لقد قمت بضبط متصفح مضاد للكشف على نظام Windows وChrome، واخترت عنوان IP نظيف، وضبطت المنطقة الزمنية واللغة، ومع ذلك لا يزال الموقع يضع CAPTCHA أو يقوم بحظر الحساب. السبب الشائع يكمن تحت المتصفح، على مستوى TCP/IP. يرى الخادم أول حزمة اتصال (SYN)، ومن حقولها يمكن معرفة أي نظام تشغيل أرسل هذه الحزمة. إذا كان هذا خادم بروكسي يعمل بنظام Linux، بينما يعلن User-Agent أنه Windows، فإن نظام مكافحة الروبوتات يحصل على تناقض لا يمكن تصحيحه من خلال الرؤوس.
لم تعد هذه القضية غريبة. في 13 أكتوبر 2026، وفقًا لبيانات Proxyway، قام مزود الخدمة البريطاني Byteful بتفعيل تغيير بصمة TCP/IP في النسخة التجريبية العامة للبروكسيات الخاصة بمراكز البيانات ومزودي خدمة الإنترنت: يمكنهم التظاهر بأنهم Windows وmacOS وLinux وAndroid وiOS. التفسير من Proxyway بسيط: أنظمة مكافحة الروبوتات تنظر بشكل متزايد إلى بصمة TCP/IP. أدناه سنستعرض كيفية عمل هذا الفحص، وكيفية التحقق من بروكسي الخاص بك في خمس دقائق وماذا تفعل عند عدم التطابق.
ما هي بصمة TCP/IP ولماذا يغيرها البروكسي
يجمع كل نظام تشغيل حزمة SYN بطريقته الخاصة: TTL الابتدائي الخاص به، حجم نافذة TCP، معامل توسيع النافذة، MSS، والأهم من ذلك، مجموعة وترتيب خيارات TCP. يقوم الفحص السلبي (الأداة الكلاسيكية هنا هي p0f، بينما تُسمى الخيارات الحديثة Zardaxt وJA4T) بقراءة هذه الحقول وتخمين نظام التشغيل دون إرسال أي شيء للعميل في المقابل.
النقطة الرئيسية لمن يعملون من خلال البروكسي: يرى الموقع مكدس TCP للجهاز الذي يفتح آخر اتصال به. البروكسي العادي (HTTP CONNECT أو SOCKS5) يستقبل اتصالك ويفتح اتصالًا جديدًا بالموقع باسمه. لذلك، فإن TTL وخيارات TCP في الحزمة تعود للبروكسي، وليس لجهاز الكمبيوتر الخاص بك. يمكن تغيير User-Agent، أو بصمة TLS، أو الرؤوس، ولكن SYN قد تم جمعه بالفعل بواسطة نواة الجهاز الذي تتصل من خلاله.
القيم النموذجية حسب نظام التشغيل
المؤشرات من تحليل Scrapfly ووثائق pydoll (قد تختلف القيم حسب إصدارات النواة والشبكات):
- Windows 10/11: TTL الابتدائي 128، نافذة 64240–65535، ترتيب الخيارات MSS، NOP، WSCALE، NOP، NOP، SACK (بدون timestamp بشكل افتراضي).
- Linux: TTL 64، نافذة 29200 على نوى 3.x+ (على بعض النوى 5.x/6.x 64240)، ترتيب MSS، SACK، TIMESTAMP، NOP، WSCALE.
- macOS وiOS: TTL 64، نافذة 65535، ترتيب MSS، NOP، WSCALE، NOP، NOP، TIMESTAMP، SACK، EOL.
- Android: TTL 64، ترتيب الخيارات قريب من Linux، وهو منطقي، لأنه يعمل بنواة Linux.
من هنا تأتي الفخ الرئيسي: تعمل معظم بروكسيات مراكز البيانات على Linux. يحمل ملف تعريف "Windows + Chrome" فوق مثل هذا البروكسي علامات Linux في SYN، وهذا التناقض يكون أكثر وضوحًا.
مدى دقة أنظمة مكافحة الروبوتات في اكتشاف عدم التطابق
توجد أرقام في مشروع مفتوح Zardaxt: هذه هي النسخ المعدلة من p0f وsatori.py، التي تبحث عن أجهزة الإرسال، أي بروكسيات HTTP وSOCKS، التي يتظاهر المتصفح من خلالها بأنه جهاز آخر. وفقًا لبيانات README للإصدار من 21 سبتمبر 2026 (قاعدة بيانات من 1,453 بصمة تقريبًا من 23,000 جلسة):
- النموذج مع عتبة 0.8 يكتشف 94.4% من الاتصالات عبر البروكسي ويخطئ في وضع علامة على 0.1% فقط من الاتصالات المباشرة؛
- إذا أعلن المتصفح أنه Windows، يتم اكتشاف البروكسي في 96% من الحالات، وإذا كان Mac، في 99%؛
- نقطة الضعف هي Android وLinux: يتشاركون في نفس الفئة، لذلك يتم اكتشاف مثل هذه الأجهزة في 74% من الحالات؛
- نموذج VPN النفق لا يُكتشف تقريبًا (6.1%): عبر النفق مع الموقع، يتحدث مكدس جهازك الخاص.
تظهر أنظمة التشغيل بشكل أكبر من خلال ترتيب خيارات TCP: في التحليل العاملي للمشروع، تخمن هذه الحقل نظام التشغيل في 99.1% من الحالات. علم DF شبه عديم الفائدة (0.362). هذه أداة مفتوحة لمحقق واحد، بينما لا تُنشر التفاصيل عن أنظمة مكافحة الروبوتات التجارية، لكن المبدأ هو نفسه: مقارنة نظام التشغيل من SYN مع نظام التشغيل من User-Agent.
كيفية التحقق من بروكسي الخاص بك: خطوة بخطوة
- احصل على "المرجع" بدون بروكسي. افتح في متصفح عادي browserleaks.com/tcp. سجل TTL، MSS، ترتيب الخيارات، تخمين p0f وتقديرات Zardaxt لنظام التشغيل. هذا هو مكدسك الحقيقي.
- تحقق من البروكسي من وحدة التحكم. قم بتنفيذ طلب عبر البروكسي إلى مصنف مفتوح:
curl -x http://LOGIN:PASS@HOST:PORT "https://tcpip.incolumitas.com/classify?by_ip=1"
في الرد سيكون هناك حقلavg_score_os_classمع الدرجات لنظام Linux وWindows وMac OS وiOS. الفائز هنا هو نظام التشغيل لجهاز الخروج من البروكسي، وليس جهاز الكمبيوتر الخاص بك. - كرر في ملف تعريف مضاد للكشف. افتح browserleaks.com/tcp أو proxydetect.live/tcpip.html بالفعل في الملف الشخصي مع البروكسي. الآن قارن بين شيئين: نظام التشغيل من TCP/IP ونظام التشغيل من User-Agent في الملف الشخصي.
- انظر إلى MSS. توفر خط Ethernet النظيف MSS 1460. القيم مثل 1380 (WireGuard)، 1360 (IPsec) أو 1240 تشير إلى نفق في الطريق. في حد ذاته، هذا ليس حظرًا، حيث أن الشبكات المحمولة غالبًا ما تعطي MSS أقل، ولكن مع بقية العلامات يضيف الشكوك.
- قم بإجراء 5-10 قياسات على التدوير. على البروكسيات السكنية والمحمولة، قد يكون كل عنوان IP جديد جهازًا مختلفًا بنظام تشغيل مختلف. قياس واحد لا يقول شيئًا، انظر إلى التوزيع.
- اجمع في جدول: نوع البروكسي → نظام التشغيل حسب TCP → نظام التشغيل في الملف الشخصي → تطابق نعم/لا. هذا هو الجواب على أي ملف شخصي يجب تشغيله على أي بروكسي.
TTL واحد كدليل ليس كافيًا: القيمة المرئية تقل في كل جهاز توجيه، ويقيم الموقع فقط الابتدائي (64 أو 128) حسب أقرب درجة. تحل مجموعة الحقول، أولاً وقبل كل شيء ترتيب الخيارات.
ماذا تفعل عند عدم التطابق
1. قم بضبط الملف الشخصي وفقًا للبروكسي، وليس العكس
أرخص طريقة: اختر نظام التشغيل في الملف الشخصي بحيث يتطابق مع ما يظهره جهاز الخروج. إذا كان البروكسي يقدم Linux، فمن الأفضل تشغيل ملف تعريف Linux بدلاً من محاولة إقناع الموقع أنك Windows. بالنسبة للمهام التي لا تهم فيها نظام التشغيل في الملف الشخصي (مثل استخراج البيانات من الصفحات العامة، مراقبة الأسعار)، يحل هذا المشكلة تمامًا.
2. اختر نوع البروكسي وفقًا لنظام التشغيل المطلوب
- بروكسيات مراكز البيانات تظهر تقريبًا دائمًا خادم Linux من ASN السحابي. هذا طبيعي للاستخراج من عميل Linux (Python، Go، curl على الخادم): يتوافق المكدس وUser-Agent للسكربت الخاص بك. بالنسبة لملفات تعريف "مستخدم Windows"، هذه نقطة ضعف. احصل على بروكسيات مراكز البيانات حيث تكون السرعة وسعر الجيجابايت مهمين، وليس أسطورة "الشخص الحقيقي".
- بروكسيات سكنية تخرج عبر أجهزة منزلية حقيقية وبوابات، لذا يرى الموقع مكدس العقدة الحقيقية للمستخدم. نظام التشغيل على عنوان IP معين غير مضمون مسبقًا، لكن هذا هو مكدس جهاز حي، وليس خادم سحابي. بالنسبة لحسابات متعددة وأنظمة مكافحة الروبوتات المعقدة، تقدم البروكسيات السكنية الصورة الأكثر طبيعية، إذا تم التحقق من توزيع أنظمة التشغيل على التدوير.
- بروكسيات محمولة تظهر مسارات تشبه Android أو iOS. بالنسبة لملفات التعريف المحمولة (وسائل التواصل الاجتماعي، التطبيقات، النسخة المحمولة من المواقع)، هذا تطابق مثالي عبر جميع الطبقات. اقرأ المزيد عن كيفية تمييز عنوان IP المحمول الحقيقي عن المزيف في دليلنا للتحقق من البروكسيات المحمولة. لمثل هذه المهام، تناسب بروكسيات 4G/5G المحمولة.
3. لا تخلط بين طبقة TCP وطبقة TLS
الأدوات مثل curl-impersonate أو curl_cffi تتلاعب بمصافحة TLS وHTTP/2 تحت Chrome، ولكنها لا تلمس مكدس TCP: لا يزال يتم جمع SYN بواسطة نواة الجهاز الذي يتم الاتصال منه. بصمة TLS الجيدة فوق TCP المتناقض لا تنقذك، تحتاج إلى كلا الطبقتين. كيفية ضبط جزء TLS تم شرحه في المقالة حول تجاوز JA4 عبر curl_cffi.
4. تغيير نظام التشغيل على جانب البروكسي والأنفاق
يبدأ المزودون في بيع تغيير بصمة TCP/IP على خوادمهم، كما هو الحال مع Byteful أعلاه، لكن هذا لا يزال نادرًا ونسخة تجريبية. هناك أيضًا طريق عكسي: نموذج VPN النفق لا يُكتشف تقريبًا كجهاز إرسال، لأن الموقع يرى مكدسك الخاص. العيوب معروفة أيضًا: MSS المنخفض يكشف النفق، وغالبًا ما يتم إدراج عنوان IP الخاص بـ VPN في قواعد البيانات كعنوان استضافة.
الأخطاء الشائعة
- التحقق فقط من خلال أدوات فحص IP. تنظر خدمات سمعة IP إلى العنوان وASN، وليس إلى SYN. عنوان IP النظيف مع مكدس Linux تحت ملف تعريف Windows يمر عبر الفاحص ويفشل في نظام مكافحة الروبوتات.
- استخلاص النتائج من قياس واحد على التدوير. في مجموعة سكنية، قد يكون عنوان IP التالي نظام تشغيل مختلف.
- إصلاح باستخدام الرؤوس. لا يمكن لأي رأس إعادة كتابة SYN بعد أن أرسلته النواة.
- تجاهل ملفات تعريف Android على بروكسيات Linux. بالنسبة للنماذج المفتوحة، هذه منطقة عدم يقين (74% من الاكتشاف)، لكن أنظمة مكافحة الروبوتات التجارية قد تضيف إشارات أخرى، مثل التوقيتات وASN المحمول. يبدو أن الملف الشخصي المحمول أكثر طبيعية على IP المحمول.
النتيجة
بصمة TCP/IP هي طبقة لا يمكن تعديلها من المتصفح: تحددها الآلة التي تفتح الاتصال بالموقع. يستغرق الفحص خمس دقائق: browserleaks.com/tcp بدون بروكسي ومع بروكسي، بالإضافة إلى curl إلى مصنف مفتوح. القاعدة بسيطة: يجب أن يتطابق نظام التشغيل في الملف الشخصي مع نظام التشغيل لجهاز الخروج. تناسب مراكز البيانات نصوص Linux، والبروكسيات السكنية تناسب ملفات تعريف "الحياة" المكتبية، والبروكسيات المحمولة تناسب السيناريوهات المحمولة. اختر نوع البروكسي المناسب لملفك الشخصي، وقم بإجراء 5-10 قياسات على التدوير، وسيفقد نظام مكافحة الروبوتات واحدة من أكثر العلامات موثوقية.