رلهٔ خروجی Tor در برابر سرور خروجی VPN: هرکدام چه می‌داند
رلهٔ خروجی Tor و سرور خروجی VPN هر دو یک نشانی عمومی نشان می‌دهند، اما دانش را به شکل متفاوتی تقسیم می‌کنند. دیدپذیری، پوشش و سیاست درگاه‌ها را مقایسه کنید.
هر دو طراحی نشانی شما را پشت یک IP عمومی پنهان می‌کنند، و سایتی که نشانی‌ای را که می‌بیند چاپ می‌کند نمی‌تواند آن دو را از هم تشخیص دهد. تفاوت در این است که چه کسی در مسیر چه چیزی می‌آموزد، چه مقدار ترافیک پوشش داده می‌شود و کدام درگاه‌ها اجازهٔ کار دارند. رلهٔ خروجی Tor آخرین گام یک مدار سه‌رله‌ای است؛ سرور خروجی VPN تونل شما را پایان می‌دهد و خودش اتصال خروجی را برقرار می‌کند. اینجا می‌گویم چطور تصمیم می‌گیرم یک کار به کدام نیاز دارد و پیش از فرض اینکه یکی مثل دیگری رفتار می‌کند چه چیزی را بررسی می‌کنم.
دو مسیر که به یک نشانی می‌رسند
Tor مداری از میان یک نگهبان، یک رلهٔ میانی و یک خروجی می‌سازد و بار را لایه‌لایه رمزگذاری می‌کند تا هر رله فقط لایهٔ خودش را بردارد. خروجی اتصال معمولی TCP به مقصد را برقرار می‌کند، و به همین دلیل مقصد نشانی خروجی را می‌بیند. کلاینت شما هرگز مستقیم با مقصد سخن نمی‌گوید و نگهبان هم آن را نمی‌بیند.
VPN یک تونل به یک نقطهٔ پایانی است. سرور اپراتور تونل را برمی‌دارد و اتصال خروجی را باز می‌کند، پس مقصد هم یک نشانی می‌بیند، این بار نشانی اپراتور را. نتیجهٔ قابل مشاهده یکسان است؛ دانش نه. آزمونی که یک IP چاپ می‌کند پاسخ می‌دهد در کدام سامانه هستید و هیچ چیز دربارهٔ تقسیم اعتمادی که واقعاً متفاوت است نمی‌گوید.
در نهایت چه کسی چه می‌داند
نقطهٔ پایانی VPN نشانی مبدأ، مقصد، زمان و حجم را در یک جا می‌بیند. این تمرکز خودِ طراحی است: یک اپراتور، یک سطح گزارش، یک جا برای احضار یا پیکربندی نادرست. هر چیزی که به دست می‌آورید از اعتماد به همان طرف و از سیاست خروج نقطهٔ پایانی می‌آید.
Tor آن دانش را تقسیم می‌کند. نگهبان نشانی شما را می‌داند اما مقصد را نه؛ خروجی مقصد را می‌داند اما نشانی شما را نه. قرار نیست یک رله هر دو را بیاموزد. این یک ویژگی ساختاری است، نه وعده‌ای در برابر ناظر جهانی، رله‌ای که زمان‌ها را همبسته می‌کند یا نقطهٔ پایانی نفوذشده، پس آن را توزیع متفاوتی از همان ریسک بدانید، نه ناشناسی‌ای که نمی‌تواند شکست بخورد.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
پوشش تصمیم مرورگر است یا تصمیم مسیر
مرورگر Tor ترافیک خودش را مسیریابی می‌کند و محافظت‌هایی می‌افزاید که کلاینت VPN معمولی بازتولید نمی‌کند: مقاومت در برابر اثر انگشت، جداسازی طرف اول، اندازهٔ ثابت پنجره و کنشی به نام هویت جدید که وضعیت نشست را دور می‌ریزد. برنامه‌های دیگر از آن مدار استفاده نمی‌کنند مگر اینکه برای آن پیکربندی شده باشند، و راه‌اندازی Tor در سطح سامانه پروژه‌ای جدا از نصب مرورگر است.
VPN شکل مقابل است. پوشش از جدول مسیریابی پیروی می‌کند، پس نمایهٔ WireGuard با AllowedIPs = 0.0.0.0/0 همه چیز را می‌گیرد و فهرست تونل تقسیم‌شده فقط پیشوندهایی را که نام می‌برد. نشتی‌ها هم در همین سازوکار زندگی می‌کنند: پرس‌وجوهای DNS، IPv6 و WebRTC هرکدام می‌توانند مسیری بروند که سیاست مسیریابی شامل آن نبود. از درون برنامه‌ای که شکست خورده بررسی کنید، نه از زبانهٔ مرورگری که ممکن است رابط دیگری استفاده کند.
سیاست درگاه، مقصدهای مسدود و HTTPS
رلهٔ خروجی آزاد است درگاه‌های خروجی را رد کند، و سیاست پیش‌فرض فهرستی از درگاه‌های مستعد سوءاستفاده را رد می‌کند که درگاه SMTP 25 هم میان آن‌هاست. بنابراین کلاینت پستی که از طریق Tor پیکربندی شده در خروجی شکست می‌خورد، که شبیه خرابی شبکه است و نیست. اپراتورهایی که رله اداره می‌کنند این را صریح تعیین می‌کنند:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25مقصدها هم مسدود می‌کنند، و آن دو سامانه را متفاوت مسدود می‌کنند. نشانی‌های خروجی Tor منتشر می‌شوند، پس یک سایت می‌تواند کل فهرست را رد کند؛ نقاط پایانی VPN در بازه‌های مراکز داده قرار دارند که به همان راحتی رد می‌شوند. وقتی صفحه‌ای شکست می‌خورد، پیش از تغییر هر چیزی سه نامزد را جدا کنید: سیاست خروج یا خروجی، مقصدی که مبدأ را رد می‌کند، یا درگاه اسیر که نخستین درخواست را می‌رباید.
هیچ‌یک از دو سامانه جایگزین رمزنگاری انتقال نمی‌شود. HTTP ساده در رلهٔ خروجی و در نقطهٔ پایانی VPN یکسان خواندنی است، پس HTTPS را روشن نگه دارید و هشدار گواهی را بخوانید نه اینکه نادیده بگیرید. دو بررسی پرسش مسیریابی را سریع حل می‌کند: curl -s https://check.torproject.org/api/ip وقتی درخواست از مداری گذشته IsTor برمی‌گرداند، و curl -s https://ifconfig.me نشانی خروجی‌ای را که یک VPN ارائه می‌داد نشان می‌دهد. اجرای هر دو به شما می‌گوید پوسته واقعاً از کدام مسیر استفاده می‌کند.
یکی را به جای دیگری به کار نبرید
نشانی رلهٔ خروجی نمایهٔ VPN نیست. تنظیم کلاینت OpenVPN یا WireGuard به سوی رله‌ای روی درگاه 443 تونلی نمی‌سازد، چون هیچ سرویس VPN آنجا گوش نمی‌دهد؛ رله گامی در مدار کس دیگری است. در جهت دیگر، نقطهٔ پایانی VPN نقطهٔ ورود Tor نیست، و تنظیمات پل مرورگر Tor جایی برای چسباندن نام میزبان VPN تجاری نیست. اگر Tor را روی VPN اجرا می‌کنید، نگهبان به جای نشانی شما نشانی VPN را می‌بیند، که تقسیم را تغییر می‌دهد بدون آنکه دو نقش را یکی کند.
پیش از انتخاب، به چهار پرسش به ترتیب پاسخ دهید: چه کسی نقطهٔ پایانی را اداره می‌کند و چه چیزی نگه می‌دارد، ابزار روی این دستگاه چه چیزی را می‌پوشاند، سیاست خروج چه درگاه‌ها و مقصدهایی را اجازه می‌دهد، و برنامه فراتر از مسیر شبکه چه می‌افزاید. کاری که به دسترسی شبکهٔ معمولی برای برنامه‌های زیادی نیاز دارد VPN می‌خواهد. کاری که به محافظت‌های سطح مرورگر و مدل مدار نیاز دارد مرورگر Tor می‌خواهد، به‌روز نگه‌داشته‌شده. اگر پاسخ «هر دو» است، آن‌ها را به ترتیبی آگاهانه اجرا کنید و بنویسید هر طرف کدام نشانی را می‌بیند.