مرحّل خروج Tor مقابل خادم خروج VPN: ما يعرفه كل منهما
يعرض كل من مرحّل خروج Tor وخادم خروج VPN عنوانًا عامًا واحدًا، لكنهما يوزّعان المعرفة بشكل مختلف. قارن الرؤية والتغطية وسياسة المنافذ.
يخفي كلا التصميمين عنوانك خلف عنوان IP عام واحد، ولا يمكن لموقع يعرض العنوان الذي يراه أن يفرّق بينهما. الفرق هو من يعرف ماذا في الطريق، ومقدار حركة المرور المشمولة، وأي المنافذ مسموح لها بالعمل. مرحّل خروج Tor هو القفزة الأخيرة في دائرة من ثلاثة مرحّلات؛ أما خادم خروج VPN فيُنهي نفقك ويقيم الاتصال الصادر بنفسه. وإليك كيف أقرر أيّ النظامين تحتاج مهمة ما، وما أتحقق منه قبل أن أفترض أن أحدهما يتصرف مثل الآخر.
مساران ينتهيان عند عنوان واحد
يبني Tor دائرة عبر حارس ومرحّل وسط ومرحّل خروج، ويشفّر الحمولة في طبقات بحيث لا يقشر كل مرحّل إلا طبقته. ويقيم الخروج اتصال TCP العادي بالوجهة، ولهذا ترى الوجهة عنوان الخروج. لا يتحدث عميلك مع الوجهة مباشرة أبدًا، ولا يراها الحارس أيضًا.
شبكة VPN نفق واحد إلى نقطة نهاية واحدة. يزيل خادم المشغّل النفق ويفتح الاتصال الصادر، فترى الوجهة أيضًا عنوانًا واحدًا، هذه المرة عنوان المشغّل. النتيجة الملاحظة واحدة؛ أما المعرفة فليست كذلك. الاختبار الذي يطبع عنوان IP يجيب عن النظام الذي تستخدمه ولا يقول شيئًا عن تقسيم الثقة الذي يختلف فعلًا.
من يعرف ماذا في النهاية
ترى نقطة نهاية VPN عنوان المصدر والوجهة والتوقيت والحجم في مكان واحد. هذا التركيز هو التصميم: مشغّل واحد، وسطح سجلات واحد، ومكان واحد للاستدعاء أو لسوء الإعداد. كل ما تكسبه يأتي من الثقة بذلك الطرف ومن سياسة الخروج لدى نقطة النهاية.
يقسّم Tor تلك المعرفة. الحارس يعرف عنوانك لا الوجهة؛ والخروج يعرف الوجهة لا عنوانك. ليس من المفترض أن يعرف مرحّل واحد الاثنين. هذه خاصية بنيوية، وليست وعدًا ضد مراقب عالمي أو مرحّل يربط التوقيتات أو نقطة نهاية مخترقة، فتعامل معها كتوزيع مختلف للمخاطر نفسها لا كإخفاء هوية لا يمكن أن يفشل.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
التغطية قرار متصفح أو قرار مسار
يوجّه متصفح Tor حركته بنفسه ويضيف حمايات لا يحاكيها عميل VPN عام: مقاومة البصمة، وعزل الطرف الأول، وحجم نافذة ثابت، وإجراء «هوية جديدة» يتخلص من حالة الجلسة. لا تستخدم التطبيقات الأخرى تلك الدائرة إلا إذا ضُبطت على ذلك، وإعداد Tor على مستوى النظام مشروع منفصل عن تثبيت المتصفح.
شبكة VPN معاكسة في الشكل. تتبع التغطية جدول التوجيه، فملف WireGuard فيه AllowedIPs = 0.0.0.0/0 يلتقط كل شيء، وقائمة النفق المنقسم لا تلتقط إلا البادئات المذكورة فيها. وهذه الآلية نفسها هي أيضًا مقر التسريبات: استعلامات DNS و IPv6 و WebRTC يمكن أن يسلك كل منها مسارًا لم تشمله سياسة التوجيه. تحقق من داخل التطبيق الذي فشل، لا من تبويب متصفح قد يستخدم واجهة أخرى.
سياسة المنافذ والوجهات المحجوبة وHTTPS
لمرحّل خروج أن يرفض المنافذ الصادرة، والسياسة الافتراضية ترفض قائمة من المنافذ المعرضة للإساءة ومنها منفذ SMTP رقم 25. لذلك يفشل عميل بريد مضبوط عبر Tor عند الخروج، وهو ما يبدو كعطل شبكة وليس كذلك. المشغّلون الذين يديرون مرحّلًا يحددون ذلك صراحة:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25الوجهات تحجب أيضًا، وهي تحجب النظامين بشكل مختلف. عناوين خروج Tor منشورة، فيمكن لموقع رفض القائمة كلها؛ ونقاط نهاية VPN تقع في نطاقات مراكز بيانات تُرفض بالسهولة نفسها. عندما تفشل صفحة، افصل المرشّحات الثلاثة قبل تغيير أي شيء: سياسة الخروج أو الخروج الصادر، أو وجهة ترفض المصدر، أو بوابة أسيرة تختطف الطلب الأول.
لا يستبدل أي من النظامين تشفير النقل. HTTP العادي مقروء عند مرحّل الخروج وعند نقطة نهاية VPN على السواء، فأبقِ HTTPS مفعّلًا واقرأ تحذير الشهادة بدل تجاهله. فحصان يحسمان مسألة التوجيه سريعًا: curl -s https://check.torproject.org/api/ip يعيد IsTor عندما مرّ الطلب عبر دائرة، و curl -s https://ifconfig.me يعرض عنوان الخروج الذي ستقدمه شبكة VPN. تشغيل الاثنين يخبرك أي مسار تستخدمه الصدفة فعليًا.
لا تستخدم أحدهما كالآخر
عنوان مرحّل الخروج ليس ملف تعريف VPN. توجيه عميل OpenVPN أو WireGuard إلى مرحّل على المنفذ 443 لا ينشئ نفقًا، لأن لا خدمة VPN تستمع هناك؛ فالمرحّل قفزة في دائرة شخص آخر. وفي الاتجاه الآخر، نقطة نهاية VPN ليست نقطة دخول إلى Tor، وإعدادات الجسور في متصفح Tor ليست مكانًا للصق اسم مضيف VPN تجاري. وإذا شغّلت Tor فوق VPN، يرى الحارس عنوان VPN بدل عنوانك، وهو ما يغيّر التقسيم دون دمج الدورين.
قبل الاختيار، أجب عن أربعة أسئلة بالترتيب: من يشغّل نقطة النهاية وماذا يحتفظ به، وما الذي تغطيه الأداة على هذا الجهاز، وأي المنافذ والوجهات تسمح بها سياسة الخروج، وما الذي يضيفه التطبيق عدا مسار الشبكة. مهمة تحتاج وصولًا شبكيًا عاديًا لبرامج كثيرة تريد VPN. ومهمة تحتاج الحمايات على مستوى المتصفح ونموذج الدائرة تريد متصفح Tor، محدّثًا. وإذا كان الجواب «الاثنين»، فشغّلهما بترتيب مقصود واكتب أي عنوان يراه كل طرف.