Tor निकास रिले बनाम VPN निकास सर्वर: हर एक क्या जानता है
Tor निकास रिले और VPN निकास सर्वर दोनों एक सार्वजनिक पता दिखाते हैं, पर ज्ञान बाँटते अलग तरह से हैं। दृश्यता, कवरेज और पोर्ट नीति की तुलना करें।
दोनों रचनाएँ आपका पता एक सार्वजनिक IP के पीछे छिपाती हैं, और जो साइट वह पता छापती है जो उसे दिखता है, वह उन्हें अलग नहीं कर सकती। फ़र्क यह है कि रास्ते में कौन क्या सीखता है, कितना ट्रैफ़िक ढका है और किन पोर्टों को काम करने की अनुमति है। Tor निकास रिले तीन रिले के सर्किट का आख़िरी चरण है; VPN निकास सर्वर आपकी सुरंग समाप्त करता है और बाहर जाने वाला कनेक्शन ख़ुद बनाता है। यहाँ मैं तय करता हूँ कि किसी काम को कौन चाहिए, और यह मानने से पहले क्या जाँचता हूँ कि एक दूसरे जैसा व्यवहार करता है।
एक पते पर ख़त्म होने वाले दो रास्ते
Tor गार्ड, बीच के रिले और निकास से होकर सर्किट बनाता है और पेलोड को परतों में एन्क्रिप्ट करता है ताकि हर रिले सिर्फ़ अपनी परत उतारे। निकास गंतव्य के साथ सामान्य TCP कनेक्शन बनाता है, इसीलिए गंतव्य निकास का पता देखता है। आपका क्लाइंट कभी सीधे गंतव्य से बात नहीं करता, और गार्ड भी इसे कभी नहीं देखता।
VPN एक अंतिम बिंदु तक एक सुरंग है। ऑपरेटर का सर्वर सुरंग हटाता है और बाहर जाने वाला कनेक्शन खोलता है, इसलिए गंतव्य भी एक पता देखता है, इस बार ऑपरेटर का। देखा जाने वाला नतीजा वही है; ज्ञान नहीं। IP छापने वाला परीक्षण बताता है कि आप किस प्रणाली पर हैं और उस भरोसे के बँटवारे के बारे में कुछ नहीं जो वास्तव में अलग है।
आख़िर कौन क्या जानता है
VPN अंतिम बिंदु स्रोत पता, गंतव्य, समय और मात्रा एक ही जगह देखता है। यही केंद्रीकरण रचना है: एक ऑपरेटर, एक लॉग सतह, समन या ग़लत कॉन्फ़िगरेशन के लिए एक जगह। आप जो कुछ पाते हैं वह उस पक्ष पर भरोसे और अंतिम बिंदु की बाहर जाने वाली नीति से आता है।
Tor वह ज्ञान बाँटता है। गार्ड आपका पता जानता है पर गंतव्य नहीं; निकास गंतव्य जानता है पर आपका पता नहीं। रिले को दोनों नहीं सीखने चाहिए। यह संरचनात्मक गुण है, वैश्विक पर्यवेक्षक, समय जोड़ने वाले रिले या समझौता किए गए अंतिम बिंदु के विरुद्ध कोई वादा नहीं, इसलिए इसे उसी जोखिम का अलग बँटवारा मानें, ऐसी अनामिका नहीं जो कभी विफल न हो सके।
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
कवरेज ब्राउज़र का फ़ैसला है या मार्ग का
Tor ब्राउज़र अपना ट्रैफ़िक ख़ुद रूट करता है और ऐसी सुरक्षाएँ जोड़ता है जो सामान्य VPN क्लाइंट दोहराता नहीं: फ़िंगरप्रिंट का विरोध, प्रथम-पक्ष अलगाव, स्थिर विंडो आकार और नई पहचान क्रिया जो सत्र की स्थिति फेंक देती है। दूसरे अनुप्रयोग उस सर्किट का उपयोग नहीं करते जब तक उन्हें इसके लिए कॉन्फ़िगर न किया गया हो, और सिस्टम-व्यापी Tor सेटअप ब्राउज़र स्थापित करने से अलग परियोजना है।
VPN उल्टी आकृति का है। कवरेज मार्ग तालिका का पालन करता है, इसलिए AllowedIPs = 0.0.0.0/0 वाली WireGuard प्रोफ़ाइल सब कुछ पकड़ती है और स्प्लिट-टनल सूची सिर्फ़ उन उपसर्गों को पकड़ती है जिन्हें वह नाम देती है। इसी तंत्र में लीक भी रहते हैं: DNS क्वेरी, IPv6 और WebRTC में से हर एक ऐसा मार्ग ले सकता है जो मार्ग नीति में नहीं था। उस अनुप्रयोग के अंदर से जाँचें जो विफल हुआ, किसी ब्राउज़र टैब से नहीं जो शायद दूसरा इंटरफ़ेस इस्तेमाल कर रहा हो।
पोर्ट नीति, अवरुद्ध गंतव्य और HTTPS
निकास रिले बाहर जाने वाले पोर्ट मना करने को स्वतंत्र है, और डिफ़ॉल्ट नीति दुरुपयोग-प्रवण पोर्टों की सूची अस्वीकार करती है, जिनमें SMTP पोर्ट 25 भी है। इसलिए Tor से कॉन्फ़िगर किया गया मेल क्लाइंट निकास पर विफल होता है, जो नेटवर्क ख़राबी जैसा दिखता है और है नहीं। रिले चलाने वाले ऑपरेटर इसे स्पष्ट रूप से तय करते हैं:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25गंतव्य भी अवरोध करते हैं, और वे दोनों प्रणालियों को अलग तरह से अवरोध करते हैं। Tor निकास पते प्रकाशित होते हैं, इसलिए कोई साइट पूरी सूची अस्वीकार कर सकती है; VPN अंतिम बिंदु डेटा सेंटर श्रेणियों में बैठते हैं जिन्हें उतनी ही सहजता से अस्वीकार किया जाता है। जब कोई पृष्ठ विफल हो, कुछ भी बदलने से पहले तीन संभावित कारण अलग करें: निकास या बाहर जाने की नीति, स्रोत अस्वीकार करने वाला गंतव्य, या पहला अनुरोध हाइजैक करने वाला कैप्टिव पोर्टल।
कोई भी प्रणाली परिवहन एन्क्रिप्शन की जगह नहीं लेती। सादा HTTP निकास रिले और VPN अंतिम बिंदु दोनों पर पढ़ा जा सकता है, इसलिए HTTPS चालू रखें और प्रमाणपत्र चेतावनी को हटाने के बजाय पढ़ें। दो जाँचें मार्ग का सवाल जल्दी तय करती हैं: अनुरोध सर्किट से गुज़रा हो तो curl -s https://check.torproject.org/api/ip IsTor लौटाता है, और curl -s https://ifconfig.me वह बाहर जाने वाला पता दिखाता है जो VPN प्रस्तुत करता। दोनों चलाने से पता चलता है कि शेल वास्तव में कौन सा मार्ग इस्तेमाल कर रहा है।
एक को दूसरे की तरह इस्तेमाल न करें
निकास रिले का पता VPN प्रोफ़ाइल नहीं है। OpenVPN या WireGuard क्लाइंट को पोर्ट 443 पर रिले की ओर मोड़ने से सुरंग नहीं बनती, क्योंकि वहाँ कोई VPN सेवा नहीं सुन रही; रिले किसी और के सर्किट में एक चरण है। दूसरी दिशा में, VPN अंतिम बिंदु Tor के लिए प्रवेश बिंदु नहीं है, और Tor ब्राउज़र की ब्रिज सेटिंग्स व्यावसायिक VPN होस्टनाम चिपकाने की जगह नहीं हैं। अगर आप VPN पर Tor चलाते हैं, तो गार्ड आपके बजाय VPN का पता देखता है, जो दोनों भूमिकाओं को मिलाए बिना बँटवारा बदल देता है।
चुनने से पहले चार सवालों के क्रम से जवाब दें: अंतिम बिंदु कौन चलाता है और क्या रखता है, उपकरण इस डिवाइस पर क्या ढकता है, बाहर जाने की नीति किन पोर्टों और गंतव्यों की अनुमति देती है, और अनुप्रयोग नेटवर्क मार्ग से आगे क्या जोड़ता है। कई प्रोग्रामों के लिए सामान्य नेटवर्क पहुँच चाहने वाले काम को VPN चाहिए। ब्राउज़र-स्तर की सुरक्षाएँ और सर्किट मॉडल चाहने वाले काम को Tor ब्राउज़र चाहिए, अद्यतन रखा हुआ। अगर जवाब «दोनों» है, तो उन्हें सोचे-समझे क्रम में चलाएँ और लिखें कि हर पक्ष कौन सा पता देखता है।