VPN पर Tor: आपका IP कौन देखता है, और Tor का इस्तेमाल कौन देखता है?
VPN पर Tor में एंट्री रिले आपका VPN एग्ज़िट देखता है, और आपका प्रदाता एक गार्ड रिले देखता है। क्रम उलट दें और दोनों पर्यवेक्षक बदल जाते हैं।
आप VPN क्लाइंट से जुड़ते हैं, टनल का इंतज़ार करते हैं, फिर Tor Browser खोलते हैं और उसे एक सर्किट बनाने देते हैं। यही सामान्य क्रम तय करता है कि कौन क्या देखता है। इसी क्रम में Tor का एंट्री रिले आपके VPN एग्ज़िट पते को सलाम करता है, और आपका VPN प्रदाता एक सार्वजनिक गार्ड रिले को सलाम करता है। उलटा करके देखिए और दोनों पर्यवेक्षक बदल जाते हैं। दोनों क्रमों से गुज़रना बनता है, क्योंकि क्लाइंट की सेटिंग्स चुपचाप उस क्रम को तोड़ देती हैं जिसे लोग मानते थे कि लागू है, और जो जाँच इसे पकड़ती है वह दोनों मामलों में एक ही है।
शुरुआत क्रम से करें, उत्पाद से नहीं
दो व्यवस्थाओं को «Tor के साथ VPN» कहा जाता है, और सामान्य केवल पहली है। VPN पर Tor में जब Tor शुरू होता है तब टनल पहले से चालू होती है, इसलिए tor प्रक्रिया अपना गार्ड कनेक्शन बाकी किसी भी आउटबाउंड ट्रैफ़िक की तरह टनल में भेजती है। VPN पर Tor में पहले Tor ऊपर आता है और VPN सत्र खुद सर्किट से होकर गुज़रता है, Tor एग्ज़िट से प्रदाता तक पहुँचता है।
इनके बीच जो बदलता है वह यह है कि सबसे बाहरी कड़ी के दूर वाले सिरे पर कौन-सा पता बैठता है। हर पर्यवेक्षक केवल पिछला हॉप देखता है, पूरा रास्ता कभी नहीं: गार्ड देखता है कि कौन उससे जुड़ा, और VPN सर्वर देखता है कि कौन उससे जुड़ा। Tor आपके स्थानीय टनल पते को बाहर नहीं ले जाता, और प्रोटोकॉल में ऐसा कोई क्षेत्र नहीं है जहाँ वह ऐसा कर सके।
दोनों क्रमों में गंतव्य वेबसाइट अब भी Tor एग्ज़िट देखती है, और कोई भी क्रम यह नहीं बदलता कि वह साइट आपके लॉगिन से क्या सीखती है। अंतर दोनों किनारों तक सीमित है।
Tor का एंट्री रिले क्या देखता है
एंट्री, या गार्ड, रिले पोर्ट पर सामान्य TCP कनेक्शन स्वीकार करता है और क्लाइंट के साथ TLS हैंडशेक शुरू करता है। VPN पर Tor व्यवस्था में उस कनेक्शन का स्रोत आपका VPN एग्ज़िट है। पहले Tor व्यवस्था में वह वही पता है जो आपकी मशीन ने Tor नेटवर्क तक पहुँचने के लिए इस्तेमाल किया, आमतौर पर आपका घरेलू कनेक्शन।
यह सवाल के IP आधे का जवाब देता है, पर केवल तब जब टनल ने कनेक्शन वास्तव में ढोया हो। Tor प्रक्रिया गार्ड तक अपने सॉकेट से पहुँचती है, और वह सॉकेट Tor Browser की प्रॉक्सी सेटिंग्स के अधीन नहीं है। ब्राउज़र 9150 पर SOCKS के ज़रिए साथ आई tor प्रक्रिया से बात करता है, और फिर tor कर्नेल की रूटिंग टेबल का उपयोग करके अपना कनेक्शन खोलता है। torrc में Socks5Proxy पंक्ति, या क्लाइंट ट्रांसपोर्ट, उस रास्ते को बदल देते हैं। और कुछ नहीं।
Linux पर आप जवाब मशीन से पढ़ सकते हैं। कर्नेल से पूछें कि वह किसी भी सार्वजनिक पते के लिए कौन-सा इंटरफ़ेस इस्तेमाल करेगा, फिर स्थापित कनेक्शन का स्थानीय पता देखें:
ip route get 203.0.113.10
sudo ss -tnp | grep -i torअगर रूट dev wg0 या dev tun0 कहता है, और स्थापित कनेक्शन का स्थानीय पता टनल का पता है, तो Tor VPN के अंदर है। अगर रूट आपके भौतिक इंटरफ़ेस का नाम लेता है, तो वह बाहर है, क्लाइंट का अपना संकेतक चाहे जो दावा करे।
आपका VPN प्रदाता क्या देख सकता है
प्रदाता आपका VPN सत्र समाप्त करता है, इसलिए वह वे पते देखता है जिनसे आप जुड़ते हैं। गार्ड रिले के पते सार्वजनिक सहमति में प्रकाशित होते हैं और उनके पोर्ट सर्वज्ञात हैं, इसलिए किसी एक को मिलाना सूची में खोज है, गहन पैकेट जाँच नहीं। प्रदाता को यह जानने के लिए Tor तोड़ने की ज़रूरत नहीं कि कोई सत्र Tor है।
जो वह नहीं देखता वह सर्किट का बाकी हिस्सा है। मध्य रिले और एग्ज़िट Tor के अंदर चुने जाते हैं, और प्रदाता केवल गार्ड तक की कड़ी संभालता है। पेज की सामग्री एग्ज़िट पर खत्म होने वाली TLS के अंदर रहती है, और Tor ट्रैफ़िक के लिए नाम विश्लेषण भी एग्ज़िट पर ही होता है, इसलिए प्रदाता पर कोई DNS क्वेरी नहीं है जिसे किसी गंतव्य से जोड़ा जा सके।
obfs4 वाले ब्रिज खोज बदलते हैं, टोपोलॉजी नहीं। ब्रिज का पता सार्वजनिक रिले सूची में नहीं होता और ट्रैफ़िक को ऐसा ढाला जाता है कि वह Tor जैसा न दिखे, इसलिए केवल पते मिलाने वाला ऑपरेटर उसे चिह्नित नहीं करेगा। सत्र अब भी आपके VPN क्लाइंट से आता है, और प्रदाता अब भी एक अंतिम बिंदु, एक मात्रा और एक समय-सारणी देखता है।
क्षमता कोई प्रतिधारण नीति नहीं है
जो ऑपरेटर किसी कनेक्शन को देख सकता है, उसने उसे रखने का वादा नहीं किया। लॉगिंग एक अलग निर्णय है, नीति में लिखा गया, क्षेत्राधिकार से सीमित, और केवल उन्हीं सबूतों से जाँचा जा सकता है जिन पर आप पहले से भरोसा करते हैं। लॉग नहीं है वाला लेबल ऊपर बताई गई नेटवर्क भूमिका नहीं बदलता।
खाते की पहचान आमतौर पर एग्ज़िट पते से ज़्यादा मायने रखती है। अगर आपने ईमेल पते से साइन इन किया, या कार्ड से भुगतान किया, तो प्रदाता एक भी गंतव्य लॉग किए बिना सत्र को आपसे जोड़ सकता है। एग्ज़िट IP घुमाने से इस बारे में कुछ नहीं होता।
किसी भी जवाब पर भरोसा करने से पहले कवरेज जाँचें
जो लोग मानते हैं कि वे VPN पर Tor चलाते हैं, उनमें से ज़्यादातर उसका एक हिस्सा ही चलाते हैं। Tor Browser को बाहर रखने वाला स्प्लिट टनलिंग, ब्राउज़र को ढकने वाला पर tor सेवा को नहीं ढकने वाला किल स्विच, टनल ऊपर आने से पहले चलने वाली स्टार्टअप यूनिट, और टनल के चारों ओर जाने वाला IPv6 रास्ता ये चार आम हैं।
क्लाइंट की स्थिति स्क्रीन पढ़ने से इनमें से एक भी जाँचा नहीं जाता। जो जाँच करती है: Tor Browser चालू रखें, टनल नीचे उतारें, और देखें कि गार्ड कनेक्शन भौतिक इंटरफ़ेस पर टिकता है या नहीं।
जिस क्रम में मैं जाँचता हूँ, पहली विफलता पर रुकते हुए:
ip route get 203.0.113.10टनल डिवाइस लौटाता है।ss -tnp | grep -i torटनल के स्थानीय पते के साथ गार्ड कनेक्शन दिखाता है।ip -6 routeटनल के बाहर कोई डिफ़ॉल्ट रूट नहीं रखता, या क्लाइंट में IPv6 बंद है।- VPN गिराने से tor कनेक्शन भौतिक कड़ी पर छोड़े जाने के बजाय खत्म होता है या मार्ग बदलता है।
कौन-सा क्रम आपकी रक्षा से मेल खाता है
दोनों क्रम कुछ छिपाते हैं और कुछ खोलते हैं, इसलिए जवाब यह चुनाव है कि आपको किस पर्यवेक्षक की परवाह है।
| Observer | Tor over VPN | VPN over Tor |
|---|---|---|
| Your ISP or local network | Sees a VPN connection, not Tor | Sees a Tor guard connection |
| Your VPN provider | Sees Tor use, and your home address | Sees a Tor exit as the client, not your home address |
| Tor entry relay | Sees the VPN exit | Sees your home address |
| Destination website | Sees a Tor exit | Sees a Tor exit |
जिसे रोकना चाहते हैं उससे पंक्ति मिलने तक स्तंभ से पढ़ें। अगर चिंता स्थानीय नेटवर्क या ऐसे ISP की है जो Tor रिकॉर्ड या ब्लॉक करता है, तो VPN पर Tor उसे संभालता है। अगर चिंता यह है कि VPN ऑपरेटर आपका घर का पता जान जाए, तो Tor पर VPN उसे संभालता है, और उसकी कीमत Tor के उपयोग को अपने नेटवर्क को और घर का पता गार्ड को दिखाकर चुकाता है।
कोई भी व्यवस्था दोनों किनारों को अंधा नहीं छोड़ती। एक पर्यवेक्षक जोड़ने से दूसरा हटता नहीं। Tor Project की टिप्पणी Tor के साथ VPN चलाने के बारे में दूसरी तरफ़ से वही कहती है: टनल बदलती है कि किस पर भरोसा किया जाता है और कौन-से विफलता मार्ग मौजूद हैं, इसलिए यह ऐसा उन्नयन नहीं है जिसे यह तय किए बिना जोड़ा जाए कि आप क्या छिपाना चाहते थे।
पहले पर्यवेक्षक तय करें, दूसरे क्रम चुनें, और क्लाइंट के संकेतक के बजाय ip route get और ss से जाँचें। अगर पर्यवेक्षक ऐसा कोई है जो खुद VPN प्रदाता को मजबूर कर सकता है, तो कोई क्रम-चयन इसे ठीक नहीं करता।