Tor এক্সিট রিলে বনাম VPN এক্সিট সার্ভার: প্রতিটি কী জানে
Tor এক্সিট রিলে এবং VPN এক্সিট সার্ভার উভয়ই একটি প্রকাশ্য ঠিকানা দেখায়, কিন্তু জ্ঞান ভাগ করে ভিন্নভাবে। দৃশ্যমানতা, কভারেজ ও পোর্ট নীতি তুলনা করুন।
উভয় নকশাই আপনার ঠিকানাকে একটি প্রকাশ্য IP-এর পিছনে লুকায়, আর যে ওয়েবসাইট সে যে ঠিকানা দেখে তা ছাপে, সে তাদের আলাদা করতে পারে না। পার্থক্য হলো পথে কে কী জানতে পারে, কতটা ট্রাফিক ঢাকা পড়ে এবং কোন পোর্টগুলো কাজ করার অনুমতি পায়। Tor এক্সিট রিলে তিনটি রিলের একটি সার্কিটের শেষ ধাপ; VPN এক্সিট সার্ভার আপনার টানেল শেষ করে নিজেই বহির্গামী সংযোগটি গড়ে। এখানে আমি কীভাবে ঠিক করি একটি কাজের কোনটি দরকার, এবং ধরে নেওয়ার আগে কী যাচাই করি যে একটি অন্যটির মতো আচরণ করে।
একই ঠিকানায় শেষ হওয়া দুটি পথ
Tor একটি গার্ড, মাঝের রিলে ও একটি এক্সিটের মধ্য দিয়ে সার্কিট গড়ে এবং পেলোডকে স্তরে স্তরে এনক্রিপ্ট করে, যাতে প্রতিটি রিলে কেবল নিজের স্তরটি খোলে। এক্সিট গন্তব্যের সঙ্গে সাধারণ TCP সংযোগটি করে, এই কারণেই গন্তব্য এক্সিট ঠিকানাটি দেখে। আপনার ক্লায়েন্ট কখনো সরাসরি গন্তব্যের সঙ্গে কথা বলে না, আর গার্ডও এটি কখনো দেখে না।
VPN হলো এক প্রান্তে একটি টানেল। অপারেটরের সার্ভার টানেলটি সরিয়ে বহির্গামী সংযোগ খোলে, তাই গন্তব্যও একটি ঠিকানা দেখে, এবার অপারেটরের। পর্যবেক্ষণযোগ্য ফলাফল একই; জ্ঞান নয়। যে পরীক্ষা একটি IP ছাপে, তা বলে আপনি কোন সিস্টেমে আছেন এবং বিশ্বাসের সেই বিভাজন সম্পর্কে কিছুই বলে না যা সত্যিই আলাদা।
শেষ পর্যন্ত কে কী জানে
VPN প্রান্ত এক জায়গায় উৎস ঠিকানা, গন্তব্য, সময় ও পরিমাণ দেখে। এই কেন্দ্রীভবনই নকশা: একজন অপারেটর, একটি লগের পৃষ্ঠ, তলব বা ভুল কনফিগারেশনের এক জায়গা। আপনি যা পান তা ওই পক্ষের উপর বিশ্বাস এবং প্রান্তের বহির্গামী নীতির ফল।
Tor সেই জ্ঞান ভাগ করে। গার্ড আপনার ঠিকানা জানে কিন্তু গন্তব্য নয়; এক্সিট গন্তব্য জানে কিন্তু আপনার ঠিকানা নয়। একটি রিলের উচিত নয় দুটোই জানা। এটি একটি গঠনগত বৈশিষ্ট্য, বৈশ্বিক পর্যবেক্ষক, সময় মেলানো রিলে বা আপস করা প্রান্তের বিরুদ্ধে কোনো প্রতিশ্রুতি নয়, তাই এটিকে একই ঝুঁকির ভিন্ন বণ্টন হিসেবে দেখুন, এমন নাম-পরিচয়হীনতা হিসেবে নয় যা ব্যর্থ হতে পারে না।
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
কভারেজ হয় ব্রাউজারের সিদ্ধান্ত নয়তো রুটের সিদ্ধান্ত
Tor Browser নিজের ট্রাফিক নিজেই রুট করে এবং এমন সুরক্ষা যোগ করে যা সাধারণ VPN ক্লায়েন্ট পুনরুৎপাদন করে না: ফিঙ্গারপ্রিন্ট প্রতিরোধ, প্রথম-পক্ষ বিচ্ছিন্নতা, নির্দিষ্ট উইন্ডো আকার এবং একটি নতুন পরিচয় ক্রিয়া যা সেশন অবস্থা বাতিল করে। অন্য অ্যাপ্লিকেশনগুলো সেই সার্কিট ব্যবহার করে না, যদি না সেগুলো তা করার জন্য কনফিগার করা থাকে, আর সিস্টেম-ব্যাপী Tor সেটআপ ব্রাউজার ইনস্টল করার একটি আলাদা প্রকল্প।
VPN এর বিপরীত আকৃতি। কভারেজ রুট টেবিল অনুসরণ করে, তাই AllowedIPs = 0.0.0.0/0 সহ একটি WireGuard প্রোফাইল সবকিছু ধরে, আর স্প্লিট-টানেল তালিকা কেবল তার নাম দেওয়া প্রিফিক্সগুলো ধরে। ঠিক এই ব্যবস্থাতেই লিকগুলো বাস করে: DNS কোয়েরি, IPv6 ও WebRTC প্রত্যেকটি এমন পথ নিতে পারে যা রুট নীতিতে নেই। যে অ্যাপ্লিকেশনটি ব্যর্থ হয়েছে তার ভেতর থেকে পরীক্ষা করুন, এমন ব্রাউজার ট্যাব থেকে নয় যা ভিন্ন ইন্টারফেস ব্যবহার করতে পারে।
পোর্ট নীতি, অবরুদ্ধ গন্তব্য এবং HTTPS
এক্সিট রিলে বহির্গামী পোর্ট প্রত্যাখ্যান করতে স্বাধীন, আর ডিফল্ট নীতি অপব্যবহারপ্রবণ পোর্টের একটি তালিকা প্রত্যাখ্যান করে, যার মধ্যে SMTP পোর্ট 25 আছে। তাই Tor দিয়ে কনফিগার করা একটি মেইল ক্লায়েন্ট এক্সিটে ব্যর্থ হয়, যা নেটওয়ার্ক ত্রুটি মনে হয় কিন্তু নয়। রিলে চালানো অপারেটররা এটি স্পষ্টভাবে নির্ধারণ করেন:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25গন্তব্যগুলোও ব্লক করে, এবং তারা দুটি সিস্টেমকে ভিন্নভাবে ব্লক করে। Tor এক্সিট ঠিকানা প্রকাশিত, তাই একটি সাইট পুরো তালিকা প্রত্যাখ্যান করতে পারে; VPN প্রান্তগুলো ডেটাসেন্টার রেঞ্জে থাকে যা ঠিক তেমনই সহজে প্রত্যাখ্যাত হয়। যখন একটি পৃষ্ঠা ব্যর্থ হয়, কিছু বদলানোর আগে তিনটি সম্ভাব্য কারণ আলাদা করুন: এক্সিট বা বহির্গামী নীতি, উৎস প্রত্যাখ্যানকারী গন্তব্য, বা প্রথম অনুরোধ হাইজ্যাক করা ক্যাপটিভ পোর্টাল।
কোনো সিস্টেমই ট্রান্সপোর্ট এনক্রিপশনের বিকল্প নয়। সাধারণ HTTP এক্সিট রিলে ও VPN প্রান্তে সমানভাবে পাঠযোগ্য, তাই HTTPS চালু রাখুন এবং সনদ সতর্কতা সরিয়ে না ফেলে পড়ুন। দুটি যাচাই দ্রুত রুটিং প্রশ্নের মীমাংসা করে: অনুরোধ একটি সার্কিট দিয়ে গেলে curl -s https://check.torproject.org/api/ip ফেরত দেয় IsTor, আর curl -s https://ifconfig.me দেখায় VPN যে বহির্গামী ঠিকানা উপস্থাপন করত। দুটোই চালালে বোঝা যায় শেল আসলে কোন পথ ব্যবহার করছে।
একটিকে অন্যটির মতো ব্যবহার করবেন না
এক্সিট রিলের ঠিকানা VPN প্রোফাইল নয়। একটি OpenVPN বা WireGuard ক্লায়েন্টকে 443 পোর্টের একটি রিলের দিকে নির্দেশ করলে টানেল তৈরি হয় না, কারণ সেখানে কোনো VPN সেবা শুনছে না; রিলটি অন্য কারো সার্কিটের একটি ধাপ। বিপরীত দিকে, VPN প্রান্ত Tor-এর প্রবেশবিন্দু নয়, আর Tor Browser-এর ব্রিজ সেটিংস বাণিজ্যিক VPN হোস্টনাম পেস্ট করার জায়গা নয়। যদি আপনি VPN-এর উপর দিয়ে Tor চালান, গার্ড আপনার বদলে VPN ঠিকানা দেখে, যা দুটি ভূমিকা না মিলিয়েই বিভাজনটি বদলে দেয়।
বেছে নেওয়ার আগে চারটি প্রশ্নের উত্তর ক্রমে দিন: প্রান্তটি কে চালায় এবং কী ধরে রাখে, টুলটি এই ডিভাইসে কী ঢাকে, বহির্গামী নীতি কোন পোর্ট ও গন্তব্য অনুমোদন করে, এবং নেটওয়ার্ক পথের বাইরে অ্যাপ্লিকেশনটি কী যোগ করে। অনেক প্রোগ্রামের জন্য সাধারণ নেটওয়ার্ক অ্যাক্সেস দরকার এমন কাজের জন্য VPN চাই। ব্রাউজার-স্তরের সুরক্ষা ও সার্কিট মডেল দরকার এমন কাজের জন্য Tor Browser চাই, হালনাগাদ রাখা। উত্তর যদি হয় «দুটোই», তবে সচেতন ক্রমে চালান এবং লিখে রাখুন প্রতিটি পক্ষ কোন ঠিকানা দেখে।