شبکههای باز واقعاً چه خطری دارند
شبکه باز یک فضای مشترک است. رمز عبور بهخودیخود همسایهها را کور نمیکند: در شبکهای با WPA2 کافی است رمز مشترک را بدانند و دستدادن شما را بربایند تا ترافیک را رمزگشایی کنند، و رمزی که روی تخته گچی نوشته شده برای کل سالن معلوم است. جدا کردن کلاینتها از یکدیگر را تنها WPA3 فراهم میکند. در شبکهای که اصلاً رمز ندارد، معمولاً رمزنگاری در سطح شبکه بهکلی وجود ندارد: فضای رادیویی در شعاع عملکرد نقطه دسترسی برای همه در دسترس است و هر دستگاهی با آداپتور مناسب میتواند ترافیک عبوری را بشنود. مورد جداگانه Enhanced Open (OWE) است: شبکه باز را بدون رمز عبور رمزگذاری میکند، اما فعلاً کم دیده میشود و نباید به وجودش تکیه کرد. آنچه ناظر میبیند: به کدام دامنهها سر میزنید، کی و چند وقت یک بار، اندازه و آهنگ انتقالها. همین برای بازسازی تصویر کافی است — چه برنامههایی روی دستگاه دارید، از کدام بانک استفاده میکنید، چه سایتهایی را باز میکنید. دسته خطر جداگانه دستگاههای همان شبکهاند: چاپگرها، لپتاپهای دیگران، اشتراکهای فایل که کامپیوتر شما ممکن است آنها را محیطی مورد اعتماد بداند. به اینها عادت دستگاهها به سپردن شبکهها به حافظه را بیفزایید: تلفنی که یک بار به نقطهای با نامی مشخص وصل شده، دفعه بعد خودش آن را پیدا میکند و بیصدا وصل میشود، هر جا که باشید.
نقاط دسترسی جعلی و حمله «مرد میانی»
سناریوی دوم از شنود منفعل خطرناکتر است. مهاجم نقطهای با نامی باورپذیر بالا میآورد — مثلاً نام کافه یا فرودگاه با یک رقم اضافه — و صبر میکند تا دستگاهها خودشان وصل شوند. تلفن اغلب این کار را خودکار انجام میدهد، اگر پیشتر شبکهای با نام مشابه دیده باشد. از آن پس همه ترافیک از تجهیزات بیگانه میگذرد و امکان حمله «مرد میانی» پدید میآید: تلاش برای پایین آوردن اتصال به حالت بدون رمزنگاری، جعل پاسخهای DNS، هدایت به نسخهای کپی از سایتی آشنا، پیشنهاد ناگهانی برای «بهروزرسانی گواهی» یا نصب یک برنامه. مرورگرهای امروزی در برابر این مقاومت میکنند و هشدار نشان میدهند، اما هشدار تنها وقتی کار میکند که خوانده شود. یک نکته جداگانه: جعل نام شبکه از نظر فنی بسیار ساده است و به تجهیزات گران نیازی ندارد، بنابراین اصولاً نمیتوان به نام نقطه دسترسی اعتماد کرد. جداگانه باید به یاد داشت که خطر به اعتبار مکان بستگی ندارد: شبکه هتلی گرانقیمت همانگونه ساخته شده که شبکه کافهای در ایستگاه راهآهن و در هر دو حالت تجهیزات را شما مدیریت نمیکنید.
بدون VPN چه چیزی محافظت میشود و چه چیزی نه
اینجا صداقت مهم است، چون ترساندن بیحساب بیفایده است. امروز تقریباً همه وب روی HTTPS کار میکند: محتوای صفحهها، رمزهای عبور و دادههای فرمها روی سایتهای سالم رمزگذاری شدهاند و نمیتوان آنها را همینطور از فضای رادیویی خواند. پیامرسانها و کلاینتهای ایمیل هم از رمزنگاری استفاده میکنند. اما چیزهای زیادی باز میمانند. پیش از همه نام سایتهایی که به آنها سر میزنید: بدون DNS رمزگذاریشده این نامها مستقیماً در درخواستها پیداست و حتی با آن هم معمولاً نام در فیلد باز SNI هنگام برقراری اتصال TLS باقی میماند — تنها افزونه ECH آن را پنهان میکند که هنوز همهجا پشتیبانی نمیشود. حلکننده عمومی روی درگاه 53 اینجا کمک چندانی نمیکند: گرداننده شبکه میتواند چنین درخواستهایی را برباید و جعل کند، بنابراین DNS روی HTTPS را انتخاب کنید. باز هم باقی میمانند: خود واقعیت و زمان اتصالها، دادههای برنامههای قدیمی که با پروتکل رمزگذارینشده کار میکنند، و هر چیزی که در صفحههای بدون HTTPS رخ میدهد، از جمله فرمهای ورود در سامانههای منسوخ. به اینها آسیبپذیری در برابر حملههای فعال را بیفزایید: جعل DNS و تلاش برای هدایت. نتیجه چنین است: بدون VPN شما از خوانده شدن محتوا در امانید، اما از مشاهده رفتار و از دخالت در مسیر نه. یادآوری فعالیت پسزمینه هم مفید است: در حالی که خبر میخوانید، دستگاه ایمیل، تقویم و فضای ابری را همگام میکند و این فعالیت هم از روی نام دامنهها و حجم انتقالها برای ناظر دیده میشود.
VPN چه چیزی را عوض میکند
اتصال از راه ویپیان دقیقاً همان لایهای را میبندد که باز میماند. میان دستگاه و سرور تونلی رمزگذاریشده برقرار میشود و برای همه کسانی که فضا را میشنوند تنها یک جریان داده به سوی یک نشانی میماند — بدون نام سایتها، بدون تفکیک به برنامهها، بدون ساختار قابل فهم. درخواستهای DNS به درون تونل میروند، بنابراین دیگر نمیتوان آنها را در شبکه محلی جعل کرد. تلاش برای هدایت شما به سایتی جعلی هم بیمعنا میشود: مسیر نه در کافه، بلکه روی سرور خروجی ساخته میشود. در همین حال پرحرفی دستگاه در شبکه محلی بیگانه هم بسته میشود — همسایهها دیگر نمیبینند از چه سرویسهایی استفاده میکنید. با این حال VPN جای عقل سلیم را نمیگیرد: از وارد کردن رمز عبور در سایت فیشینگ نجاتتان نمیدهد و دستگاه را از بدافزار درمان نمیکند. یک نکته عملی هم هست: برخی شبکههای عمومی خودشان سرویسهای جداگانه را میبرند — کار پیامرسانها یا کیفیت ویدیو را محدود میکنند. از راه تونل شبکه نمیبیند درون آن چه ترافیکی میرود، بنابراین چنین محدودیتهایی معمولاً دیگر عمل نمیکنند. اما عکسش هم پیش میآید: شبکه خود تونل را عبور نمیدهد و آنگاه تعویض سرور یا پروتکل در کلاینت کمک میکند.
اتصال خودکار: یک بار تنظیم کنید
هدف این است که کنار پیشخوان پذیرش به یاد محافظت نیفتید. اصل کلی روی همه سکوها یکسان است، هرچند نام گزینهها فرق میکند. روی Android تنظیمات شبکه سیستم را باز کنید و VPN دائمی را روشن کنید، و در تنظیمات برنامه اجرای خودکار را مجاز کنید و محدودیتهای کار در پسزمینه را بردارید — وگرنه سیستم کلاینت را در نامناسبترین لحظه از حافظه بیرون میریزد؛ روی iPhone چنین تنظیماتی اصلاً وجود ندارد. کلید سیستمی VPN دائمی برای کلاینتهای ثالث هم در iOS نیست، بنابراین روی iPhone اتصال خودکار در خود کلاینت تنظیم میشود: در پارامترهای آن دنبال اجرا هنگام روشن شدن و اتصال بنا به درخواست بگردید. روی کامپیوتر کافی است کلاینت را به فهرست اجرای خودکار بیفزایید و اتصال خودکار به آخرین سرور را روشن کنید. اگر کلاینت قواعد مبتنی بر نوع شبکه دارد، قاعدهای ساده تعریف کنید: در شبکه خانگی لازم نیست تونل برقرار شود، در هر شبکه ناآشنا همیشه برقرار شود. بهجای برچسبهای مشخص، دنبال کلیدهایی با همین معناها بگردید: رابط کلاینتها از نسخهای به نسخه دیگر تغییر میکند. بهتر است تنظیمات را از پیش و در خانه بیازمایید: حالت را روشن کنید، از شبکه خانگی جدا شوید و مطمئن شوید که اتصال خودش برقرار میشود. سر و کله زدن با این کار در فرودگاه و با چمدان در دست فکر بدی است.
captive portal در فرودگاهها و کافهها
دشواری جداگانه نقاط عمومی، صفحه ورود است که در آن باید شرایط را بپذیرید، شماره تلفن یا کد پیامکی وارد کنید. تا وقتی از آن عبور نشده، شبکه ترافیک را به بیرون راه نمیدهد و تونلی که از پیش روشن شده صرفاً برقرار نمیشود: کلاینت بیپایان تلاش میکند به سرور برسد. ترتیب درست چنین است: به شبکه وصل شوید، بگذارید صفحه ورود باز شود و از آن عبور کنید و بیدرنگ پس از آن اتصال را روشن کنید و تنها بعد ایمیل، بانک و سرویسهای کاری را باز کنید. اگر صفحه خودش ظاهر نشد، هر سایتی را با پروتکل بدون رمزنگاری باز کنید — معمولاً همین باعث میشود پورتال خودش را نشان دهد. بهتر است VPN دائمی روی Android و روی iPhone اتصال خودکار در خود کلاینت را در آن لحظه موقتاً خاموش کنید، وگرنه سیستم شما را به خود آن صفحه راه نمیدهد. پس از ورود میتوان حالت را برگرداند. عادت مفید این است که در صفحه پورتال چیز اضافی وارد نکنید. شماره تلفن گاهی به حکم الزامات شبکه اجباری است، اما ایمیل، تاریخ تولد و رضایت به دریافت خبرنامه تقریباً همیشه اختیاریاند.
VPN در سفر و در خارج از کشور
در سفر شبکههای عمومی بیشتر میشوند: هتل، فرودگاه، ایستگاه راهآهن، کافه، همایش. چند قاعده اعصاب را نجات میدهند. اتصال خودکار به شبکههای باز را خاموش کنید، وگرنه تلفن خودش نزدیکترین نقطه با نامی آشنا را برمیگزیند. محافظت را بهطور پیشفرض روشن نگه دارید و فقط برای مدت عبور از پورتال بردارید. کلید اتصال را از پیش جایی غیر از پیامرسان ذخیره کنید: Telegram از فوریه 2026 در شبکههای روسیه با اختلال کار میکند، حال آنکه همان حساب و همان کلید همیشه در حساب کاربری در دسترس است. در نظر داشته باشید که برنامههای بانکی گاهی هنگام ورود از کشوری دیگر تأییدیه میخواهند — اینجا تونلسازی تفکیکی کمک میکند، وقتی یک برنامه مستقیم به شبکه میرود. و دستگاهها را به یاد داشته باشید: اینکه چند دستگاه روی یک حساب RobinGood VPN کار میکند به تعرفه بستگی دارد — با توضیح آن بسنجید تا تلفن، لپتاپ و تبلت همسفر حتماً در سقف بگنجند. و آخر اینکه: در شبکههای هتلها و همایشها ترافیک سختگیرانهتر از معمول تجزیه میشود، بنابراین پروتکل یدکی یا نزدیکترین سرور در دسترس از فهرست وقت را صرفهجویی میکند. جابهجایی چند ثانیه، همانجا در کلاینت، طول میکشد و بهصورت دستی انجام میشود.
پرسشهای پرتکرار
اگر همه سایتها همینطور هم روی HTTPS کار میکنند، آیا VPN لازم است؟
بله، چون HTTPS محتوا را میبندد اما رفتار را نه. از فضای رادیویی همچنان پیداست که به کدام سایتها سر میزنید: نام دامنه در فیلد باز SNI باقی میماند، حتی وقتی DNS رمزگذاری شده باشد. زمان و شدت اتصالها هم دیده میشود و خود درخواستهای DNS را میتوان در شبکه محلی جعل کرد. VPN این لایه را هم برمیدارد و برای ناظر تنها یک جریان رمزگذاریشده به سوی یک نشانی میماند.
چگونه بفهمیم نقطه دسترسی جعلی است؟
بهطور مطمئن تقریباً به هیچ روی: نام شبکه بهسادگی جعل میشود و از روی نشانههای بیرونی نمیتوان کپی را از نمونه اصلی بازشناخت. بنابراین باید نه با تشخیص، بلکه با عادت محافظت کرد: به شبکههای باز خودکار وصل نشوید، بیدرنگ پس از ورود تونل را روشن کنید و هرگز هشدار مرورگر درباره گواهی را نادیده نگیرید.
چرا VPN در کافه یا فرودگاه وصل نمیشود؟
بیشتر اوقات صفحه ورود شبکه مانع است: تا وقتی شرایط شبکه را نپذیرفتهاید، هیچ ترافیکی به بیرون نمیرود، از جمله تلاشهای کلاینت برای رسیدن به سرور. نخست به شبکه وصل شوید و از پورتال عبور کنید، سپس اتصال را روشن کنید. بهتر است VPN دائمی روی Android یا اتصال خودکار در کلاینت روی iPhone را در این مدت موقتاً خاموش کنید.
آیا میتوان VPN را همیشه روشن گذاشت؟
بله، و در شبکههای عمومی این حالت پیشفرض معقولی است. تنها یک نکته را در نظر بگیرید: VLESS و ShadowSocks روی TCP کار میکنند، بنابراین هنگام گذر از Wi-Fi به شبکه همراه معمولاً نشست از نو برقرار میشود و اتصال چند ثانیه قطع میماند. مصرف باتری به کلاینت، شبکه و سناریوی استفاده بستگی دارد. استثنای جداگانه لحظه عبور از صفحه ورود در نقطه عمومی است.
آیا VPN از ویروسها و فیشینگ محافظت میکند؟
نه، اینها کارهای متفاوتیاند. VPN کانال انتقال دادهها را میبندد، اما محتوای سایتها را بررسی نمیکند و فایلهای مخرب را مسدود نمیکند. رمز عبوری که در صفحهای جعلی وارد شود، صرفنظر از روشن یا خاموش بودن تونل به دست مهاجم میرسد.
آماده اینترنت پایدار هستید؟