الطول وغياب المعنى معا: عبارة مرور من أربع أو خمس كلمات عشوائية لا رابط بينها، أو سلسلة طويلة عشوائية من 16 خانة فأكثر، احتمالاتها فلكية لا تصل إليها القوائم ولا التخمين الأعمى في أعمار.

والقاعدة العملية للمتجر: اختر عبارة طويلة سهلة الحفظ لفريقك لا معنى لها، واجعلها فريدة لهذه الشبكة لم تستخدمها في أي مكان آخر، لأن أي كلمة تسربت من أي موقع تدخل قوائم المهاجمين. ولا تكتبها على ورقة ملصقة خلف المحاسب كما كانت، بل في مدير كلمات مرور تصل إليه الإدارة، كما شرحنا في دليل إدارة كلمات المرور. وغيرها عند خروج أي شخص كان يعرفها، أو بشكل دوري، فهي سر مشترك يتوسع من يعرفه مع الوقت.

ولنترجم «الطول يحمي» إلى أرقام من مقال Aircrack-ng. كلمة من ثماني خانات حروف صغيرة احتمالاتها نحو 200 مليار، تسقط في ساعات على كرت رسوميات. أضف الأرقام والحروف الكبيرة فتصير الاحتمالات نحو 218 تريليون، وهي أيام على المعالج وساعات على عتاد قوي، وما زالت غير كافية لشبكة تهمك. أما عبارة من أربع أو خمس كلمات عشوائية فاحتمالاتها تقاس بالكوينتيليون، لا يصل إليها أي عتاد في عمر معقول. والفرق بين الحالتين ليس التعقيد بل الطول وغياب النمط، فكل خانة تضيفها تضرب الاحتمالات، وكل نمط يعرفه المهاجم يقسمها. ولهذا عبارة مرور طويلة بسيطة أقوى من كلمة قصيرة مليئة بالرموز.

وهناك مصدر ضعف يغفله كثيرون: كلمة المرور التي يسهل مشاركتها بالصوت أو الكتابة قد تنتشر خارج فريقك دون أن تدري. فكلمة المرور المكتوبة على ورقة في مكان يراه الزبائن، أو المرسلة في محادثة جماعية، أو التي يعطيها موظف لصديقه، كلها تسربات لا علاقة لها بقوة الكلمة نفسها. ولهذا في المتجر الذي يدخله موظفون كثيرون ويتغيرون، تصبح كلمة المرور المشتركة عبئا: كلما كبر عدد من يعرفها قل سرها. وهنا تظهر قيمة وضع المؤسسات بحساب لكل موظف، أو على الأقل تغيير كلمة المرور المشتركة بانتظام وعند كل تغيير في الفريق، فالكلمة القوية التي يعرفها عشرون شخصا ليست قوية فعلا.

## الركيزة الثانية: أطفئ WPS

قد تضبط أقوى كلمة مرور ثم تهدمها بميزة واحدة مفعلة افتراضيا في أغلب الراوترات اسمها WPS، واسمها الكامل Wi-Fi Protected Setup. وهي ميزة صممت لتسهيل توصيل الأجهزة: بدل كتابة كلمة المرور الطويلة، تضغط زرا أو تدخل رقما سريا من ثماني خانات. والمشكلة في هذا الرقم، والصورة التالية تبينها:

![كيف يقلص ضعف تصميم WPS احتمالات الرقم السري من مئة مليون إلى 11 ألفا](https://arabroot.io/content/images/2026/10/wifi-security-03-wps.webp)

الرقم السري ثماني خانات، ولكن طريقة فحصه تقلص الاحتمالات إلى الآلاف

الرقم من ثماني خانات، أي مئة مليون احتمال نظريا، وهو رقم كبير لو جرب كاملا. ولكن في تصميم WPS ضعف موثق: الراوتر يتحقق من نصفي الرقم كل على حدة، ويرد بما يكشف هل النصف الأول صحيح قبل أن تكمل. والخانة الأخيرة ليست سرا بل رقم تحقق محسوب من البقية. فيكفي المهاجم أن يخمن أربع خانات للنصف الأول، ثم ثلاثا للنصف الثاني، فتنهار الاحتمالات من مئة مليون إلى نحو أحد عشر ألفا فقط. وهذا الرقم قابل للتجربة على الشبكة نفسها في ساعات، بعكس تخمين كلمة المرور الذي يحتاج أعمارا.

ولاحظ الفرق الجوهري عن هجوم كلمة المرور في مقال Aircrack-ng: ذاك هجوم دون اتصال، يلتقط المصافحة ثم يخمن بعيدا بملايين المحاولة في الثانية، فيحتاج كلمة ضعيفة. أما هجوم WPS فعلى الشبكة نفسها، أي أبطأ بكثير، ولكنه لا يحتاج إلا أحد عشر ألف محاولة، لا مليارات. فالضعف هنا ليس في قوة كلمة المرور بل في تصميم WPS الذي يقلص المساحة إلى رقم صغير يجرب حتى على الشبكة الحية في وقت معقول. ولهذا كلمة مرور من أربعين خانة لا تنفعك شيئا إن كان WPS مفعلا، فالمهاجم يتجاوزها كلها إلى الرقم الأضعف.

وهذا الضعف ليس نظريا، بل موثق في تنبيه رسمي من فريق الاستجابة للطوارئ الأمريكي US-CERT برقم [VU#723755](https://www.kb.cert.org/vuls/id/723755?ref=arabroot.io) منذ 2011، وأدوات تخمين WPS موجودة ومعروفة. والنتيجة الصريحة: مع WPS مفعلا، لا قيمة لطول كلمة مرورك ولا لقوتها، لأن المهاجم لا يخمن كلمة المرور أصلا، بل يخمن رقم WPS الأضعف بكثير، ثم يحصل منه على كلمة المرور. فأول ما تفعله في راوترك: ابحث عن WPS وأطفئه تماما، سواء الزر أو الرقم السري. والخبر الجيد أنك لا تفقد شيئا مهما، فكتابة كلمة المرور مرة عند توصيل جهاز جديد لا تكلفك شيئا مقابل هذا الخطر.

ولـ WPS طريقتان: الزر Push Button الذي تضغطه فيقبل الراوتر أي جهاز قريب لدقيقتين، والرقم السري PIN الذي شرحنا ضعفه. والزر أقل خطرا من الرقم لأنه يعمل في نافذة قصيرة فقط، ولكن الرقم السري غالبا لا يمكن إطفاؤه وحده في كثير من الراوترات، فإطفاء WPS كله هو الحل الأضمن. وهناك ضعف أشد في بعض الراوترات اسمه Pixie Dust يستخرج الرقم السري في ثوان بسبب خطأ في توليد أرقام عشوائية، مما يجعل الرقم السري أضعف حتى مما وصفنا. والخلاصة واحدة مهما تعددت التفاصيل: WPS ميزة راحة بثمن أمني كبير، وأي مؤسسة تهتم بأمنها تطفئه. وبعد أن تطفئه، تأكد أنه بقي مطفأ بعد كل تحديث للبرنامج، فبعض التحديثات تعيد الميزات إلى حالتها الافتراضية، فتجد WPS عاد يعمل دون أن تدري. فاجعل التحقق منه جزءا من مراجعتك الدورية، لا شيئا تفعله مرة وتنساه.

## الركيزة الثالثة: افصل شبكة الضيوف

حتى لو كانت كلمة مرورك قوية وWPS مطفأ، يبقى سؤال: من يصل إلى ماذا داخل الشبكة؟ ففي أغلب المتاجر شبكة واحدة مسطحة Flat، يدخلها الضيف والكاشير وجهاز الدفع وكاميرات المراقبة، كلها في مكان واحد. ومعنى ذلك أن جوال ضيف مصاب ببرنامج خبيث، أو ضيف فضولي، يستطيع أن يرى جهاز نقاط البيع والكاميرات ويحاول الوصول إليها. والصورة التالية تبين الفرق بين هذا والفصل:

![شبكة مسطحة يصل فيها الضيف إلى نقاط البيع، مقابل شبكات معزولة بالـ VLAN](https://arabroot.io/content/images/2026/10/wifi-security-04-guest.webp)

في الشبكة المسطحة يرى الضيف كل شيء، وفي المعزولة لا يرى إلا الإنترنت

الحل أن تفصل الشبكة إلى أجزاء، لكل جزء ما يناسبه. وأبسط صورة يوفرها أغلب الراوترات هي شبكة الضيوف Guest Network: اسم شبكة ثان بكلمة مرور مختلفة، معزول عن الشبكة المحلية، فمن يدخله يصل إلى الإنترنت فقط ولا يرى شيئا من أجهزتك الداخلية. فعل هذه الميزة واجعل الضيوف وزوار المتجر عليها، واحتفظ بالشبكة الأساسية للكاشير والإدارة. وقد شرحنا فكرة فصل الشبكات والـ VLAN بالتفصيل في دليل تقسيم الشبكة، وطبقناها على جهاز حقيقي في دليل MikroTik في الواقع.

وهناك إعداد ثان مهم اسمه عزل الأجهزة Client Isolation أو AP Isolation، ومعناه أن الأجهزة على الشبكة نفسها لا يرى بعضها بعضا، بل كل واحد يصل إلى الإنترنت فقط. فعله على شبكة الضيوف خاصة، فلا سبب لأن يرى جوال ضيف جوال ضيف آخر، وهذا يمنع انتشار إصابة من جهاز إلى جهاز على الشبكة نفسها.

ولماذا الفصل بهذه الأهمية؟ لأن التشفير يحمي الباب، والفصل يحمي ما خلف الباب. فكلمة المرور القوية تمنع الغريب من الدخول، ولكن ماذا لو دخل جهاز شرعي ثم أصيب، أو كان الضيف نفسه هو الخطر؟ هنا لا ينفع التشفير، وينفع الفصل: فالجهاز المصاب على شبكة الضيوف لا يرى إلا الإنترنت، فلا يصل إلى نقاط البيع ولا الكاميرات ولا أجهزة الموظفين. وهذا ما يسمى تقليل سطح الانتشار، أي أن إصابة جهاز واحد تبقى محصورة فيه بدل أن تنتشر. وهو المبدأ نفسه الذي شرحناه في تقسيم الشبكة: لا تثق بكل جهاز على شبكتك لمجرد أنه دخلها، بل أعط كل جهاز أقل ما يحتاجه.

وانتبه إلى تفصيل عملي: بعض خدمات المشاركة مثل الطباعة أو بث الشاشة تعتمد على أن ترى الأجهزة بعضها، فعزل الأجهزة قد يوقفها. والحل أن تفصل بوعي: الطابعة التي يحتاجها الموظفون تكون على شبكة الموظفين لا على شبكة الضيوف، فيصل إليها من يحتاجها وحده. فالفصل لا يعني منع كل شيء، بل تنظيم من يصل إلى ماذا، وهذا يحتاج أن تعرف ما تستخدمه قبل أن تعزل.

ولا تنس الأجهزة التي تنساها عادة: كاميرات المراقبة وأجهزة نقاط البيع والطابعات وأجهزة إنترنت الأشياء IoT. كثير منها رخيص وبرنامجه قديم لا يحدث، وهو من أضعف ما على شبكتك. فضعها في شبكتها المنفصلة، لا على شبكة الموظفين ولا مع الضيوف، وافتح لها فقط ما تحتاجه. فجهاز استشعار لا يحتاج أن يرى نظام الدفع، وكاميرا لا تحتاج أن ترى جوالات الموظفين. والأخطر من ضعفها أن كثيرا منها يتصل بخوادم الشركة المصنعة في الخارج باستمرار، وبعضه ينقل بيانات لا تعرف ما هي، فعزله لا يحميك منه فقط، بل يحد مما يرسله ويصل إليه. وكاميرا رخيصة تتصل بخادم مجهول وتحمل برنامجا لا يحدث هي بالضبط ما صنع شبكة Mirai، فلا تثق بها لمجرد أنها تعمل. والمبدأ هنا هو أقل صلاحية: كل جهاز يصل إلى أقل ما يلزمه، لا إلى كل شيء. وهذا المبدأ ليس خاصا بالشبكة اللاسلكية، بل هو جوهر الأمن كله الذي تكرر في كل مقالات هذه السلسلة: لا تعط أحدا أو شيئا أكثر مما يحتاج، فكلما قل ما يصل إليه الطرف قل الضرر إن أصيب أو أسيء استخدامه. فالضيف يصل إلى الإنترنت فقط، والكاميرا تصل إلى خادمها فقط، والموظف يصل إلى ما يخص عمله فقط، وبهذا تبني شبكة لا تنهار من ثغرة واحدة.

📌

في أكتوبر 2016 عطلت شبكة أجهزة مخترقة اسمها Mirai أجزاء كبيرة من الإنترنت بهجوم حجب خدمة ضخم، وكان سلاحها ملايين أجهزة إنترنت الأشياء، من كاميرات ومسجلات، دخلها المهاجمون بكلمات المرور الافتراضية التي لم يغيرها أحد. ونبهت وكالة الأمن السيبراني الأمريكية CISA إلى هذا الخطر في [تنبيه رسمي](https://www.cisa.gov/news-events/alerts/2016/10/14/heightened-ddos-threat-posed-mirai-and-other-botnets?ref=arabroot.io). والدرس لمتجرك: الكاميرا الرخيصة وجهاز إنترنت الأشياء على شبكتك ليسا مجرد أجهزة ضعيفة قد تخترق، بل قد تصبح سلاحا يستخدم ضد غيرك، فغير كلمات مرورها الافتراضية واعزلها، فهي أضعف ما لديك.

ولماذا نفرق بين «شبكة الضيوف» في الراوتر المنزلي و«الـ VLAN» في أجهزة أكبر؟ شبكة الضيوف ميزة جاهزة تعطيك فصلا بسيطا: ضيوف معزولون عن المحلية. أما الـ VLAN فتعطيك فصلا دقيقا لأكثر من مجموعة: شبكة للموظفين، وأخرى لنقاط البيع، وثالثة للكاميرات، ورابعة للضيوف، مع قواعد جدار ناري تحدد بالضبط من يصل إلى من. فالراوتر المنزلي يكفي متجرا صغيرا بشبكتين، أما من يحتاج فصلا أدق فيحتاج جهازا يدعم الـ VLAN كما شرحنا في دليل MikroTik في الواقع. وابدأ بما تملك: شبكة ضيوف معزولة اليوم أفضل من خطة VLAN مثالية لا تنفذها.

⚠️

لا تضع أجهزة نقاط البيع التي تعالج بطاقات الدفع على الشبكة نفسها مع الضيوف أو أجهزة إنترنت الأشياء. فمعايير أمن بيانات بطاقات الدفع تشترط عزل بيئة الدفع، والفصل هنا ليس تحسينا بل مطلب. وإذا كان متجرك يعالج المدفوعات، فاستشر من يعرف هذه المتطلبات قبل أن تصمم شبكتك.

## تأمين الراوتر نفسه

الراوتر نفسه جهاز له نظام ولوحة إدارة، ونسيان تأمينه يبطل كل ما سبق، فمن يدخل لوحة إدارة الراوتر يغير كل إعداداتك. فابدأ بثلاثة أمور. الأول كلمة مرور لوحة الإدارة: أغلب الراوترات تأتي بكلمة افتراضية معروفة منشورة على الإنترنت، فغيرها فورا إلى كلمة قوية، فهي أول ما يجربه أي مهاجم. والثاني تحديث برنامج الراوتر Firmware: الثغرات في الراوترات تكتشف وتصلح بالتحديثات، وراوتر لا يحدث يبقى مكشوفا لثغرات معروفة، فحدثه الآن وتابع التحديثات دوريا، أو اختر جهازا من مزود يصدر تحديثات أمنية بانتظام.

والثالث إطفاء الميزات الخطرة التي لا تحتاجها. أطفئ الإدارة من الإنترنت Remote Administration إلا إذا كنت تحتاجها فعلا وبطريقة آمنة، فتركها مفتوحة يعرض لوحة إدارتك لكل الإنترنت. وأطفئ UPnP إن لم يكن هناك جهاز يحتاجه، فهو يسمح للأجهزة بفتح منافذ في جدارك دون إذنك. وأطفئ التشفير القديم TKIP وWPA الأول، واترك AES فقط. واختر لشبكتك اسما SSID لا يكشف اسم جهتك أو مكانها، فاسم مثل «شبكة متجر فلان» يسهل على المهاجم استهدافك تحديدا.

ولماذا كلمة مرور لوحة الإدارة بهذه الأهمية؟ لأن حادثة Mirai التي ذكرناها قامت كلها على كلمات مرور افتراضية لم يغيرها أحد. فالمهاجم لا يحتاج أن يكسر شيئا إذا كانت الكلمة لا تزال admin أو password كما خرجت من المصنع، بل يكتبها فقط. وقوائم كلمات المرور الافتراضية لكل طراز راوتر منشورة علنا، فأول ما يجربه أي هجوم آلي هو هذه الكلمات. وهذا يذكر بمبدأ تكرر في هذه السلسلة: أضعف نقطة ليست دائما الأعقد، بل الأبسط التي نسيها الجميع، وكلمة مرور افتراضية منسية أخطر من ثغرة معقدة. ولا تكتف بتغيير كلمة مرور لوحة الإدارة، بل اجعلها مختلفة عن كلمة مرور شبكة Wi-Fi نفسها، فهما سران لغرضين مختلفين، وتسرب أحدهما لا يجب أن يكشف الآخر.

وتأمين الراوتر لا يكتمل دون التفكير في موقعه المادي: فمن يصل إلى الراوتر جسديا قد يضغط زر إعادة الضبط فيعيده إلى إعداداته الافتراضية بكلمة مرور معروفة، أو يصل منفذ الشبكة فيه مباشرة، أو يصل منفذ USB فيه. وهذا خطر حقيقي في متجر يدخله الناس، أكثر منه في مكتب مغلق. ففي متجر، ضع الراوتر ونقاط الوصول حيث لا يصل إليها الزبائن، لا على طاولة مكشوفة. والأمن المادي جزء من الأمن السيبراني لا ينفصل عنه، فلا قيمة لكلمة مرور قوية على جهاز يستطيع أي أحد أن يعيد ضبطه بيده.

وراقب سجل الراوتر إن كان يوفر ذلك: من يدخل، ومتى، وأي أجهزة تتصل. والراوتر الذي يرسل سجله إلى نظام سجلات مركزي أفضل، فتجمع أحداثه مع بقية شبكتك كما شرحنا في سلسلة السجلات. وإذا كان متجرك يحتاج أكثر من راوتر منزلي، فجهاز بمستوى أعلى مثل MikroTik يعطيك تحكما حقيقيا في الـ VLAN والجدار الناري والسجلات، وقد خصصنا له سلسلة كاملة.

## شبكة ضيوف مفتوحة؟ بوابة الدخول والتشفير

بعض المتاجر تريد شبكة ضيوف مفتوحة بلا كلمة مرور ليدخلها الزبائن بسهولة. وهذا مقبول إذا فصلت وعزلت كما شرحنا، ولكن انتبه إلى أمرين. الأول أن الشبكة المفتوحة التقليدية لا تشفر شيئا، فكل ما يرسله الزبون يمر في الهواء مكشوفا لمن يستمع. والحل الحديث تقنية Enhanced Open، المبنية على التشفير الانتهازي OWE الموصوف في [RFC 8110](https://www.rfc-editor.org/rfc/rfc8110?ref=arabroot.io)، وهي تشفر اتصال كل جهاز حتى بلا كلمة مرور، فابحث عنها في راوترك إن أردت شبكة ضيوف مفتوحة لكن مشفرة.

والثاني أن الشبكة المفتوحة تحتاج ضابطا لمن يدخلها ولماذا، وهنا تأتي بوابة الدخول Captive Portal، وهي الصفحة التي تظهر للزبون ليوافق على الشروط أو يدخل رمزا، وقد خصصنا لها دليلا كاملا وتجربة عملية. فبوابة الدخول تعطيك تحكما في شبكة الضيوف دون أن تشارك كلمة مرور، وتسجل من دخل، وهي مناسبة للمقاهي والمطاعم التي تريد تقديم الإنترنت للزبائن بشكل منظم.

ولكن انتبه إلى حد بوابة الدخول: هي تضبط من يصل إلى الإنترنت، ولا تشفر الاتصال بينها وبين الجهاز في الشبكة المفتوحة التقليدية. فلا تظن أن وجود بوابة دخول يعني أن حركة الزبائن محمية، فهي تنظم الدخول لا تشفر البيانات. ولهذا الجمع بين بوابة الدخول وتقنية Enhanced Open هو الأفضل لشبكة ضيوف مفتوحة: الأولى تنظم الدخول، والثانية تشفر الاتصال. وإن لم يدعم جهازك Enhanced Open فالبديل الأبسط شبكة ضيوف بكلمة مرور تعطيها من يسأل، فكلمة المرور تشفر، وتغيرها متى شئت. ولمقهى أو مطعم تريد سهولة للزبائن، كلمة مرور بسيطة معروضة على طاولة أو إيصال، مع عزل كامل لشبكة الضيوف، حل عملي يجمع بين السهولة والتشفير، فالزبون يدخل بسهولة، وحركته مشفرة، وهو معزول عن شبكتك الداخلية. فالراحة والأمن لا يتعارضان دائما، والمطلوب أن تختار الراحة في المكان الصحيح: سهولة للضيوف في شبكة معزولة، وصرامة في الشبكة الداخلية.

### نطاقات التردد 2.4 و5 و6 جيجاهرتز

راوترك يبث غالبا على أكثر من نطاق تردد: 2.4 جيجاهرتز الأقدم الأوسع مدى الأبطأ، و5 جيجاهرتز الأسرع الأقصر مدى، وفي الأجهزة الحديثة 6 جيجاهرتز مع Wi-Fi 6E. وما علاقة هذا بالأمن؟ أولا، بعض أجهزة إنترنت الأشياء القديمة لا تعمل إلا على 2.4 جيجاهرتز، وهي أضعف أجهزتك، فإذا عزلتها في شبكتها فاعزلها على هذا النطاق. والنطاق 2.4 جيجاهرتز أوسع مدى، أي أن إشارته تخرج من المبنى أكثر، فما عليه يلتقط من مسافة أبعد، وهذا سبب إضافي لجعل الأجهزة الحساسة على النطاقات الأقصر مدى إن أمكن. وثانيا، النطاق 6 جيجاهرتز الجديد يشترط WPA3 أصلا، أي لا يقبل التشفير القديم، فمن يستخدمه يحصل على حماية أقوى تلقائيا. وثالثا، ضبط كل نطاق بإعداداته: لا تترك نطاقا على تشفير أضعف من آخر، فالمهاجم يستهدف الأضعف. والقاعدة: اضبط الأمان نفسه على كل النطاقات، ولا تترك نطاقا قديما مفتوحا لأنك نسيته.

أما إذا كان المتجر مؤسسة أكبر ويريد حسابا لكل موظف بدل كلمة مرور مشتركة، فهذا وضع المؤسسات WPA2/3-Enterprise الذي بنيناه بالكامل في دليل Wi-Fi للمؤسسات مع FreeRADIUS. وهو الحل الأنظف للموظفين، ويترك شبكة الضيوف بكلمة مرور أو بوابة دخول، فلكل فئة ما يناسبها.

ولا تنس أن الإعدادات الجيدة اليوم قد تتغير غدا: فقد يضيف موظف راوترا، أو يظهر جهاز جديد، أو تتغير كلمة المرور إلى ضعيفة. ولهذا الإعداد الصحيح نصف العمل، والنصف الآخر المراقبة: أن تتأكد من حين لآخر أن ما ضبطته ما زال كما ضبطته، وأن لا شيء دخيل ظهر. وهنا تأتي أداة مثل Kismet التي شرحناها، تراقب الهواء وترى كل نقاط الوصول التي تبث، فتكتشف الراوتر الدخيل أو الشبكة التي لا تعرفها. فالدفاع والمراقبة وجهان لأمن واحد: تبني الدفاع بهذه الإعدادات، ثم تراقب لتتأكد أنه يبقى.

ومتى تنتقل من الراوتر المنزلي إلى عتاد أعلى؟ عندما تحتاج أكثر من شبكتين معزولتين، أو حسابا لكل موظف، أو سجلات وتحكما لا يوفره الراوتر البسيط. فمتجر بفرع واحد وشبكتين يكفيه راوتر جيد مضبوط كما وصفنا، أما ثلاثة فروع وعشرات الأجهزة وبيئة دفع فيحتاج تصميما أعمق: جهاز يدعم الـ VLAN، وسيرفر RADIUS للموظفين، ومراقبة. وابدأ بما يناسب حجمك اليوم، فالمبالغة في التعقيد لمتجر صغير تضيع الوقت، والتبسيط المفرط لمؤسسة كبيرة يترك ثغرات، والصواب أن يناسب الحل حجم ما تحمي.

## خرافات شائعة عن أمن Wi-Fi

قبل خريطة الإعدادات، لنصحح أفكارا شائعة تعطي شعورا زائفا بالأمان وتضيع الوقت الذي يجب أن يذهب إلى ما ينفع فعلا.

- **«إخفاء اسم الشبكة يحميها»:** لا. اسم الشبكة المخفي Hidden SSID يظهر في الهواء لحظة دخول أي جهاز، وأي أداة بسيطة تكشفه، كما رأينا أن Kismet يقرأ الأسماء من إطارات الإدارة. والإخفاء يزعج أجهزتك أكثر مما يزعج المهاجم، فهي تبث اسم الشبكة بحثا عنها فتكشف نفسها.
- **«حصر عناوين MAC يمنع الدخلاء»:** لا. عنوان MAC يظهر في الهواء مكشوفا، وانتحاله أمر بسيط، فالمهاجم يرى عنوان جهاز مسموح وينتحله. وهو إعداد متعب تضيف فيه كل جهاز جديد يدويا، مقابل حماية وهمية.
- **«شبكتي صغيرة ولا أحد يهتم بها»:** لا. أغلب الهجمات اليوم آلية لا موجهة، تمسح كل ما حولها بحثا عن شبكة ضعيفة أو جهاز بكلمة مرور افتراضية، فحادثة Mirai أصابت ملايين الأجهزة لا لأن أحدا اختارها، بل لأنها كانت ضعيفة وموجودة. فصغر شبكتك لا يحميها، ضعفها يعرضها.
- **«تقليل قوة الإشارة يمنع من يلتقطها من الخارج»:** جزئيا فقط. تقليل القوة يقلل التغطية خارج المبنى، ولكن المهاجم بهوائي أقوى يلتقط إشارة ضعيفة من بعيد. فهو إجراء مكمل لا بديل عن التشفير القوي.

وخرافة خامسة تستحق الذكر: «غيرت كلمة المرور مرة فانتهى الأمر». فالأمن ليس حدثا بل حالة تحافظ عليها: كلمة المرور تتسرب مع الوقت، وثغرات جديدة تظهر، وأجهزة تضاف. فما ضبطته اليوم صحيح اليوم، ويحتاج مراجعة دورية ليبقى صحيحا. والقاسم المشترك بين هذه الخرافات أنها تحاول الاختباء بدل الحماية، والاختباء لا يعمل في الهواء المفتوح. فالأمن الحقيقي أن تفترض أن المهاجم يرى شبكتك ويسمع إشارتها، ثم تجعل ما يلتقطه عديم الفائدة بالتشفير القوي والبروتوكول الحديث. وهذا بالضبط ما رأيناه عمليا في مقالي Aircrack-ng وKismet: المهاجم يرى ويسمع، والذي يصمد هو التشفير وقوة كلمة المرور، لا الإخفاء.

## خريطة الإعدادات في الراوتر

أسماء الإعدادات تختلف بين الأجهزة، ولكن المعنى واحد، والصورة التالية تجمع ما تبحث عنه وما تضبطه، مجموعا في أربع فئات:

![خريطة إعدادات الراوتر: الأمان اللاسلكي وشبكة الضيوف والميزات الخطرة وإدارة الراوتر](https://arabroot.io/content/images/2026/10/wifi-security-05-settings.webp)

ابحث عن المعنى لا النص الحرفي في لوحة الراوتر، فالأسماء تختلف بين الأجهزة والقيم واحدة

وترتيب الأولوية إذا كان وقتك محدودا: أطفئ WPS أولا، ثم ضع كلمة مرور قوية وفعل WPA3 أو الوضع المختلط، ثم غير كلمة مرور لوحة الإدارة، ثم فعل شبكة الضيوف واعزلها، ثم حدث البرنامج. هذه الخطوات الخمس تغلق أخطر الأبواب في أقل من نصف ساعة على أي راوتر.

ولماذا هذا الترتيب بالذات؟ لأنه يبدأ بالأخطر الأسهل. WPS أخطرها لأنه يبطل كل شيء بعده ويخمن في ساعات، وإطفاؤه ضغطة. ثم كلمة المرور وWPA3 لأنهما الحصن الأساسي. ثم لوحة الإدارة لأن من يدخلها يغير كل ما سبق. ثم الفصل لأنه يحمي ما خلف الباب. ثم التحديث لأنه يغلق الثغرات المعروفة. فلو لم يكن عندك إلا عشر دقائق، فأطفئ WPS وغير كلمتي المرور، فهذه وحدها تنقلك من شبكة مكشوفة إلى شبكة معقولة.

وبعد الضبط، وثق ما فعلت: اكتب في مكان آمن أي بروتوكول اخترت، وأسماء الشبكات وأدوارها، وأي أجهزة على أي شبكة، ومتى آخر تحديث. فهذا التوثيق هو خط الأساس الذي تقارن به لاحقا، فإذا راقبت شبكتك بـ Kismet عرفت ما المعروف وما الدخيل، وإذا دخل موظف جديد عرف ما يجب أن يكون. والأمن بلا توثيق يعتمد على ذاكرة شخص، وذاكرة الأشخاص تنسى وتتبدل.

## قائمة تحقق

| البند                                       | القيمة الصحيحة                                    |
| ------------------------------------------- | ------------------------------------------------- |
| نمط الأمان                                  | WPA3، أو WPA2/WPA3 المختلط إن كان فيك أجهزة قديمة |
| التشفير                                     | AES فقط، لا TKIP ولا WPA الأول ولا WEP            |
| كلمة المرور                                 | عبارة طويلة عشوائية فريدة، في مدير كلمات مرور     |
| حماية إطارات الإدارة PMF                    | مفعلة أو إلزامية                                  |
| WPS                                         | مطفأ تماما، الزر والرقم السري                     |
| شبكة الضيوف                                 | منفصلة، معزولة عن المحلية، مع عزل الأجهزة         |
| أجهزة إنترنت الأشياء والكاميرات ونقاط البيع | في شبكة منفصلة بأقل صلاحية                        |
| كلمة مرور لوحة الإدارة                      | غير الافتراضية، قوية                              |
| الإدارة من الإنترنت وUPnP                   | مطفأة إن لم تحتجها                                |
| تحديث البرنامج Firmware                     | آخر إصدار، ومتابعة دورية                          |
| اسم الشبكة SSID                             | لا يكشف اسم الجهة أو مكانها                       |

## الجانب السعودي

تنص الضوابط الأساسية للأمن السيبراني ECC من الهيئة الوطنية للأمن السيبراني في الضابط 2-5-3-4 ضمن أمن الشبكات على حماية الشبكات اللاسلكية باستخدام وسائل آمنة للتحقق من الهوية والتشفير، وعدم ربطها بالشبكة الداخلية للجهة إلا بعد دراسة متكاملة للمخاطر ومعالجتها، كما جاء في وثيقة [ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io). وما في هذا المقال هو التطبيق المباشر لهذا الضابط للمؤسسة الصغيرة: التشفير الحديث WPA3، والتحقق الآمن، وعدم ربط شبكة الضيوف بالشبكة الداخلية. والضوابط ملزمة للجهات الحكومية والبنى التحتية الحساسة، ولكنها مرجع جيد لأي مؤسسة تريد أن تعرف ما المقصود بشبكة لاسلكية آمنة، فابن عليها حتى لو لم تكن ملزمة بها.

وإذا كان متجرك يعالج بيانات العملاء الشخصية، يضاف بعد نظامي آخر: نظام حماية البيانات الشخصية ولائحته التنفيذية من سدايا، التي تلزم بحماية البيانات الشخصية وتبلغ عن تسربها خلال 72 ساعة كما ذكرنا في سلسلة التحقيق الرقمي. وشبكة لاسلكية ضعيفة باب لتسرب هذه البيانات، فتأمينها ليس خيارا تقنيا فقط بل جزء من التزامك النظامي بحماية بيانات عملائك. فالإعدادات التي في هذا المقال، رغم بساطتها، هي أول ما يسأل عنه أي تقييم لأمن شبكتك.

## الخلاصة

- ثلاث ركائز في إعدادات أي راوتر تغلق أخطر الأبواب: WPA3 وكلمة مرور قوية، وفصل شبكة الضيوف، وإيقاف WPS.
- WPA3 بطريقة SAE يمنع التخمين دون اتصال الذي يسقط كلمات مرور WPA2، وحماية إطارات الإدارة فيه إلزامية، فاستخدمه حيثما دعمه العتاد.
- كلمة المرور القوية طويلة عشوائية لا كلمة قاموس ولا تحوير لها، وفريدة لهذه الشبكة، وفي مدير كلمات مرور لا على ورقة.
- WPS يهدم أقوى كلمة مرور لأن رقمه السري يخمن في نحو 11 ألف محاولة في ساعات (VU#723755)، فأطفئه تماما.
- افصل شبكة الضيوف وأجهزة إنترنت الأشياء والكاميرات عن نقاط البيع والإدارة، وفعل عزل الأجهزة، فالجهاز الضعيف لا يصل إلى الحساس.
- أمن الراوتر نفسه: كلمة مرور لوحة الإدارة والتحديثات وإطفاء الإدارة من الإنترنت، فمن يدخل اللوحة يغير كل شيء.

وبهذا تكتمل سلسلة أمن الشبكات اللاسلكية: رأينا الهجوم (Aircrack-ng) والمراقبة (Kismet) وحساب الموظفين (FreeRADIUS) والدفاع الأساسي في هذا المقال. والخطوة التالية لأي مؤسسة أن تضبط هذه الإعدادات اليوم، فهي لا تكلف شيئا، ثم تبني عليها بوابة الدخول أو وضع المؤسسات حسب حاجتها. والأهم أن تتذكر أن أمن الشبكة اللاسلكية ليس مشروعا تنهيه، بل عادة: تضبط، وتوثق، وتراقب، وتراجع، فتبقى شبكتك آمنة لا لأنك أمنتها مرة، بل لأنك تحافظ على أمنها دائما. وبهذا نختم سلسلة الأمن اللاسلكي، التي أخذتك من فهم الهجوم إلى بناء الدفاع، فأصبحت تعرف ما يراه المهاجم، وما يسمعه المراقب، وما تضبطه أنت لتغلق الباب قبل أن يصل إليه أحد.

[![](https://arabroot.io/content/images/2026/10/aircrack-lab-cover-cover.webp)دليلاختبار أمان شبكتك اللاسلكية بإذن مع Aircrack-ngكسرنا كلمات مرور WPA وWEP على ملفات الالتقاط الرسمية لـ Aircrack-ng، فظهر لماذا الهجوم دون اتصال، ولماذا تسقط كلمة القاموس في ثوان.](https://arabroot.io/articles/%D8%A7%D8%AE%D8%AA%D8%A8%D8%A7%D8%B1-%D8%A7%D9%85%D8%A7%D9%86-%D8%B4%D8%A8%D9%83%D8%AA%D9%83-%D8%A7%D9%84%D9%84%D8%A7%D8%B3%D9%84%D9%83%D9%8A%D8%A9-%D8%A8%D8%A7%D8%B0%D9%86-%D9%85%D8%B9-aircrack-ng/)[![](https://arabroot.io/content/images/2026/10/kismet-cover-cover.webp)دليلاكتشاف الأجهزة اللاسلكية الدخيلة مع Kismetشغلنا Kismet على ملفات التقاط رسمية فصنف الأجهزة واستخرج المصنع واسم الشبكة، ورفع تنبيهاً أمنياً عن جهاز بلا حماية إطارات الإدارة.](https://arabroot.io/articles/%D8%A7%D9%83%D8%AA%D8%B4%D8%A7%D9%81-%D8%A7%D9%84%D8%A7%D8%AC%D9%87%D8%B2%D8%A9-%D8%A7%D9%84%D9%84%D8%A7%D8%B3%D9%84%D9%83%D9%8A%D8%A9-%D8%A7%D9%84%D8%AF%D8%AE%D9%8A%D9%84%D8%A9-%D9%85%D8%B9-kismet/)[![](https://arabroot.io/content/images/2026/10/wifi-enterprise-radius-cover-cover.webp)دليلWi-Fi للمؤسسات بحساب لكل موظف مع FreeRADIUSبنينا سيرفر FreeRADIUS واختبرنا دخول WPA2/3-Enterprise بأداة eapol\_test، فرأينا الـ VLAN لكل موظف، وكيف أوقفت شهادة منتهية الدخول للجميع.](https://arabroot.io/articles/wi-fi-%D9%84%D9%84%D9%85%D8%A4%D8%B3%D8%B3%D8%A7%D8%AA-%D8%A8%D8%AD%D8%B3%D8%A7%D8%A8-%D9%84%D9%83%D9%84-%D9%85%D9%88%D8%B8%D9%81-%D9%85%D8%B9-freeradius/)[![](https://arabroot.io/content/images/2026/10/network-segmentation-cover-cover.webp)دليلتقسيم الشبكة Network Segmentation بال VLAN وال VPCلماذا تصل كاميرا مخترقة إلى قاعدة بياناتك، وكيف تمنع ذلك بتقسيم الشبكة إلى مناطق لا يمر بينها إلا ما تسمح به.](https://arabroot.io/articles/%D8%AA%D9%82%D8%B3%D9%8A%D9%85-%D8%A7%D9%84%D8%B4%D8%A8%D9%83%D8%A9-network-segmentation-vlan-%D9%88-vpc/)[![](https://arabroot.io/content/images/2026/10/captive-portal-cover-cover.webp)دليلبوابة الدخول Captive Portal: شبكة الضيوف برمز تحققكيف تعمل بوابة الدخول في شبكة Wi-Fi الضيوف، وكيف تختار طريقة التحقق والأدوات المناسبة لمقهى أو فندق أو شركة.](https://arabroot.io/articles/%D8%A8%D9%88%D8%A7%D8%A8%D8%A9-%D8%A7%D9%84%D8%AF%D8%AE%D9%88%D9%84-captive-portal-%D8%B4%D8%A8%D9%83%D8%A9-%D8%A7%D9%84%D8%B6%D9%8A%D9%88%D9%81-%D8%A8%D8%B1%D9%85%D8%B2-%D8%AA%D8%AD%D9%82%D9%82/)

## تدريب عملي Practice

- افتح لوحة إدارة راوترك الآن، وابحث عن WPS وأطفئه، ثم تأكد أن نمط الأمان WPA3 أو المختلط لا WPA2 وحده ولا WEP، وأن التشفير AES.
- فعل شبكة الضيوف واعزلها، ثم جرب من جهاز على شبكة الضيوف أن تصل إلى جهاز على الشبكة الأساسية، وتأكد أنك لا تستطيع.

## سجل التحديثات

- أكتوبر 2026: كتابة الدليل، مرجعا إلى صفحة أمان Wi-Fi Alliance وتنبيه WPS رقم VU#723755 وضوابط الهيئة الوطنية للأمن السيبراني.