← العودة إلى المدونة
RUENZHESARPTDEFRJAKOITTRIDVIFAHI

بروتوكول WPAD: كيفية إعداد اكتشاف الوكيل التلقائي في الشبكة المؤسسية بدون أخطاء

يتيح WPAD إعداد الوكيل تلقائيًا على جميع أجهزة الشبكة المؤسسية دون الحاجة إلى تكوين يدوي - نستعرض كيفية عمله وما هي العقبات المحتملة.

📅٢٢ صفر ١٤٤٨ هـ
```html

إذا كان لديك عشرات أو مئات الأجهزة في شركتك - فمن غير الممكن كتابة إعدادات الوكيل يدويًا على كل منها. لهذا السبب يوجد بروتوكول WPAD (Web Proxy Auto-Discovery) - بروتوكول يسمح للمتصفحات والتطبيقات بالعثور تلقائيًا على إعدادات خادم الوكيل دون تدخل المستخدم. سنحلل كيف يعمل، وكيفية إعداده بشكل صحيح وما هي الأخطاء التي يجب تجنبها.

ما هو WPAD ولماذا هو ضروري

WPAD هو اختصار لـ Web Proxy Auto-Discovery Protocol - بروتوكول اكتشاف الوكيل التلقائي. مهمته الرئيسية هي السماح للجهاز العميل (الكمبيوتر المحمول، الهاتف الذكي، محطة العمل) بالعثور على إعدادات خادم الوكيل وتطبيقها بنفسه، دون الحاجة إلى تدخل يدوي من مسؤول النظام أو المستخدم.

تخيل شبكة مؤسسية بها 300 موظف. في كل مرة يتم فيها توظيف شخص جديد أو تغيير عنوان خادم الوكيل، سيكون على المسؤول أن يتجول يدويًا في كل جهاز أو يرسل تعليمات. مع WPAD، يحدث كل شيء تلقائيًا: يتصل الجهاز بالشبكة، يطلب التكوين ويبدأ العمل على الفور عبر الوكيل المطلوب.

تم تطوير البروتوكول في أواخر التسعينيات من قبل شركتي Netscape وSun Microsystems. على الرغم من عمره، لا يزال يُستخدم على نطاق واسع في البنى التحتية لتكنولوجيا المعلومات المؤسسية في جميع أنحاء العالم - خاصة في الأماكن التي تتطلب تحكمًا مركزيًا في حركة الإنترنت، تصفية المحتوى أو توجيه الطلبات عبر بوابة الشركة.

عندما يكون WPAD ضروريًا حقًا:

  • في الشركة أكثر من 20 جهازًا متصلة بنفس الوكيل
  • عنوان خادم الوكيل يتغير بشكل دوري
  • الموظفون يتصلون من مواقع مختلفة (مكتب، فرع، عن بُعد)
  • يجب تطبيق وكلاء مختلفين لأنواع مختلفة من الحركة
  • يتطلب إدارة مركزية دون مشاركة المستخدمين

تقنيًا، يعمل WPAD بالتعاون مع ملف PAC (Proxy Auto-Config)، الذي يحتوي على دالة JavaScript مع منطق اختيار الوكيل. WPAD هو آلية تسليم هذا الملف إلى الأجهزة العميلة، وPAC هو مجموعة القواعد نفسها. فهم كلا المكونين أمر بالغ الأهمية للإعداد الصحيح.

كيف يعمل WPAD: آلية الاكتشاف خطوة بخطوة

عندما يتصل جهاز مع تشغيل WPAD بالشبكة، يبدأ في إجراء عملية اكتشاف الوكيل التلقائي. هذه العملية موحدة بدقة وتتم وفق تسلسل محدد. فهم هذا التسلسل يساعد على إعداد البنية التحتية بشكل صحيح وتشخيص المشكلات بسرعة.

الخطوة 1: طلب عبر DHCP (الخيار 252)

أولاً، يرسل الجهاز طلب DHCP مع الخيار 252 (wpad). إذا كان خادم DHCP مُعدًا لدعم WPAD، فإنه يُرجع عنوان URL لملف PAC في الرد - على سبيل المثال، http://wpad.company.local/wpad.dat. هذه هي أسرع وأكثر الطرق موثوقية لتسليم التكوين، حيث تحدث في مرحلة الحصول على عنوان IP.

الخطوة 2: طلب DNS إلى المضيف "wpad"

إذا لم يُرجع DHCP عنوان URL، يتصل الجهاز بخادم DNS بطلب لحل اسم wpad في النطاق الحالي. إذا كان الجهاز في النطاق company.local، سيكون طلب DNS إلى wpad.company.local. عند النجاح في الحل، يتصل الجهاز بالعنوان http://wpad.company.local/wpad.dat.

الخطوة 3: تحميل وتطبيق ملف PAC

بعد الحصول على عنوان URL، يقوم المتصفح أو التطبيق بتحميل ملف PAC عبر HTTP. يحتوي الملف على دالة JavaScript FindProxyForURL(url, host)، التي تعيد لكل طلب سلسلة من التعليمات: استخدام الوكيل، الاتصال مباشرة أو التبديل بين قائمة الخوادم. يقوم العميل بتخزين هذا الملف في الذاكرة ويطبقه لتوجيه الحركة.

نقطة مهمة: يحدث اكتشاف WPAD ليس فقط عند الاتصال الأول، ولكن يتكرر بشكل دوري. عادةً ما يقوم المتصفحات بإعادة تحميل ملف PAC عند كل بدء تشغيل أو خلال فترات محددة. هذا يعني أنه عند تغيير إعدادات الوكيل، يكفي تحديث ملف PAC على الخادم - ستلتقط جميع الأجهزة التغييرات تلقائيًا.

مرحلة الاكتشاف الطريقة الأولوية المتطلبات
DHCP Option 252 نقل مباشر لعنوان URL 1 (الأعلى) خادم DHCP مُعد
DNS wpad.* حل اسم المضيف 2 سجل A لـ wpad في DNS
عنوان URL PAC يدوي إعداد صريح يدوي إعداد على كل جهاز

ملف PAC: قلب تكوين WPAD

ملف PAC (Proxy Auto-Configuration) هو ملف JavaScript يحتوي على دالة واحدة إلزامية FindProxyForURL(url, host). في كل مرة يريد فيها المتصفح أو التطبيق إنشاء اتصال، يستدعي هذه الدالة ويحصل على تعليمات: عبر أي وكيل يجب أن يذهب أو إذا كان يجب الاتصال مباشرة.

تأخذ الدالة معلمين: عنوان URL الكامل للموارد المطلوبة واسم المضيف. بناءً على هذه البيانات، تعيد سلسلة من ثلاثة أنواع من التعليمات:

  • DIRECT - الاتصال مباشرة، بدون وكيل
  • PROXY host:port - استخدام الوكيل HTTP المحدد
  • SOCKS host:port أو SOCKS5 host:port - استخدام وكيل SOCKS

مثال على ملف PAC بسيط لشبكة مؤسسية: 

function FindProxyForURL(url, host) {

  // العناوين المحلية - مباشرة
  if (isPlainHostName(host) ||
      shExpMatch(host, "*.company.local") ||
      isInNet(host, "192.168.0.0", "255.255.0.0")) {
    return "DIRECT";
  }

  // الخدمات الداخلية - مباشرة
  if (shExpMatch(host, "*.internal.company.com")) {
    return "DIRECT";
  }

  // كل الحركة الأخرى - عبر الوكيل المؤسسي
  return "PROXY proxy.company.local:8080; DIRECT";
}

لاحظ التركيبة PROXY proxy.company.local:8080; DIRECT - هذه سلسلة من خيارات النسخ الاحتياطي. إذا كان الوكيل الرئيسي غير متاح، سيتحول المتصفح تلقائيًا إلى الاتصال المباشر. يمكنك تحديد عدة خوادم وكيل عبر فاصلة منقوطة لتحقيق توازن الحمل أو الاحتياطي.

يجب توزيع ملف PAC عبر خادم الويب مع نوع MIME الصحيح: application/x-ns-proxy-autoconfig. بعض المتصفحات تقبل أيضًا text/plain، لكن لا يُوصى بذلك. عادةً ما يُسمى الملف wpad.dat أو proxy.pac ويُوضع في جذر خادم الويب.

وظائف PAC المفيدة للسيناريوهات المعقدة:

  • isInNet(host, pattern, mask) - التحقق من عنوان IP وفقًا لقناع الشبكة الفرعية
  • shExpMatch(str, pattern) - المقارنة مع النمط (wildcards)
  • dnsDomainIs(host, domain) - التحقق من الانتماء إلى النطاق
  • myIpAddress() - الحصول على عنوان IP للعميل (للمكاتب المختلفة)
  • weekdayRange() / timeRange() - توجيه حسب الجدول الزمني

إعداد WPAD عبر DHCP وDNS

هناك طريقتان رئيسيتان لنشر WPAD في الشبكة المؤسسية: عبر DHCP وعبر DNS. في الممارسة العملية، يُوصى بإعداد كلاهما - DHCP كطريقة رئيسية وDNS كبديل. دعونا نستعرض كل نهج بالتفصيل.

الإعداد عبر DHCP (الخيار 252)

يجب إضافة الخيار 252 (WPAD) إلى خادم DHCP مع قيمة URL لملف PAC. لخادم Windows (دور DHCP):

  1. افتح وحدة تحكم إدارة خادم DHCP
  2. انتقل إلى قسم Server Options أو Scope Options
  3. اضغط على Configure Options → Advanced
  4. اختر Vendor class: Microsoft Windows 2000 Options
  5. ابحث عن الخيار 252 (WPAD) وأدخل URL: http://wpad.company.local/wpad.dat
  6. احفظ التغييرات - ستحصل أجهزة DHCP الجديدة على الإعداد تلقائيًا

بالنسبة لأنظمة Linux مع خادم ISC DHCP، أضف إلى ملف التكوين: 

# /etc/dhcp/dhcpd.conf
option wpad code 252 = text;

subnet 192.168.1.0 netmask 255.255.255.0 {
  range 192.168.1.100 192.168.1.200;
  option routers 192.168.1.1;
  option wpad "http://wpad.company.local/wpad.dat\000";
}

الإعداد عبر DNS

لطريقة DNS، يجب إنشاء سجل A باسم wpad في نطاق DNS الداخلي الخاص بك، يشير إلى عنوان IP لخادم الويب الذي يوزع ملف PAC.

  1. افتح وحدة تحكم إدارة DNS (Windows) أو حرر ملف المنطقة (BIND)
  2. في منطقة company.local، أنشئ سجل A: wpad → 192.168.1.50
  3. على الخادم 192.168.1.50، قم بنشر خادم الويب (IIS، Apache، Nginx)
  4. ضع ملف wpad.dat في جذر الموقع
  5. قم بإعداد نوع MIME لامتداد .dat: application/x-ns-proxy-autoconfig
  6. تحقق من الوصول: افتح في المتصفح http://wpad.company.local/wpad.dat

⚠️ مهم لخادم DNS في Windows:

بشكل افتراضي، يقوم خادم DNS في Windows بحظر إنشاء سجل A باسم "wpad" لأسباب أمنية (لحماية من هجمات WPAD). للسماح بإنشائه، نفذ في PowerShell: dnscmd /config /enableglobalqueryblocklist 0 أو أزل "wpad" من القائمة العالمية للحظر في DNS.

إعداد خادم الويب Nginx لتوزيع ملف PAC

# /etc/nginx/sites-available/wpad
server {
    listen 80;
    server_name wpad.company.local;
    root /var/www/wpad;

    location /wpad.dat {
        default_type application/x-ns-proxy-autoconfig;
        add_header Cache-Control "max-age=3600";
    }

    location /proxy.pac {
        default_type application/x-ns-proxy-autoconfig;
        add_header Cache-Control "max-age=3600";
    }
}

ثغرات ومخاطر أمان WPAD

WPAD هو أحد البروتوكولات التي تترافق فيها سهولة الإدارة مع مخاطر أمان خطيرة. فهم هذه المخاطر أمر بالغ الأهمية لأي متخصص في تكنولوجيا المعلومات يعمل مع الشبكات المؤسسية. تستخدم عدة فئات من الهجمات WPAD كوسيلة لاعتراض الحركة.

اختطاف اسم WPAD

إذا اتصل جهاز بالشبكة حيث لا يوجد خادم WPAD شرعي، ولكن المهاجم ينشر خادم DNS مزيف أو يستجيب لطلبات DHCP، يمكنه تمرير ملف PAC ضار للضحية. ستذهب جميع طلبات HTTP من المتصفح عبر وكيل المهاجم - هذه هي هجمة "الرجل في المنتصف" (MITM) الكلاسيكية. هذا خطر خاص في الشبكات العامة مثل الواي فاي.

إعادة ربط DNS عبر WPAD

تستخدم الهجمة حقيقة أن المتصفح يثق في ملف PAC وينفذ JavaScript فيه. يمكن أن يستخدم ملف PAC الضار دالة dnsResolve() لاستكشاف الشبكة الداخلية: عن طريق تجربة عناوين IP، وتحديد المنافذ والخدمات المفتوحة. هذا يحول متصفح الضحية إلى أداة لمسح البنية التحتية المؤسسية.

WPAD في الشبكات العامة

تواصل الأجهزة التي لديها اكتشاف تلقائي للوكيل البحث عن خادم WPAD حتى في الشبكات العامة - المقاهي، المطارات، الفنادق. إذا كان هناك سجل wpad.com في النطاق الأعلى (وقد تم تسجيل مثل هذه الحالات من قبل الباحثين)، قد يقوم المتصفح بتحميل ملف PAC من خادم خارجي. لهذا السبب، قامت ICANN بحظر تسجيل النطاق wpad.com.

التهديد وسيلة الهجوم إجراءات الحماية
MITM عبر WPAD مزيف تبديل DHCP/DNS DHCP Snooping، توقيع DNS
استكشاف الشبكة الداخلية ملف PAC ضار التحقق من سلامة PAC
تسرب البيانات في الشبكات العامة واي فاي مفتوح إيقاف WPAD خارج المكتب
اعتراض بيانات الاعتماد اعتراض الوكيل HTTPS + HSTS في كل مكان

كيف تحمي نفسك: توصيات عملية

  • قم بتفعيل WPAD فقط حيثما كان ذلك ضروريًا - على الأجهزة المؤسسية عبر سياسات المجموعة (GPO)
  • استخدم HTTPS لتوزيع ملف PAC - هذا يمنع تغيير المحتوى
  • قم بإعداد DHCP Snooping على المحولات - حماية من خوادم DHCP المزيفة
  • قم بحظر طلبات DNS لـ wpad على الحدود - حتى لا تبحث الأجهزة عن WPAD في الشبكات الخارجية
  • للموظفين عن بُعد، قم بإيقاف WPAD عبر سياسات VPN أو GPO عند العمل خارج المكتب
  • راقب الطلبات على wpad.dat - الطلبات غير المتوقعة قد تشير إلى هجوم

WPAD مقابل الإعداد اليدوي: مقارنة الأساليب

قبل تنفيذ WPAD، من المفيد فهم في أي الحالات يكون مبررًا حقًا، ومتى يكون من الأفضل الاعتماد على الإعداد اليدوي أو سياسات المجموعة. كل نهج له مزاياه وقيوده.

المعيار WPAD الإعداد اليدوي GPO (سياسات المجموعة)
قابلية التوسع ✅ ممتاز ❌ سيء ✅ ممتاز
دعم الأجهزة غير Windows ✅ نعم ✅ نعم ⚠️ فقط Windows
الأمان ⚠️ هناك مخاطر ✅ عالية ✅ عالية
مرونة قواعد التوجيه ✅ قصوى ❌ لا ⚠️ محدودة
سرعة تغيير الإعدادات ✅ فورية ❌ يدوي على كل جهاز كمبيوتر ⚠️ عند تحديث GPO التالي
العمل خارج الشبكة المؤسسية ⚠️ مخاطر في الشبكات العامة ✅ مستقر ✅ مستقر

الاستراتيجية المثلى لمعظم البيئات المؤسسية هي نهج مركب: WPAD للأجهزة المكتبية في النطاق وإعداد يدوي إجباري (عبر GPO أو MDM) لأجهزة الكمبيوتر المحمولة للموظفين عن بُعد. يوفر هذا مرونة في الإدارة دون التنازل عن الأمان.

يجب أيضًا أن تأخذ في الاعتبار أنه بالنسبة للمهام التي تتطلب الخصوصية والموثوقية - مثل العمل مع الخدمات الخارجية أو مراقبة المنافسين - قد لا يكون الوكيل المؤسسي عبر WPAD كافيًا. في هذه الحالات، يتم استخدام وكلاء سكنيين، الذين يوفرون عناوين IP لمستخدمين حقيقيين في المنازل ويقللون بشكل كبير من خطر الحظر من قبل الخدمات الخارجية.

بدائل WPAD للشبكات المؤسسية

WPAD ليس الطريقة الوحيدة لإدارة إعدادات الوكيل مركزيًا في الشبكة المؤسسية. اعتمادًا على البنية التحتية، حجم الشركة ومتطلبات الأمان، قد تكون هناك طرق أخرى مناسبة. دعونا نستعرض البدائل الرئيسية.

1. توزيع ملف PAC مباشرة عبر GPO

في بيئة Active Directory، يمكن استخدام سياسات المجموعة لتثبيت URL ملف PAC بشكل إجباري في متصفحات Internet Explorer وEdge (عبر إعدادات صيانة Internet Explorer أو القوالب الإدارية). الميزة هي السيطرة الكاملة على الأجهزة التي ستحصل على الإعدادات، دون مخاطر هجمات WPAD. العيب هو أنه يعمل فقط مع أجهزة Windows في النطاق.

2. وكيل شفاف (Transparent Proxy)

تقوم الأجهزة الشبكية (الموجه، الجدار الناري) باعتراض حركة HTTP/HTTPS وتحويلها عبر خادم الوكيل دون أي إعداد على الأجهزة العميلة. لا يعرف المستخدمون والتطبيقات بوجود الوكيل. هذه الطريقة مريحة، لكنها تتطلب دعم SSL Inspection لحركة HTTPS، مما يؤدي إلى متطلبات إضافية للبنية التحتية لـ PKI.

3. أنظمة MDM للأجهزة المحمولة

بالنسبة للهواتف الذكية والأجهزة اللوحية على نظامي iOS وAndroid، تسمح أنظمة إدارة الأجهزة المحمولة (MDM) - مثل Microsoft Intune وJamf أو VMware Workspace ONE - بدفع إعدادات الوكيل مركزيًا. هذه الطريقة أكثر موثوقية من WPAD للأجهزة المحمولة التي تعمل غالبًا خارج الشبكة المؤسسية.

4. VPN مؤسسي مع توجيه إجباري

بدلاً من خادم الوكيل، يتم توجيه كل حركة الموظفين عن بُعد عبر بوابة VPN المؤسسية. تُطبق سياسات تصفية وفحص الحركة على البوابة. يوفر هذا النهج مستوى عالٍ من الأمان، لكنه يتطلب بنية تحتية لـ VPN وقد يزيد من التأخيرات للمستخدمين في مناطق أخرى.

بالنسبة للمهام التي تتجاوز البنية التحتية المؤسسية - مثل عندما يراقب موظفو قسم التسويق أسعار المنافسين أو يختبرون الحملات الإعلانية من مناطق مختلفة - غالبًا ما تكون الأدوات المؤسسية غير كافية. في هذه الحالات، يتم استخدام وكلاء مراكز البيانات للمهام السريعة أو وكلاء الهواتف المحمولة للعمل مع الشبكات الاجتماعية ومنصات الإعلانات.

قائمة التحقق: كيفية اختيار النهج لإدارة الوكيل

  • ✅ أجهزة Windows فقط في النطاق → GPO + ملف PAC
  • ✅ بيئة مختلطة (Windows + Mac + Linux + موبايل) → WPAD + DHCP
  • ✅ متطلبات أمان عالية → وكيل شفاف أو VPN
  • ✅ أجهزة محمولة → MDM (Intune، Jamf)
  • ✅ موظفون عن بُعد → VPN + توجيه إجباري
  • ✅ العمل مع خدمات خارجية، إعلانات، تجميع البيانات → مقدمو الوكلاء الخارجيين

الخاتمة

WPAD هو أداة قوية لإدارة إعدادات الوكيل مركزيًا في الشبكات المؤسسية. WPAD المُعد بشكل صحيح عبر DHCP وDNS يحرر مسؤولي النظام من الحاجة إلى تكوين كل جهاز يدويًا ويسمح بتطبيق التغييرات على الفور على البنية التحتية بأكملها. المفتاح للنجاح في التنفيذ هو فهم آلية العمل، التكوين الجيد لملف PAC والإجراءات الأمنية الضرورية: DHCP Snooping، HTTPS لتوزيع PAC، حظر طلبات WPAD على حدود الشبكة.

من المهم أن نتذكر أن WPAD يحل مشكلة توجيه الحركة داخل الشبكة المؤسسية، لكنه لا يحل محل حلول الوكيل المتخصصة للعمل مع الخدمات الخارجية. إذا كانت فريقك تعمل على مراقبة المنافسين، اختبار الإعلانات من مناطق مختلفة أو العمل مع الأسواق، نوصي أيضًا بالنظر في الوكلاء السكنيين - حيث يوفرون عناوين IP حقيقية لمستخدمين منزليين ويقللون من خطر الحظر من قبل المنصات الخارجية.

```