Onion सेवा बनाम VPN सेवा: अलग पहुँच मॉडल

लोग Onion सेवा और केवल VPN से पहुँचने वाली सेवा को एक ही विचार के दो रूप बताते हैं: पोर्ट छिपाओ, गुप्त पता साझा करो। वे इसमें भिन्न हैं कि पता किससे बंधा है, कौन उस तक पहुँच सकता है और अनुरोध आने से पहले क्या होना चाहिए। एक Tor के भीतर मिलन-स्थल है, दूसरा निजी नेटवर्क के भीतर मार्ग है। इन्हें अदला-बदली योग्य मानने से ऐसी रचनाएँ बनती हैं जो न निजी हैं न टिकाऊ।

मिथक: दोनों रचनाएँ बस एक छिपा दरवाज़ा हैं

साझा गुण वास्तविक है पर पतला: दोनों में से कोई रचना प्रशासनिक इंटरफ़ेस को सीधे पहुँचने योग्य सार्वजनिक पोर्ट पर नहीं रखती। उसके बाद सब कुछ अलग हो जाता है। Onion पता सेवा की अपनी कुंजी से निकलता है, इसलिए नाम एक पहचान से बंधा है; VPN पता बस उस नेटवर्क के भीतर का पता है जिसमें आपको प्रवेश दिया गया। एक सेवा को ओवरले परत में छिपाता है, दूसरा आपको निजी टोपोलॉजी में प्रवेश देता है। दूसरे को पहले का समानार्थी मानना ही उलझन की शुरुआत है।

दोनों में से कोई गुण ऐप्लिकेशन के लिए अपने आप सुरक्षा नियंत्रण नहीं है। छिपा स्थान उसके पीछे के सॉफ़्टवेयर को पैच नहीं करता, और निजी मार्ग लॉगिन पृष्ठ पर प्रमाणीकरण नहीं जोड़ता। दोनों रचनाओं को अब भी ऐप्लिकेशन की अपनी अनुमतियों की ज़रूरत है, और दोनों को अब भी अद्यतन और पुनर्प्राप्ति के लिए ज़िम्मेदार किसी व्यक्ति की ज़रूरत है।

Onion पता वास्तव में किस ओर इशारा करता है

Onion पता संस्करण v3 सेवा की सार्वजनिक कुंजी को एन्कोड करता है, इसीलिए कोई उस सेवा के लिए पता नहीं चुन सकता जिसे वह नियंत्रित नहीं करता। क्लाइंट Tor के ज़रिए मिलन-स्थल से जुड़ता है, और सेवा अपनी ओर से उसी बिंदु तक पहुँचती है; कोई साधारण एग्ज़िट नोड उस कनेक्शन को सेवा तक नहीं ले जाता। नाम एक पहचान है, DNS रिकॉर्ड नहीं।

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

इसीलिए onion नाम के लिए मार्ग या hosts प्रविष्टि जोड़ने से कोई लाभ नहीं होता। खोज ही तंत्र नहीं है; Tor क्लाइंट और उसके सर्किट तंत्र हैं। अगर सेवा थोड़े लोगों के समूह के लिए है, तो onion क्लाइंट प्राधिकरण कनेक्शन स्वीकार होने से पहले कुंजी माँग सकता है, पर वह अब भी ऐप्लिकेशन लॉगिन नहीं है। पता प्रकाशित करना भी जानबूझकर किया गया कार्य है, क्योंकि जो भी उसे जान लेता है वह कनेक्शन का प्रयास कर सकता है जब तक आपने उसे सीमित न किया हो।

रुकिए अगर onion रचना का एकमात्र कारण प्रमाणीकरण सेट करने से बचना है। ओवरले परत वह नहीं देती, और आप उसे बाद में वैसे भी बनाएँगे।

VPN मार्ग वास्तव में क्या देता है

VPN किसी उपकरण को नेटवर्क में प्रवेश देता है और उसे गेटवे या सबनेट तक मार्ग देता है। उस गेटवे के पीछे की सेवा टनल पूल से एक पता देखती है और अपना जो प्राधिकरण है उसे लागू करती है। मार्ग उपयोगकर्ता की पहचान के बारे में कुछ नहीं कहता; वह कहता है कि पैकेट कहाँ जा सकते हैं।

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

यह मॉडल प्रबंधित उपकरणों वाले ज्ञात समूह के लिए उपयुक्त है, क्योंकि गेटवे उपकरण की स्थिति लागू कर सकता है और नेटवर्क का अंकेक्षण हो सकता है। यह अनाम या तात्कालिक आगंतुकों के लिए खराब है, जिन्हें पहले नामांकित करना पड़ेगा। ऐप्लिकेशन का अपना लॉगिन अब भी तय करता है कि जुड़ा उपयोगकर्ता क्या पढ़ सकता है। पहुँच को अनुमति से मिलाना ही वह तरीका है जिससे VPN अंत में पूरा सबनेट हर उस व्यक्ति को दे देता है जो जुड़ सकता है।

रुकिए अगर दर्शक अज्ञात हैं या लगातार बदलते हैं। एक पृष्ठ दिखाने के लिए अजनबियों को निजी नेटवर्क में नामांकित करना सेवा प्रकाशित करने की तुलना में बड़ी प्रतिबद्धता है।

दोनों में से चुनना, और क्या वैसा ही रहता है

onion मॉडल चुनें जब दर्शक तकनीकी हों, सेवा का कोई सार्वजनिक पता बिलकुल न होना चाहिए और आप Tor की क्लाइंट आवश्यकताएँ स्वीकार कर सकें। VPN मॉडल चुनें जब दर्शक एक निश्चित समूह हो जिसके उपकरण आप प्रबंधित करते हैं और जिसकी पहुँच नेटवर्क परत पर दर्ज करना चाहते हैं। कोई भी विकल्प ऐप्लिकेशन प्रमाणीकरण, पैचिंग या पुनर्प्राप्ति मार्ग की ज़रूरत नहीं हटाता। कोई भी अपने आप उस अर्थ में अधिक निजी नहीं है जो आपके उपयोगकर्ताओं के लिए मायने रखता है।

दोनों रचनाओं में लिखिए कि सेवा तक कौन पहुँच सकता है, उन्हें कैसे पहचाना जाता है और क्रेडेंशियल खो जाने पर क्या होता है। onion सेवा का उत्तर उसकी क्लाइंट प्राधिकरण कुंजियाँ और पता स्वयं शामिल करता है; VPN का उत्तर खाता, उपकरण और गेटवे नीति शामिल करता है। ये अलग सूचियाँ हैं, और इनमें से केवल एक अगले प्रशासक के लिए स्पष्ट होगी।

तुलना वहाँ समाप्त होती है जहाँ ऐप्लिकेशन शुरू होता है। छिपा पता और निजी मार्ग परिवहन के विकल्प हैं, और ऐप्लिकेशन को अब भी तय करना है कि अनुरोध क्या कर सकता है। उन निर्णयों को अलग दस्तावेज़ों में रखें और दोनों में से कोई रचना चुपचाप दूसरे का काम नहीं ले लेगी।