URnetwork vs Tailscale

تصل Tailscale الأجهزةَ التي تملكها في شبكة متشابكة خاصة مشفّرة؛ وURnetwork خروجٌ خاص إلى الإنترنت العام. وهما أداتان مختلفتان، وتتداخلان عند نقطة واحدة بالضبط: إضافة عقدة الخروج من Mullvad.

اختر Tailscale للوصول إلى أجهزتك أنت: فالشبكة المتشابكة هي مهمتها كلها، وهي أفضل منتج في فئتها، ولا شيء في هذه الصفحة يجادل بغير ذلك. واختر URnetwork للإنترنت العام: مخارج سكنية، ومسار مقسوم، وحساب لا يلزم أن يكون أنت. ومعظم من يطرحون هذا السؤال ينبغي أن يواصلوا استخدام Tailscale للمهمة الأولى. وهذه الصفحة ترسم الحدّ، وما يحدث عند النقطة الوحيدة التي تتلامس عندها المهمتان.

Tailscale شبكة متشابكة بـWireGuard بلا إعداد، من شركة Tailscale Inc. في تورونتو، ممولةٍ برأس مال مخاطر بجولة Series C بقيمة 160 مليون دولار في أبريل 2025. وهي تضم حاسوبك المحمول وهاتفك وخوادمك وأجهزتك الافتراضية في شبكة خاصة، وتخترق أنظمة NAT لإقامة وصلات مباشرة بين الأنداد، وترتدّ إلى مرحّلات DERP لديها حين لا يوجد مسار مباشر. والمفاتيح الخاصة لا تغادر أجهزتك أبداً، والحزم المُرحَّلة نصٌّ مشفّر بالنسبة إلى المرحّل.

تستخدم URnetwork مخارج يشغّلها الأعضاء. ولا يتلقى المزوّد عنوان IP المصدري الخاص بك على المسار المُرحَّل. وتختم التطبيقات الأصلية حركة البيانات حتى المزوّد افتراضياً. ويشرح كيف تعمل URnetwork التصميم كاملاً. ويحفظ نموذج التهديد السجل الكامل لما يُخزَّن وما يُنفَّذ.

ستة فروق تؤثّر في الاختيار

تحفّظات تحت الجدول:

• تشفير ما بعد الكم هنا من جانب URnetwork وحدها: فجلسة X25519MLKEM768 بين العميل والمزوّد افتراضية في التطبيقات الأصلية، وتتخطّى أي مزوّد يتعذّر الختم معه بدل أن تتراجع. أما امتداد المتصفح فلا جلسة مختومة فيه؛ وهناك لا يسجّل مسارُ بيانات المشغّل شيئاً، وذلك مثبَّت باختبار في الكود المفتوح.
• وكلتاهما تشحن على Android وiOS وmacOS وWindows وLinux. وتضيف URnetwork امتداد متصفح مقترناً بتطبيق الويب الخاص بها ومفتاح إيقاف صريحاً على كل منصة، مفعّلاً افتراضياً في الامتداد.
• ويستطيع عملاء Tailscale الانسحاب من تسجيل الاتصالات بالخيار --no-logs-no-support، بكلفةٍ معلنة هي الدعم الفني.
• والاثنان يعملان معاً: Tailscale تمسك بنفق النظام وامتدادُ URnetwork يغطي المتصفح، ما دام الامتداد بروكسي لا يطالب بمسار نظام التشغيل. أما على الهاتف فتبدّل بينهما، لأن نظام التشغيل يشغّل ملف تعريف VPN واحداً في كل مرة.

الشبكة المتشابكة، وخادم المفاتيح

داخل شبكة tailnet، ادّعاءُ «لا نرى شيئاً» آليةٌ في معظمه. فكل جهاز يولّد زوج مفاتيح WireGuard الخاص به، والمفتاح الخاص لا يغادره أبداً. وخادمُ التنسيق يوزّع المفاتيح العامة وسياسة الوصول. ومرحّلات DERP تمرّر حزماً مشفّرة لا تستطيع فك تشفيرها، وكودُ المرحّل مفتوح المصدر. وسياسةُ الخصوصية لدى Tailscale تحدّد وعدها بمحتوى الحركة، وهو النطاق القابل للدفاع.

والثقة المتبقية في توزيع المفاتيح، وTailscale تسمّيها قبل منتقديها. فصفحة tailnet lock لديها تنصّ على أن Tailscale الخبيثة تستطيع «أن ترسل حركة إلى عقدك القائمة أو تتلقاها منها بالنص الصريح» بإدخال عقد في شبكتك. وtailnet lock هو الإصلاح: فالعقد الجديدة يجب أن تُوقَّع بمفاتيح على أجهزة تتحكم بها أنت. وثلاث حقائق تمنعه من حسم الأمر. فهو متوقف افتراضياً. وهو متاح في خطتي Personal وEnterprise لا في الفئات المدفوعة بينهما. ونشرةٌ في نوفمبر 2025، هي TS-2025-008، تفيد بأنه كان يتخطى فحوص التوقيع بصمت على العقد التي بلا مجلد حالة، من إدخال الميزة حتى الإصدار 1.90.8. ولذلك فعبارةُ صفحة الأمان القاطعة «لا تستطيع فحص حركتك» هي، في معظم شبكات tailnet، سببٌ قوي للثقة لا خاصيةً سارية.

والذي تمسك به Tailscale فعلاً بياناتٌ وصفية، وأكثر مما توحي به قراءة سريعة: هوية الحساب، وجردُ الأجهزة، والمفاتيح العامة، والسياسة، وعناوين IP العامة، ومنتجُ سجلات مسمّى هو Inter-Node Traffic Logs، يسجّل أحداث الفتح والإغلاق مع إحصاءات بايتات لكل اتصال بين الأجهزة، بلا أي مدة احتفاظ منشورة.

وممارسةُ الإفصاح حول ذلك كله جيدة على نحو غير معتاد. فأكثر من 40 نشرة أمنية علنية منذ 2022، معظمها طوعي، بخطوط زمنية وبنسبة الفضل إلى الباحثين. وأخطرها، CVE-2022-41924 في نوفمبر 2022، أتاح تنفيذ كود عن بُعد على عملاء Windows عبر إعادة ربط DNS، وأُصلح في الإصدار 1.32.3. وحادثةُ الخصوصية المؤكَّدة الوحيدة، TS-2025-004 في مايو 2025، وضعت غرباءَ لا صلة بينهم يتشاركون نطاق بريد إلكتروني في شبكة tailnet واحدة: 664 نطاقاً متأثراً، بلا استغلال مؤكَّد، وأُصلحت بجعل موافقة المستخدم مفعّلة افتراضياً. وفي أبريل 2024، ظلت سجلات تدفق الشبكة تجمع من خمس عشرة شبكة tailnet بعد انتقال تجريبي، ولا شيء في اللوحة يقول ذلك؛ وأُصلح الأمر خلال أيام، وأُبلغت تلك الشبكات. وSOC 2 Type II يغطي الأمان والتوافر والسرية. أما تقارير تدقيق Latacora فتُتاح عند الطلب لا منشورةً.

إضافة Mullvad: حيث تتلامس المهمتان

Tailscale ليست منتج خصوصية للخروج افتراضياً. فتصفّحك يغادر جهازك بالطريقة العادية: شركةُ الإنترنت التي تشترك معها تراه، والمواقعُ ترى عنوانك الحقيقي. وذلك خيار تصميمي لا ثغرة. وحين يريد مستخدم Tailscale إخفاء التصفح أيضاً، فهناك خياران، وهما يختلفان اختلافاً حاداً.

فعقدة الخروج الخاصة بك تنقل المراقبة بدل أن تزيلها. فشركةُ الإنترنت في منزلك ترى كل وجهة، وكل موقع يرى عنوان منزلك. واستئجارُ خادم افتراضي مخرجاً هو الحركة نفسها بملفٍّ أسوأ: فالعنوان الأحادي المستأجر يحدد هويتك، لأن كل ما يغادره لك أنت.

أما إضافة Mullvad، بنحو 5 دولارات شهرياً لكل خمسة أجهزة، فتوفّر حشداً حقيقياً، ومسارُ بياناتها أفضل مما قد يظن القارئ: فجهازك يتصل بخادم Mullvad مباشرة، معيداً استخدام مفتاح WireGuard القائم لديه، فلا تعبر الحركةُ بنيةَ Tailscale التحتية أبداً. وخادمُ Mullvad ينهي النفق، فيستطيع رؤية العنوان المتصل والوجهات معاً، بسياسة انعدام سجلات يدعمها أقوى سجل في القطاع، ومنه مداهمةُ أبريل 2023 التي لم تُنتج شيئاً (انظر URnetwork vs Mullvad).

والذي لا تفعله الإضافة هو تسليم المهمة كلياً. فوثائق Tailscale نفسها تذكر الحقائق الثلاث المهمة: أنها هي التي تولّد حسابات Mullvad وتديرها، وأنك لا تستطيع إحضار حسابك؛ وأن «تعرف Tailscale أي حسابات Mullvad تخصّ أي مستخدمي Tailscale»؛ وأن سجلات عميلها تستطيع إظهار أي مستخدم اتصل بأي خادم خروج لـMullvad، ما لم يكن الجهاز قد انسحب من التسجيل. وMullvad لا تتلقى أي معلومات هوية من Tailscale. فالترتيب إذن يضيف مراقباً ثانياً يمسك بهوية موثَّقة وسجل فوترة؛ وهو لا يستورد نموذج الحسابات المجهولة لدى Mullvad. وTailscale تقول ذلك بنفسها في منشور الإطلاق: «ليست مجهولية حقيقية، لأن تلك مشكلة لا تحاول Tailscale حلّها». وقليل من الشركات تكتب هذه الجملة عن ميزتها هي.

وجواب URnetwork عن السؤال نفسه بنيوي. فالمزوّد الذي يضع حركتك على الإنترنت لا يتلقى عنوان IP المصدري الخاص بك أبداً، والمشغّل لا يستطيع قراءة الجلسة المختومة التي يرحّلها، فلا يجمع أي طرف واحد بين هويتك ووجهاتك. والحساب يمكن أن يكون لا أحد: نقرة واحدة، بلا بريد إلكتروني، وبلا مزوّد هوية، مع عبارة استعادة هي اعتماد URnetwork الخاص ولا تكون أبداً عبارةَ محفظة عملات رقمية. وما يخزّنه المشغّل مسجَّل في نموذج التهديد.

أين تفوز Tailscale

• كل ما يخص الشبكة المتشابكة: الوصول إلى أجهزتك وخدماتك من أي مكان، بوصلات مشفّرة مباشرة، بلا تمرير منافذ، وبلا عناوين IP ثابتة.
• تشفير من طرف إلى طرف بين نقاط نهايتك بلا شيء يُضبط، إضافة إلى MagicDNS، وسياسة الوصول، وTailscale SSH، والموافقة على الأجهزة.
• النضج التشغيلي: SOC 2 Type II، وأكثر من 40 نشرة علنية، وسنوات من العملاء المصقولين. ولا تملك URnetwork دليلاً مكافئاً ولا مجموعة ميزات مكافئة.
• فئة شخصية مجانية تبقى مفيدة بدل أن تكون تجربة.
• عادات الإفصاح: فخادم التنسيق المغلق مذكورٌ بأنه مغلق في صفحة مصدرها المفتوح نفسها، وكودُ مرحّل DERP مفتوح.

أين تفوز URnetwork

• الخروج إلى الإنترنت العام هو المنتج، لا إضافة: مخارج سكنية في أكثر من 90 دولة، قابلة للبحث حتى المدينة.
• القسمة. المخرج لا يعرف من أنت أبداً، والمشغّل لا يستطيع قراءة الجلسة المختومة. ولا طرف واحد يجمع بين الهوية والوجهات.
• مخارج تندمج حيث تُحجب نطاقات مراكز البيانات، ومنها نطاقات Mullvad، أو يُعترَض عليها.
• حسابات لا يلزم أن تكون أنت: نقرة واحدة، بلا بريد إلكتروني، وتسجيل دخول بمحفظة أو بعبارة استعادة، وUSDC. أما شبكة tailnet فمربوطة بالهوية بحكم التصميم.
• مصدر المنظومة كلها، ومنه خادم التنسيق. فمستوى التحكم لدى Tailscale مغلق؛ وHeadscale، وهو البديل المجتمعي، غير تابع لها، ولشبكة tailnet واحدة، ونطاقُه محدَّد من صائنيه بالهواة.
• جانب العرض: يستطيع الأعضاء مشاركة اتصالهم في بروتوكول UR، ويستطيعون قصر المشاركة على أجهزتهم أنفسهم. ولا دور مماثل في شبكة tailnet.

الحدود والأدلة

أبرز حدود URnetwork:

• لا يغطي أي تدقيق مستقل البروتوكول ولا محرك الاتصال ولا كود خوادم المشغّل. وهناك تقييمان خارجيان من 2025 يغطيان سطحين آخرين: اختبار اختراق لتطبيق الويب وواجهة API ‏(أبريل–مايو 2025)، وتقييم Leviathan بمستوى MASA AL2 لتطبيق Android، وقد اجتازه. وتكتب Leviathan أن تقييمها «لا ينبغي أن يُقرأ بوصفه تقييماً أمنياً شاملاً أو اختبار اختراق وافياً». ولم يفحص أي منهما التسجيل أو الاحتفاظ بالبيانات أو مسار البيانات.
• تفترض القسمة أن المشغّل والمزوّدين في نافذتك مستقلون. ولا شيء في النظام يشهد بهذا الاستقلال، والمشغّل يستطيع تشغيل مزوّدين بنفسه، ولم يقس أي طرف خارجي الأسطول. انظر نموذج التهديد، §6.1.
• وتعيّن نقطة النهاية الاحتياطية المتوافقة مع WireGuard عنوان نفق واحداً ثابتاً، فقد يتعرّف عدة مزوّدين على العميل نفسه عبر الجلسات. والمسار الموصى به هو النفق الأصلي.
• والمخارج أجهزةُ مستهلكين: فالسرعة تتحرك مع نافذة المزوّدين، والتحويلُ الطويل قد يُعاد تثبيته في منتصف الجلسة حين يخرج مزوّد عن الاتصال.

وحدُّ Tailscale هو النطاق، وهو مقصود: فهي لا تحاول إخفاءك عن الإنترنت. ومشغّلها يمسك بحساب مربوط بهوية، وجردِ أجهزة، وعناوين IP عامة، ورسمٍ بياني للاتصالات؛ ومستوى التحكم لديها يوزّع المفاتيح وهو مغلق المصدر، وtailnet lock يسدّ فجوة المفاتيح حيث يكون متاحاً ومفعّلاً فقط. وإضافةُ Mullvad تسلّم الخروجَ إلى شركة مختبَرة جيداً بينما تحتفظ Tailscale بسجل من أنت وأي مخرج استخدمت.

أبقِ Tailscale للشبكة المتشابكة. وأضف URnetwork حين يكون السؤال هو الإنترنت العام. وتجربتها لا تكلّف شيئاً: الحساب الفوري نقرةٌ واحدة بلا بريد إلكتروني. وتجيب الأسئلة الشائعة عن مزيد من الأسئلة.