Bridge Mode: متى تجعل راوتر المزود مجرد مودم

لنفرض أنك اشتريت Router أفضل من جهاز المزود، أو جهزت صندوقاً صغيراً يعمل عليه جدار ناري مثل OPNsense، ووصلته بجهاز المزود وشغلته، فعمل الإنترنت من أول مرة، ثم حاولت أن توجه المنفذ 443 إلى سيرفرك المنزلي فلم يصل إليه أحد من الخارج، وتطبيق المكالمات يشكو من نوع NAT، وفي صفحة جهازك الجديد تجد أن عنوان WAN يبدأ ب 192.168. والسبب في أغلب الحالات أن عندك الآن جهازي Router متتاليين، كل منهما يترجم العناوين، وهي الحالة التي تسمى ال Double NAT، والحل الذي يقترحه الجميع هو أن تضع جهاز المزود في وضع الجسر Bridge Mode، ولكن هذا الحل له شروط وله ثمن.

وفي المودم وONT والراوتر والسويتش وAccess Point: ما الفرق بينها؟ رأينا أن جهاز المزود يجمع مودم أو ONT مع Router وSwitch وAccess Point في علبة واحدة، وفي هذا المقال سوف نطفئ ال Router الذي داخله ونتركه مودم فقط، وهو المقال الثاني في مرحلة معدات الشبكة من خارطة الطريق، وسوف نناقش فيه ما يلي:

• مشكلة ال Double NAT بالتفصيل، وكيف تكتشفها من حاسوبك، مع مخرج حقيقي.
• ما هو وضع الجسر Bridge Mode، وما الذي يتغير في الشبكة عندما تفعله.
• بروتوكول PPPoE، ولماذا ينتقل تسجيل الدخول عند المزود إلى جهازك.
• الفرق بين Bridge Mode وتمرير العنوان IP Passthrough ومضيف DMZ.
• متى تستخدم وضع الجسر ومتى لا تحتاجه، وما الذي قد تخسره من خدمات المزود.
• خطوات عامة لتفعيله بأمان، وكيف تتحقق أنه يعمل، والمشكلات الشائعة بعده.

مشكلة ال Double NAT: Router خلف Router

شرحنا في ما هو NAT؟ شرح للمبتدئين كيف يستبدل ال Router عنوانك الخاص بعنوانه العام ويحفظ كل اتصال في جدول حتى يعيد إليه الرد، وذكرنا في قسم Router خلف Router أن وضع جهاز خلف جهاز يعني ترجمتين. والصورة التالية تبين ما يحدث فعلاً في هذه الحالة:

والخروج إلى الإنترنت يعمل في هذه الحالة دون مشكلة، لأن كل Router يحفظ الاتصال في جدوله ويعيد الرد، ولهذا لا ينتبه أغلب الناس إلى وجود ترجمتين، أما المشكلات فتظهر في كل ما يحتاج إلى اتصال قادم من الخارج أو إلى معرفة العنوان العام، وهي:

• توجيه المنافذ Port Forwarding مرتين: القاعدة التي تضعها في جهازك لا تكفي، لأن الاتصال يقف عند جهاز المزود أولاً، فتحتاج قاعدة ثانية فيه توجه المنفذ إلى عنوان جهازك 192.168.0.10، ثم قاعدة في جهازك توجهه إلى السيرفر، وكل تغيير في أحد العنوانين يكسر السلسلة. والطريقة الصحيحة لتوجيه المنافذ شرحناها في فتح المنافذ في ال Router بالطريقة الصحيحة.
• UPnP يفتح الباب الخطأ: التطبيقات التي تفتح المنافذ لنفسها عبر UPnP تطلب ذلك من أقرب Router فقط، أي من جهازك، فيفتح المنفذ عنده ويبقى مغلقاً عند المزود، ويظن التطبيق أن كل شيء يعمل.
• المكالمات والألعاب والاتصال المباشر: كل طبقة NAT لها سلوكها في الربط والتصفية، فتزيد صعوبة تقنيات مثل Hole Punching التي شرحناها في أنواع NAT، فيمر الاتصال عبر سيرفر وسيط أو يفشل.
• شبكتان وجدولان: عندك جهازان يوزعان العناوين DHCP، وجداران ناريان، وجدولا اتصالات، فإذا تعطل شيء لا تعرف في أي الجهازين تبحث، والأجهزة الموصولة بجهاز المزود مباشرة لا ترى الأجهزة التي خلف جهازك.
• IPv6: إذا كان المزود يعطي IPv6، فإن ال Router الذي يتصل به يطلب نطاقاً كاملاً بطريقة تفويض النطاق Prefix Delegation التي تصفها RFC 8415، ويوزعه على الشبكات خلفه، وجهازك الذي في الخلف يحتاج أن يمرر له جهاز المزود جزءاً من هذا النطاق، وهو ما لا تدعمه كل الأجهزة، فينتهي جهازك بلا IPv6 أو بإعداد ناقص.

كيف تعرف أنك خلف ترجمتين؟

أسرع طريقة أن تشغل tracert على Windows أو traceroute على Linux إلى عنوان على الإنترنت وتنظر إلى المحطات الأولى، فإذا ظهر عنوانان خاصان متتاليان من النطاقات 192.168.0.0/16 أو 10.0.0.0/8 أو 172.16.0.0/12 التي تحددها RFC 1918، فهذا يدل على جهازين داخل بيتك. والمثال التالي من جهاز Windows 11 موصول بكابل في شبكة منزلية، مع تحديد عدد المحطات بخمس:

tracert -d -h 5 -w 1000 1.1.1.1

والمخرج سوف يكون كما يلي:

Tracing route to 1.1.1.1 over a maximum of 5 hops

  1    19 ms    11 ms     2 ms  192.168.68.1
  2     *        *        *     Request timed out.
  3    59 ms    27 ms    39 ms  10.64.86.97
  4     *        *        *     Request timed out.
  5    56 ms    47 ms    24 ms  10.73.116.10

Trace complete.

في المخرج أعلاه لاحظ التالي:

• المحطة الأولى 192.168.68.1 هي ال Router الذي يتصل به الحاسوب، وهو هنا نظام Mesh منزلي.
• المحطة الثانية لم ترد، وهذا يحدث عندما يرفض جهاز أن يرسل رسالة انتهاء العمر ICMP Time Exceeded التي يعتمد عليها الأمر، فقد تكون جهاز المزود داخل البيت، وقد تكون أول جهاز في شبكة المزود، ولا يستطيع tracert وحده أن يحسم ذلك.
• المحطتان الثالثة والخامسة عنوانان خاصان من 10.0.0.0/8 داخل شبكة المزود نفسها، وكثير من المزودين يستخدمون عناوين خاصة في شبكاتهم الداخلية، فلا تعني وحدها أنك خلف CGNAT.

وهذا المثال يبين حدود tracert: فهو يعطيك دليلاً عندما تظهر العناوين، ولا يعطيك جواباً عندما تختفي، لذلك فإن الطريقة الأدق أن تفتح صفحة الحالة في ال Router الذي تملكه وتقرأ عنوان WAN فيه: فإذا كان عنواناً خاصاً من RFC 1918 فهناك Router آخر أمامه داخل البيت، وإذا كان من النطاق 100.64.0.0/10 فأنت خلف CGNAT عند المزود، وإذا تطابق مع عنوانك العام الذي تعرفه بالأمر التالي فعندك ترجمة واحدة فقط:

curl -4 -s https://api.ipify.org; echo

وقد شرحنا طريقة المقارنة هذه بالتفصيل في اكتشاف CGNAT.

ما هو وضع الجسر Bridge Mode؟

وضع الجسر Bridge Mode هو إعداد في جهاز المزود يطفئ فيه وظائف الطبقة الثالثة كلها، أي التوجيه وترجمة NAT وتوزيع العناوين DHCP والجدار الناري، وغالباً Wi-Fi أيضاً، ويترك جزء ال ONT أو المودم فقط، فيصبح الجهاز جسراً Bridge بين الخط وبين منفذ Ethernet، يمرر الإطارات كما هي دون أن يقرأ عناوين IP، وهو المعنى نفسه لكلمة Bridge الذي رأيناه في قسم ال Switch. والصورة التالية تبين الشبكة بعد التغيير:

في الرسم أعلاه لاحظ التالي:

• جهازك هو الآن ال Router الوحيد في البيت، فعنده ترجمة واحدة وجدار ناري واحد ومكان واحد لتوجيه المنافذ، وأي قاعدة تضعها فيه تعمل من الخارج مباشرة.
• عنوان WAN في جهازك هو العنوان العام نفسه الذي كان يظهر في جهاز المزود، أو عنوان آخر من المزود، وهذا هو الاختبار الذي سوف تستخدمه للتأكد أن الوضع يعمل.
• كل الأجهزة في البيت يجب أن تتصل بجهازك أنت، سلكياً أو عبر Wi-Fi الخاص به، والسبب أن منافذ جهاز المزود لم تعد تعطي عناوين ولا اتصالاً عادياً بالإنترنت.

والاسم يختلف بين الأجهزة، فقد تجده باسم Bridge Mode أو Modem Mode أو خيار يطفئ ال Router، وقد لا تجده أصلاً في الواجهة التي يعطيك المزود صلاحية الدخول إليها، لأن بعض المزودين يتركونه في حساب المدير فقط أو يفعلونه بطلب من خدمة العملاء، ولذلك فإن أول خطوة دائماً أن تسأل مزودك هل يدعم وضع الجسر على جهازك وكيف يفعل، ولا تعتمد على شرح جهاز آخر حتى لو كان من الشركة المصنعة نفسها.

ولاحظ أنك لا تحتاج وضع الجسر أصلاً إذا كان المزود قد ركب لك ONT أو مودم منفصلاً مثل الأجهزة التي رأيناها في مقال الأجهزة، لأن هذا الجهاز جسر بطبيعته، فتوصل جهازك به مباشرة وتضبط فيه طريقة الاتصال.

PPPoE: من يسجل الدخول عند المزود؟

كثير من مزودي الألياف وDSL لا يعطونك عنواناً بمجرد أن توصل الكابل، وإنما يطلبون من ال Router أن يسجل الدخول باسم مستخدم وكلمة مرور، وهذه الطريقة اسمها PPPoE اختصاراً لـ PPP over Ethernet، وتصفها RFC 2516. وهي تعمل على مرحلتين: مرحلة الاكتشاف Discovery التي يبحث فيها جهازك عن جهاز المزود الذي ينهي الجلسات ويتفق معه على رقم جلسة، ثم مرحلة الجلسة Session التي يسجل فيها الدخول ويأخذ عنوانه وتمر فيها كل الحركة، ولكل مرحلة نوع إطار Ethernet خاص بها، 0x8863 للاكتشاف و0x8864 للجلسة.

وهنا تظهر النقطة الأهم في وضع الجسر: عندما كان جهاز المزود Router كان هو الذي يسجل الدخول ويحتفظ باسم المستخدم وكلمة المرور، وعندما يصبح جسراً فإن إطارات PPPoE تمر عبره كما هي، فيجب أن يقوم جهازك أنت بتسجيل الدخول، ولذلك تحتاج قبل أي تغيير إلى ثلاثة أشياء من المزود:

1. اسم المستخدم وكلمة المرور الخاصين ب PPPoE، وهما غالباً مختلفان عن بيانات دخولك إلى حسابك في موقع المزود.
2. رقم ال VLAN إذا كان المزود يضع حركة الإنترنت في VLAN خاص على الخط، وهو أمر منتشر في شبكات الألياف، فإذا لم يضع جهازك هذا الرقم على الإطارات فلن يرد عليه أحد في مرحلة الاكتشاف.
3. طريقة الاتصال نفسها، لأن بعض المزودين لا يستخدمون PPPoE أصلاً وإنما يعطون العنوان عبر DHCP، وفي هذه الحالة لا يوجد اسم مستخدم، وقد يكون الشرط الوحيد هو رقم ال VLAN.

والإعداد التالي مثال على اتصال PPPoE في ملف /etc/config/network على OpenWrt، مأخوذ من توثيق OpenWrt لبروتوكولات WAN، وقد غيرنا فيه اسم الجهاز إلى eth0.10 لنبين شكل ال VLAN، والرقم 10 مثال وليس رقم مزود حقيقي، ولم نشغله على جهاز:

config interface 'wan'
        option proto     'pppoe'
        option device    'eth0.10'
        option username  'user'
        option password  'pass'
        option keepalive '4 5'

في الإعداد أعلاه لاحظ التالي:

• proto 'pppoe' يجعل الواجهة تسجل الدخول بدلاً من أن تطلب عنواناً عبر DHCP.
• device 'eth0.10' يعني المنفذ eth0 مع وسم ال VLAN رقم 10 على كل إطار، فإذا كان مزودك لا يستخدم VLAN فاكتب اسم المنفذ وحده.
• keepalive '4 5' يرسل فحصاً دورياً للجلسة، ويعيد الاتصال إذا فشل أربع مرات متتالية بفاصل خمس ثوان.
• المجتمع في OpenWrt يجمع إعدادات مزودين حقيقيين من دول كثيرة في صفحة ISP Configurations، فابحث فيها عن مزودك، ولكن تأكد من الأرقام مع المزود نفسه لأنها قد تتغير.

وفي OPNsense والأجهزة الأخرى الفكرة واحدة: تختار PPPoE نوعاً لواجهة WAN، وتضع اسم المستخدم وكلمة المرور، وتنشئ VLAN على المنفذ إذا احتجت، وسوف نشرح ذلك خطوة خطوة في مقال «أول إعداد لـ OPNsense» من المرحلة نفسها.

لماذا تفتح بعض المواقع ولا تفتح أخرى بعد PPPoE؟

رأس PPPoE يأخذ ثمانية بايتات من كل إطار Ethernet، ولذلك تنص RFC 2516 على أن حجم الحزمة الأقصى MTU في الجلسة لا يزيد على 1492 بايت بدلاً من 1500، فإذا بقي جهازك يرسل حزماً بحجم 1500 فإن الحزم الكبيرة تحتاج إلى تقسيم أو تسقط، وتظهر المشكلة بشكل غريب: الصفحات الصغيرة تعمل، وبعض المواقع الكبيرة أو التحميلات تتوقف في المنتصف. والحل أن تتأكد أن واجهة PPPoE في جهازك تستخدم MTU بحجم 1492، وأن خيار تعديل حجم المقطع MSS Clamping مفعل، وهو الافتراضي في أغلب الأنظمة. وتوجد طريقة لرفع MTU إلى 1500 داخل PPPoE تصفها RFC 4638، ولكنها تحتاج أن يدعمها المزود وجهازك معاً، فلا تفعلها إلا إذا نص عليها المزود. وهذه المشكلة نفسها تظهر مع الأنفاق، وقد شرحنا سببها في قسم MTU من شرح VPN.

Bridge Mode أم IP Passthrough أم DMZ؟

ليست كل أجهزة المزودين تدعم وضع الجسر، وبعضها يعرض بدلاً منه خيارين آخرين يحلان جزءاً من المشكلة، والصورة التالية تقارن بين الثلاثة:

• وضع الجسر Bridge Mode: جهاز المزود مودم فقط، وجهازك يسجل الدخول ويحمل العنوان العام، وهي أنظف الطرق لأن كل شيء في جهاز واحد.
• تمرير العنوان IP Passthrough: جهاز المزود يبقى هو الذي يسجل الدخول ويحافظ على الجلسة، ولكنه يعطي العنوان العام لجهازك، عبر DHCP في أغلب الأجهزة، بدلاً من أن يحتفظ به، فيكون عند جهازك عنوان عام وترجمة واحدة، وهذا مفيد عندما لا يعطيك المزود بيانات PPPoE أو عندما تريد أن تبقى خدمات جهازه تعمل. والاسم والتفاصيل تختلف كثيراً بين الشركات المصنعة، فقد يبقى Wi-Fi جهاز المزود يعمل بترجمة خاصة به للأجهزة الأخرى، وقد لا يعمل.
• مضيف DMZ أو DMZ Host: جهاز المزود يبقى Router كاملاً بترجمته، ولكنه يوجه كل اتصال قادم لم يطلبه أحد إلى عنوان واحد هو جهازك، فيبدو كأن كل المنافذ موجهة إليه، ولكن تبقى ترجمتان على الحركة الخارجة، ويبقى عنوان WAN في جهازك خاصاً، فتبقى مشكلات UPnP والاتصال المباشر وIPv6 كما هي. وكلمة DMZ هنا ليست منطقة معزولة حقيقية كما في الشبكات المؤسسية، وإنما اسم تجاري لهذا الخيار.

والقاعدة: استخدم وضع الجسر إذا كان متاحاً وكنت تستطيع أن تحصل على بيانات الدخول، فإذا لم يكن متاحاً فاستخدم IP Passthrough، واجعل DMZ Host آخر الحلول، لأنه يحل مشكلة توجيه المنافذ فقط ويترك الباقي.

متى تستخدم وضع الجسر؟

وضع الجسر مناسب عندما يكون عندك جهاز تريده أن يكون هو حدود شبكتك مع الإنترنت، وأشهر الحالات:

• جدار ناري أو Router خاص بك: مثل صندوق صغير يعمل عليه OPNsense أو pfSense، أو Router يعمل ب OpenWrt، لأنك تريد قواعد وتحديثات وتقسيم شبكات VLAN لا يعطيك إياها جهاز المزود، وهذه الأجهزة لها مقالات قادمة في مرحلة معدات الشبكة، منها «تحرير الراوتر ببرنامج مفتوح: تثبيت OpenWrt بأمان» و«OPNsense أم pfSense؟».
• سيرفر منزلي بمنافذ مفتوحة: إذا كنت توجه المنفذين 80 و443 إلى Reverse Proxy في البيت، أو تشغل سيرفر VPN مثل WireGuard كما في دليل WireGuard وwg-easy، فترجمة واحدة تعني قاعدة واحدة في مكان واحد. وما هو ال VPN أصلاً شرحناه في ما هو VPN؟.
• عنوان عام في جهاز تتحكم فيه: مثل تحديث ال DNS الديناميكي DDNS من جهازك مباشرة، لأن جهازك يعرف عنوانه العام بنفسه.

وقد يتساءل البعض: اشتريت نظام Mesh لأن Wi-Fi جهاز المزود ضعيف، فهل أحتاج وضع الجسر؟ والإجابة في الغالب لا، والسبب أنك لا تحتاج Router ثانياً أصلاً، وإنما تحتاج نقاط وصول، فضع نظام Mesh في وضع نقطة الوصول AP Mode أو Bridge Mode الخاص به، وهو خيار يختلف عن وضع الجسر في جهاز المزود رغم تشابه الاسم، فيبقى جهاز المزود هو ال Router الوحيد، ويصبح نظام Mesh جزءاً من الشبكة نفسها، فلا توجد ترجمة ثانية ولا تخسر شيئاً من خدمات المزود.

ولا تستخدم وضع الجسر إذا كنت خلف CGNAT كما في التحذير أعلاه، أو إذا كنت تعتمد على تلفزيون المزود أو هاتفه ولم تتأكد أن جهازك يستطيع تشغيلهما، أو إذا كنت لا تملك وقتاً لإدارة جهازك وتحديثه، لأنه سوف يصبح الجهاز الذي يواجه الإنترنت مباشرة.

ما الذي تخسره في وضع الجسر؟

جهاز المزود لا يحمل الإنترنت فقط، فكثير من المزودين يمررون على الخط نفسه خدمات أخرى مثل التلفزيون عبر الإنترنت IPTV والهاتف عبر الإنترنت VoIP، وكل خدمة في VLAN مستقل بإعدادات يعرفها جهاز المزود، والصورة التالية تبين ذلك:

والصورة التالية لظهر جهاز مزود ألياف حقيقي يجمع ONT وRouter، ولاحظ فيه منفذي الهاتف TEL 1 وTEL 2 بجانب منافذ LAN، وهذان المنفذان يعملان لأن الجهاز نفسه يسجل خط الهاتف عند المزود، فإذا أطفأت وظائفه فقد يتوقفان:

وما قد تخسره عند تفعيل وضع الجسر:

• التلفزيون IPTV: جهاز التلفزيون قد يحتاج VLAN خاصاً وبث Multicast يمرره جهاز المزود، وجهازك يستطيع ذلك أحياناً بإعداد إضافي، ولكنه يختلف من مزود إلى آخر، فاسأل قبل التغيير.
• الهاتف VoIP: منافذ TEL في جهاز المزود تعمل لأنه يسجل خط الهاتف عند المزود، وفي وضع الجسر قد تتوقف، إلا إذا أعطاك المزود بيانات SIP لتضعها في جهاز هاتف آخر، وهذا لا يفعله كل المزودين.
• Wi-Fi جهاز المزود: يتوقف غالباً، فيجب أن يكون عندك Wi-Fi من جهازك أو من نقاط وصول خلفه قبل أن تبدأ.
• دعم المزود: كثير من المزودين يديرون أجهزتهم عن بعد ببروتوكول مثل CWMP المعروف باسم TR-069 من Broadband Forum، فيرى الدعم الفني حالة الخط ويغير الإعدادات، وعندما يصبح جهازهم جسراً فإن كل ما خلفه يصبح مسؤوليتك، وقد يطلب منك الدعم إعادة الجهاز إلى وضعه الأصلي قبل أن يساعدك في أي عطل.
• الحماية: جهازك أصبح الجدار الوحيد بين الإنترنت وبيتك، فإذا كان برنامجه قديماً أو كلمة مرور الإدارة فيه ضعيفة أو واجهة الإدارة مفتوحة على جهة WAN، فلا يوجد شيء آخر يحميك، لذلك حدثه وأغلق الإدارة من الخارج قبل أي تغيير.
• IPv6: جهازك هو الذي يجب أن يطلب النطاق من المزود الآن، والمعيار RFC 7084 يشترط في ال Router المنزلي الذي يدعم IPv6 أن يدعم تفويض النطاق DHCPv6 Prefix Delegation، فتأكد أن الخيار مفعل في جهازك وإلا بقيت شبكتك على IPv4 فقط.

خطوات تفعيل وضع الجسر بأمان

الشاشات تختلف من جهاز إلى آخر، ولذلك لن نشرح جهازاً بعينه، ولكن الخطوات التالية تنطبق على أغلب الحالات، والفكرة الأساسية أن تجهز كل شيء قبل أن تقطع الطريق القديم، وأن يكون عندك طريق للعودة:

1. اسأل المزود: هل يدعم جهازك وضع الجسر أو IP Passthrough، وما طريقة الاتصال (PPPoE أو DHCP)، وما رقم ال VLAN إن وجد، وما بيانات PPPoE، وهل يتأثر التلفزيون والهاتف.
2. سجل الإعدادات الحالية: صور صفحات WAN وVLAN والتلفزيون والهاتف في جهاز المزود، وخذ نسخة احتياطية من الإعدادات إذا كان الجهاز يسمح بذلك، والسبب أن إعادة ضبط المصنع Factory Reset ترجع الجهاز إلى وضع ال Router، ولكنها قد لا ترجع بيانات الدخول إذا كان المزود قد وضعها عن بعد.
3. جهز جهازك أولاً: حدث برنامجه، وضع كلمة مرور قوية للإدارة، واضبط شبكة LAN وWi-Fi وDHCP فيه، واضبط واجهة WAN بطريقة الاتصال ورقم ال VLAN وبيانات الدخول، وفعل IPv6 مع Prefix Delegation إذا كان المزود يدعمه.
4. فعل وضع الجسر: من واجهة جهاز المزود أو عبر خدمة العملاء، ووصل منفذ WAN في جهازك بالمنفذ الذي يحدده دليل جهاز المزود، لأن بعض الأجهزة تجعل منفذاً واحداً فقط يعمل جسراً.
5. أعد تشغيل الجهازين: أعد تشغيل جهاز المزود ثم جهازك، والسبب أن جلسة PPPoE القديمة أو عنوان DHCP القديم قد يبقى مسجلاً عند المزود لفترة.
6. تحقق: كما في القسم التالي، ولا تنقل السيرفرات وتوجيه المنافذ إلا بعد أن يعمل الاتصال الأساسي.

كيف تتحقق أن الوضع يعمل؟

الاختبار الأهم أن يكون عنوان WAN الذي تراه في صفحة الحالة في جهازك هو نفسه العنوان العام الذي يراه الإنترنت، وتعرفه من حاسوب خلف جهازك بالأمر نفسه الذي استخدمناه أعلاه:

curl -4 -s https://api.ipify.org; echo

فإذا تطابق العنوانان فعندك ترجمة واحدة، ثم شغل tracert -d 1.1.1.1 أو traceroute -n 1.1.1.1، ويجب أن تكون المحطة الأولى هي جهازك، والمحطة الثانية خارج بيتك في شبكة المزود، دون عنوان خاص ثان من شبكة جهاز المزود القديمة. وبعد ذلك اختبر توجيه منفذ من شبكة أخرى مثل بيانات الهاتف، كما شرحنا في فتح المنافذ، وإذا كنت تستخدم IPv6 فتأكد أن الأجهزة في شبكتك أخذت عناوين IPv6 عامة.

مشكلات شائعة بعد التغيير

• لا يوجد إنترنت إطلاقاً، وجلسة PPPoE لا تبدأ: في الغالب رقم ال VLAN ناقص أو خاطئ، أو بيانات الدخول خاطئة، أو الكابل في منفذ في جهاز المزود لا يعمل جسراً، وسجل النظام System Log في جهازك يبين لك هل وصل إلى مرحلة الاكتشاف أصلاً أم رفض المزود اسم المستخدم.
• الإنترنت يعمل ولكن بعض المواقع لا تفتح: مشكلة MTU التي شرحناها أعلاه، فتأكد من 1492 ومن MSS Clamping.
• عنوان WAN في جهازك من 100.64.0.0/10: أنت خلف CGNAT عند المزود، ووضع الجسر يعمل كما يجب، ولكنه لا يستطيع أن يعطيك ما لا يعطيه المزود.
• لا تستطيع فتح صفحة جهاز المزود بعد التغيير: لأنه لم يعد في شبكتك، وبعض الأجهزة تبقي عنوان إدارة ثابتاً يمكنك الوصول إليه بحاسوب موصول به مباشرة وعنوان من النطاق نفسه، وإذا لم تجد طريقاً فزر إعادة الضبط في ظهر الجهاز يعيده إلى وضع ال Router، ولذلك سجلت الإعدادات في الخطوة الثانية.
• التلفزيون أو الهاتف توقف: أعد جهاز المزود إلى وضعه، ثم اسأل المزود عن إعدادات هذه الخدمات خلف جهاز خاص بك، أو استخدم IP Passthrough إذا كان يحافظ عليها في جهازك.

تدريب عملي

1. افتح صفحة الحالة في كل Router في بيتك واكتب عنوان WAN لكل منها، ثم قارنه بالعنوان العام من curl -4 -s https://api.ipify.org، وحدد هل عندك ترجمة واحدة أو اثنتان أو أنك خلف CGNAT.
2. ابحث في إعدادات جهاز المزود عن الخيارات الثلاثة Bridge Mode وIP Passthrough وDMZ، واكتب أيها موجود، ثم اسأل المزود عن رقم ال VLAN وطريقة الاتصال قبل أن تغير أي شيء.

الخلاصة

وصلنا لنهاية الموضوع، وأهم ما فيه:

• ال Double NAT يحدث عندما تضع Router خلف Router المزود، فيعمل الخروج إلى الإنترنت، ويفشل كل ما يحتاج إلى اتصال قادم أو إلى معرفة العنوان العام.
• اكتشفه بقراءة عنوان WAN في جهازك ومقارنته بعنوانك العام، وtracert يساعد عندما تظهر العناوين الخاصة ولا يحسم عندما لا ترد المحطات.
• وضع الجسر Bridge Mode يطفئ ال Router داخل جهاز المزود ويتركه مودم فقط، فيصبح جهازك هو ال Router الوحيد بترجمة واحدة ومكان واحد لتوجيه المنافذ.
• مع PPPoE ينتقل تسجيل الدخول إلى جهازك، فتحتاج اسم المستخدم وكلمة المرور ورقم ال VLAN من المزود، وMTU بحجم 1492 مع MSS Clamping.
• IP Passthrough يعطيك العنوان العام وجهاز المزود يحتفظ بالجلسة، وDMZ Host يحل توجيه المنافذ فقط ويترك ترجمتين.
• إذا كنت تريد Wi-Fi أفضل فقط فضع نظام Mesh في وضع AP Mode، وإذا كنت خلف CGNAT فوضع الجسر لن يعطيك عنواناً عاماً.
• قبل التغيير اسأل عن التلفزيون والهاتف، وحدث جهازك وأغلق إدارته من الخارج، لأنه أصبح الجدار الوحيد أمام الإنترنت.

دليلأجهزة الشبكة في البيت والمكتب: ماذا يفعل كل جهاز؟نأخذ كل جهاز في شبكة البيت والمكتب على حدة، من المودم إلى ال Router وال Switch، ونعرف ماذا يفعل ولماذا تحتاجه.دليلما هو NAT؟ شرح ترجمة العناوين وتوجيه المنافذلماذا تخرج كل أجهزة بيتك بعنوان عام واحد، وكيف يترجم ال Router العناوين، ولماذا يفشل توجيه المنافذ خلف CGNAT.دليلتشغيل خادمك من إنترنت المنزل: كل طرق الوصول من الخارجكيف تصل إلى سيرفر في بيتك من الإنترنت حتى لو كنت خلف CGNAT، وما الطريقة المناسبة لك من بين ثماني طرق.دليلشبكة خاصة مع WireGuard وواجهة wg-easyكيف تنشئ شبكة VPN خاصة مع WireGuard وواجهة wg-easy، فلا يصل إلى لوحات الإدارة على سيرفرك إلا أجهزة فريقك.

سجل التحديثات

• أكتوبر 2026: كتابة المقال، مع مخرج tracert حقيقي من جهاز Windows 11 في شبكة منزلية، وصورة من Wikimedia Commons بإهداء للملك العام.