التحقق الصارم على المرحّل

افتراضيًا، يشفر الخادم المشارَك اتصاله العلوي بالمرحّل لكنه لا يتحقق من هوية الطرف الآخر — نفس موقف الثقة عند أول استخدام كقبول شهادة موقّعة ذاتيًا في المتصفح. Strict Relay TLS يغيّر ذلك: يفحص الخادم المشارَك شهادة المرحّل مقابل مرجع جذر تقدمه له، ويرفض الاتصال ما لم تجتز السلسلة والصلاحية واسم المضيف كل الفحوصات. هذا يجعل هجمات الوسيط على وصلة المرحّل شبه مستحيلة، مقابل خطوة يدوية واحدة: تسليم الخادم المشارَك مرجع المرحّل الجذر. تطبّق هذه الصفحة الفكرة نفسها الواردة في الصفحة السابقة، التحقق الصارم على العملاء، على وصلة المرحّل العلوية للخادم المشارَك.

أين يُهيأ

يُهيأ التحقق الصارم على الخادم المشارَك — الآلة التي يشير Relay Address فيها إلى المرحّل. في واجهة الويب الخاصة به، افتح قسم Server: أسفل Relay Secret Key يقع سطر Strict Relay TLS الذي يعرض حالة On / Off الحالية. وسّعه لترى:

1. Upstream Relay Root CA — حقل متعدد الأسطر لشهادة المرجع الجذر العامة للمرحّل؛
2. مفتاح تبديل Off / On — لا يمكن اختيار On إلا عندما يُقرأ PEM كشهادة صالحة.

لا تُحفظ إعدادات المرحّل أبدًا في منتصف التحرير: راجع القيم واضغط Apply. الحفظ يعيد الاتصال بالمرحّل العلوي بالإعدادات الجديدة فورًا.

إيصال المرجع الجذر إلى الخادم المشارَك

طريقتان، من المصدر نفسه (واجهة الويب الخاصة بالمرحّل نفسه):

• لصق سلسلة مشاركة — اضغط QR code في واجهة الويب لخادم المرحّل. تضمّن سلسلة المشاركة مرجع المرحّل الجذر مع العنوان والمفتاح، لذا فلصقها في حقل Relay Address لدى الخادم المشارَك يملأ حقل المرجع تلقائيًا أيضًا (انظر دليل الإعداد في قسم المرحّل (Relay)). يبقى الوضع الصارم معطلًا حتى تراجع المرجع وتفعّله بنفسك؛
• النسخ واللصق — اضغط «نسخ المرجع الجذر» في صفحة الشهادات و TLS للمرحّل والصق PEM في حقل Upstream Relay Root CA.

المرجع الجذر نفسه لكل خادم مشارَك ولا يتغير عبر تجديدات الشهادة — ضبطه مرة واحدة لكل مرحّل يكفي.

قبل الوثوق بالمرجع الجذر، تأكد أن لديك الأصلي: صفحة الشهادات و TLS للمرحّل تعرض بصمة SHA-256 للمرجع الجذر. قارنها مع PEM الذي أنت على وشك لصقه. إذا اختلفتا، لا تُمكّن التحقق الصارم — احصل على المرجع من قناة موثوقة بدلًا من ذلك.

ماذا يفحص الوضع الصارم

مع التبديل على On، يجب أن يقدّم اتصال RelayPrimary العلوي شهادة:

1. تبني سلسلة إلى المرجع الجذر المُهيأ — أي شهادة موقّعة من جهة أخرى، بما فيها جذور النظام العامة، تُرفض؛
2. تقع ضمن فترة صلاحيتها — الشهادات المنتهية أو غير الصالحة بعد تُرفض؛
3. تحمل SAN مطابقًا لاسم مضيف Relay Address الذي تتصل به — الشهادة الصادرة لأسماء أخرى تُرفض.

قيد واحد يُراعى: لا يُتحقق إلا من اتصال المرحّل العلوي. تبقى اتصالات Terminal والطلبات الراجعة على سياسة الشهادات الحالية.

إذا فشل أي فحص، يُرفض الاتصال وتُعاد المحاولة في الخلفية بفواصل متزايدة؛ يبقى الخادم المشارَك بعيد المنال عبر المرحّل حتى يجتاز الفحص أو تعطّل الوضع الصارم مجددًا.

حالات الفشل الشائعة

• التحقق الصارم من TLS يتطلب PEM لمرجع جذر — المفتاح مفعّل لكن حقل المرجع فارغ. الصق PEM أولًا؛
• عدم تطابق SAN — أنت تتصل بالمرحّل باسم أو IP غير موجود في شهادته. أضف الاسم في صفحة الشهادات و TLS للمرحّل (انظر صفحة «إدارة النطاقات و SAN») وأعد الإصدار؛
• الشهادة منتهية أو غير صالحة بعد — ساعة المرحّل غير مضبوطة، أو فشل تجديد شهادة الورقة. تحقق من حالة الشهادة على المرحّل؛
• غير موقّعة من المرجع المُهيأ — المرجع في الحقل يتبع مرحّلًا آخر، أو الاتصال يُعترض. قارن البصمات قبل المتابعة.