VPN قبل Tor: ماذا يغيّر الترتيب فعلاً

يؤدي توصيل VPN أولاً إلى سلسلة محددة: الجهاز، ونقطة نهاية VPN، ومدخل Tor، ودائرة Tor، والوجهة. ترى شبكتك المحلية اتصالاً مشفّراً واحداً بالـ VPN، وترى عقدة مدخل Tor مخرج VPN كمصدر مباشر بدلاً من عنوان مزوّد الخدمة. أما مشغّل VPN فيرى اتصالات نحو البنية التحتية لمدخل Tor ويمكنه استنتاج استخدام Tor من الوجهات. كل مراقب يخسر شيئاً ويكسب شيئاً، ولهذا فإن الترتيب مقايضة لا ترقية.

لا شيء في تلك السلسلة يغيّر ما يتعلمه الموقع من حسابك أو ملفات تعريف الارتباط أو التفاصيل التي تكتبها.

ما الذي يغيّره الترتيب

تفقد الشبكة المحلية ومزوّد خدمة الإنترنت الرؤية المباشرة لحركة Tor، لأن القفزة الأولى أصبحت نفقاً مشفّراً إلى مزوّد. تفقد بوابة مدخل Tor عنوان منزلك وترى مخرج VPN. ويكسب مزوّد VPN البيانات الوصفية التي كان مزوّد الإنترنت يحتفظ بها: ما العناوين التي تتصل بها، وفي أي الأوقات، وكمية البيانات المنقولة.

بعد بوابة المدخل تعمل الدائرة كما كانت. لا تزال المرحّلات تفصل أدوار المدخل والوسط والمخرج، ولا يرى VPN المحتوى النهائي أكثر مما رآه مزوّد الإنترنت.

تأكيد المسار المستخدم فعلاً

غالباً ما يكون التوجيه المنفصل هو السبب في أن السلسلة المقصودة ليست السلسلة الحقيقية.إذا كان Tor Browser مستبعداً من النفق، أو كان ملف تعريف ثانٍ يوجّه بشكل مختلف، فسترى بوابة المدخل عنوان المزوّد مرة أخرى بينما لا تزال الواجهة تبدو متصلة. تحقق من المسار ومن المخرج المرصود بدلاً من الأيقونة.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

يُجاب طلب SOCKS عبر المنفذ 9150 من عميل Tor Browser نفسه، لذا يؤكد رد IsTor true دائرة المتصفح، لا أن كل تطبيق آخر يستخدمها. يحسن تسجيل مخرجات المحلّل لأن DNS قد يخرج عبر مسار لا يغطيه النفق. احتفظ بالمخرجين معاً مع طابع زمني. فهما الأساس للمقارنة التالية.

قارن ذلك بطلب مباشر من طرفية عادية: إذا أبلغ ذلك أيضاً عن Tor، فثمة شيء آخر يعيد توجيه الحركة والسلسلة ليست ما افترضه التصميم.

راقب ما يحدث عند سقوط النفق

العميل الذي يرتد صامتاً إلى الواجهة المحلية يغيّر المصدر الذي تراه بوابة المدخل، وغالباً لا يدرك المستخدم ذلك لأن الصفحة ما زالت تُحمّل. هذا هو الفشل الذي يستحق الاختبار، لا المسار السعيد. افصل النفق عن قصد وراقب هل تتوقف حركة Tor أم تستمر غير محمية.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

قواعد الجدار الناري التي تحجب الحركة الصادرة خارج النفق هي الضابط الاحتياطي الموثوق الوحيد، ويجب أن تشمل عميل SOCKS الخاص بالمتصفح وأي تطبيق آخر يهمك. امتداد المتصفح ليس VPN على مستوى الجهاز ولا يؤثر في البرامج الأخرى أو المشاهدين الخارجيين.

قرّر ما إذا كانت الطبقة الإضافية تستحق الثقة

ينصح مشروع Tor بعدم تكديس VPN تحت Tor إلا إذا كنت تستطيع تقييم الإعداد بنفسك. سببهم المعلن هو الاعتماد الإضافي: طرف آخر وحساب آخر ووضع فشل آخر. إذا كان الهدف منع مزوّد الإنترنت من رؤية أنك تستخدم Tor، فإن VPN يعالج ذلك المراقب تحديداً. وإذا كان الهدف إخفاء هوية أقوى أمام مراقب عالمي، فإن VPN لا يوفره.

الترتيب العكسي موجود أيضاً، والأسماء ليست قابلة للتبديل:Tor فوق VPN و VPN فوق Tor يصفان علاقات ثقة مختلفة وسلوك فشل مختلف. اقرأ المقارنة قبل خلطهما.

دوّن أي مراقب تحاول تحريكه، ثم تحقق من أن المسار الحقيقي يطابق التصميم، ثم تحقق من سلوك الفشل. إذا لم تبرر تلك الإجابات الثلاث الحساب والإعداد الإضافيين، فإن إعداد Tor Browser الموثّق فيه أجزاء أقل يمكن أن تخطئ.