تنمو شبكتك: فروع أكثر، وموظفون أكثر، وترافيك أكبر. ويأتي السؤال: هل تبقي VPN على راوتر MikroTik، أم تنقله إلى سيرفر لينكس؟ الجواب يتوقف على ما يجب أن يتحمله هذا الجهاز، لا على أي منتج «أفضل» بالمطلق.
هذا المقال لا يعطيك رقماً جاهزاً لموديل معين، فنحن لم نقس سرعة MikroTik. بل يعطيك معياراً للقرار، وقياسات فعلية من طرف السيرفر، وطريقة تقيس بها جهازك بنفسك.
المقارنة باختصار
| المعيار | MikroTik | خادم لينكس |
|---|---|---|
| الموقع الطبيعي | طرف الشبكة، بجانب الخط | مركز بيانات بعنوان ثابت |
| الإدارة | WinBox وواجهة موحدة | ملفات وأوامر وأتمتة |
| المهام الجانبية | توجيه وجدار وطوابير في جهاز واحد | مراقبة ولوحات وخدمات إضافية |
| توسعة الموارد | تتطلب غالباً تغيير الجهاز | أنوية وذاكرة أكثر، خاصة على VM |
| الأدوات | أدوات مدمجة مركّزة | tcpdump وiperf3 وwg show وغيرها |
| الصيانة | ترقيات RouterOS | تحديثات نظام مستمرة ومسؤولية أمن |
متى تختار MikroTik؟
- حين يكون النفق جزءاً من الراوتر: فرع صغير يحتاج إلى راوتر وجدار ونفق في جهاز واحد.
- حين يدير الشبكة فريق شبكات: فالخبرة موجودة، والإدارة موحدة.
- حين يكون الترافيك معتدلاً: ربط برامج عمل وملفات، لا نقل بيانات ضخم دائم.
- حين يكون الجهاز في الموقع: فلا تحتاج إلى خدمة منفصلة في كل فرع.
وفي هذه الحالات تكون البساطة ميزة حقيقية. فقد اختبرنا RouterOS 7.25 عميل WireGuard، فنجحت المصافحة، وكان فقد ping 0%، وخرج الترافيك من عنوان السيرفر. وهذا يثبت أن الإعداد يعمل، ولا يثبت سرعة معينة.
متى تختار خادم لينكس؟
- حين يكون الترافيك عالياً ومستمراً: فالتشفير يأكل المعالج طوال الوقت.
- حين يتصل بك عدد كبير من الأطراف: كنقطة مركزية لفروع وموظفين.
- حين تحتاج إلى مراقبة وأتمتة: نصوص وسجلات وربط مع أنظمة أخرى.
- حين تريد موارد قابلة للتوسعة: خاصة على VM، حيث تزيد الأنوية دون تبديل عتاد.
- حين تكون السيرفرات أصلاً جزءاً من عملك: فالخبرة موجودة، والأدوات مألوفة.
وأكثر التصاميم عملية يجمع الاثنين: راوتر MikroTik في كل فرع، وسيرفر لينكس أو عدة سيرفرات في المركز. فلكل منهما عمله الذي يتقنه.
ماذا قسنا فعلاً على سيرفر؟
إليك أرقاماً من قياس على أحد سيرفراتنا. المواصفات: معالج Xeon E5-2698 v4 بعشرين نواة وأربعين خيطاً، و64GB ECC، ومرآة ZFS على SSD، على Proxmox. والرابط 1Gbps مع حد على السويتش عند 480Mbps، أي 60MB/s نظرياً.
| البند | النتيجة |
|---|---|
| تنزيل متواصل لمدة 3 دقائق | 57MB/s |
| قدرة تشفير WireGuard الداخلية، VM بأربع أنوية | ~1.7Gbps |
| التنزيل عبر النفق | 57MB/s |
| زمن الوصول عبر النفق محلياً | ~6ms |
| القدرة الكهربائية: خامل ثم معالج كامل | 53W ثم 304W |
القراءة الصحيحة: قدرة التشفير كانت أعلى من حد المنفذ، فكان السقف هو الرابط لا المعالج. ولذلك تساوى التنزيل مع النفق وبدونه عند 57MB/s. وهذا مثال يبين أن العتاد الكافي يجعل التشفير غير ملحوظ، لا أن كل سيرفر سيعطي الرقم نفسه.
أما فرق الكهرباء، فيذكرنا أن المعالج المشغول له كلفة حرارة وطاقة. ومعالج يعمل عند حدوده يعني زمن وصول أقل استقراراً، وهامشاً أضيق عند الذروة.
وهنا يتضح أن القرب ليس كل شيء. فالمسافة القصيرة تساعد، لكن إذا اختنق المعالج عند التشفير فلن ينفعك قربه. اسأل عن المعالج والمنفذ كما تسأل عن المكان.
BBR لا يحل مشكلة النفق
يخلط كثيرون هنا. على منفذ بحد policer رفع قياس Ookla عبر TCP من 154-177Mbps قبل BBR إلى 365-444Mbps بعده. وهذا تحسن كبير لـTCP على السيرفر. لكن WireGuard يعمل على UDP، فلا يسرّعه BBR مباشرة. ولا تبني قرارك على ذلك الرقم إن كان عملك كله عبر النفق.
كيف تقيس جهازك بنفسك؟
لا تعتمد على رقم منشور عن موديل، ولا على تجربة صديق. قس على جهازك، بترافيكك، في وقت الضغط. شغّل iperf3 عبر النفق بين السيرفر وجهاز خلف الراوتر، وراقب المعالج في الوقت نفسه:
# على السيرفر
iperf3 -s
# على جهاز خلف الراوتر
iperf3 -c 10.66.66.1 -t 30
iperf3 -c 10.66.66.1 -t 30 -R
# على MikroTik أثناء الاختبار
/tool profile duration=30s
/system resource print
/interface wireguard peers print detailراقب توزيع الحمل بين الأنوية، لا الرقم الكلي فقط، فقد تكون نواة واحدة ممتلئة والمتوسط يوحي بالراحة. وعلى لينكس استعمل wg show وtop. ولا تعتمد على رسوم اللوحات وحدها، فلوحات Proxmox تعرض متوسطات، فقد يظهر 60MB/s لمدة 10 ثوانٍ كقيمة أقل بكثير.
إعداد لينكس الأساسي للمقارنة
إن قررت تجربة لينكس، فهذه خلاصة ما يلزم بعد تثبيت WireGuard وتشغيل الواجهة:
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 10.66.66.0/24 -o eth0 -j MASQUERADE
iptables -t mangle -A FORWARD -o wg0 -p tcp --tcp-flags SYN,RST SYN \
-j TCPMSS --clamp-mss-to-pmtu
wg showهذه الأوامر مؤقتة حتى إعادة التشغيل، فثبتها بعد الاختبار بالطريقة المناسبة لنظامك. وغيّر eth0 إلى اسم واجهتك.
أسئلة تحسم القرار
قبل الشراء أو النقل، أجب عن هذه الأسئلة بأرقام من شبكتك، لا بالتقدير:
- كم يبلغ ترافيك النفق في ساعة الذروة، لا في المعدل اليومي؟
- هل يعمل الراوتر عند الذروة قريباً من حدود معالجه؟
- كم طرفاً سيتصل بعد سنة، لا اليوم فقط؟
- من سيتولى التحديثات والمراقبة، وهل عنده الوقت والخبرة؟
- ما كلفة توقف النفق ساعة واحدة على عملك؟
إذا كان الراوتر مرتاحاً عند الذروة، فلا تنقل شيئاً لمجرد أن لينكس يبدو أكثر احترافية. فالتعقيد الذي لا تحتاج إليه كلفة أيضاً. وإذا كان المعالج ممتلئاً عند الذروة، فلا تزد الإعدادات على جهاز يختنق، وانقل عبء التشفير إلى مكان يتحمله.
ولا تنسَ جانب الأمن. السيرفر يحتاج إلى تحديثات دورية، وجدار مضبوط، ودخول بمفاتيح، ومراقبة. وهذه مسؤولية مستمرة، سواء أدرتها بنفسك أم طلبت من يساعدك فيها. وكذلك الراوتر يحتاج إلى ترقيات ومراجعة، فلا يوجد خيار بلا صيانة.
أما الانتقال نفسه فلا يتطلب قراراً نهائياً من أول يوم. ابدأ بفرع واحد على السيرفر الجديد، وقارن النتائج أسبوعاً، ثم انقل الباقي. فهذا الانتقال التدريجي يكشف المشكلات والفرق الحقيقي قبل أن تعتمد التصميم كله.
عن الأرقام: كل ما ورد هنا قياس على سيرفر واحد بإعدادات محددة، وليس ضماناً لخدمة ولا لراوتر. ولا نقارن هنا بأي مزود، ولا نذكر رقم سرعة لأي موديل MikroTik. استعمل VPN لربط الفروع والعمل عن بعد ضمن الأنظمة النافذة.
الخلاصة
اختر MikroTik لطرف الشبكة والبساطة، ولينكس للمركز والترافيك العالي والأتمتة. وإن كنت في المنتصف فاجمع الاثنين، ثم قس قبل أن تقرر.
إن كان ترافيكك يكبر، فسيرفرات مرام خيار لمن يريد عتاداً واضح المواصفات، ويمكننا مساعدتك على تقدير ما تحتاج إليه. وتتوفر لدينا خيارات منافذ بسرعات أعلى تصل إلى 100 جيجابت حسب التوفر والموقع، ونؤكد التفاصيل قبل الطلب.
