Tor أم VPN: أيهما تحتاج لحماية خصوصيتك؟

Tor أم VPN: أيهما تحتاج فعلياً

يرسل Tor وVPN حركة مرورك عبر أجهزة لا تملكها، لكن كل واحد منهما يجيب عن سؤال مختلف. تنقل VPN (الشبكة الخاصة الافتراضية) الثقة من مزود الإنترنت إلى شركة واحدة، وترى هذه الشركة عنوانك الحقيقي وكل وجهة تزورها. أما Tor فيوزع هذه الثقة عبر مرحلات ثلاثة يديرها أشخاص مختلفون، لذلك لا يعرف أي مرحّل منفرد هويتك والوجهة التي تتجه إليها معاً. اختر الأداة بناءً على الجهة التي تريد إخفاء نشاطك عنها.

إذا كانت تلك الجهة هي الشبكة التي تتصل منها، فـVPN هي الأداة المناسبة. وإذا كانت الجهة هي الموقع نفسه، أو أي طرف يمكنه إلزام شركة واحدة بتسليم سجلاتها، فـTor هي الأداة المناسبة. يشرح باقي هذا الدليل التفاصيل الكامنة وراء هاتين الجملتين.

اتبع طلباً واحداً عبر التصميمين

خذ طلباً عادياً: يفتح متصفحك https://news.example.com. تحمي TLS (أمن طبقة النقل) محتوى الصفحة في كلتا الحالتين، لذلك لا يستطيع أي طرف في الوسط قراءة المقالة. الجزء المهم هو البيانات الوصفية: من يعرف عنوان IP الخاص بك، ومن يعرف الوجهة، ومن يستطيع الربط بين هاتين المعلومتين. أداة الخصوصية وسيلة لفصل هاتين المعلومتين. تنقل VPN هاتين المعلومتين إلى جهة أخرى. أما Tor فيفصل بينهما.

ما الذي يراه كل طرف عند استخدام VPN

يشفّر العميل كل حزمة ويرسلها إلى نقطة نهاية واحدة. وبعد تلك النقطة تصبح الحزم حركة مرور عادية مرة أخرى.

• يرى مزود خدمة الإنترنت لديك (internet service provider) حزمًا مشفّرة بين خطك وعنوان خادم VPN واحد. ويرى حجم البيانات وتوقيتها. ولا يرى اسم النطاق الوجهة، ما دامت استعلامات DNS (domain name system) تمر أيضًا عبر النفق.
• يرى مشغّل VPN عنوان IP الحقيقي لديك من جهة، وكل عنوان وجهة من الجهة الأخرى، مع الأوقات والأحجام. ويصل طرفا هذه المطابقة إلى الجهاز نفسه.
• ترى الوجهة عنوان الخروج الخاص بـVPN، إضافة إلى كل تفاصيل التعريف التي يرسلها متصفحك.

لذلك لا ينشئ VPN إخفاءً للهوية. بل ينقل جهة المراقبة من مزود خدمة الإنترنت لديك إلى مزود VPN. ويمثل ذلك فائدة حقيقية عندما تكون الشبكة المحلية هي المشكلة، أو عندما يرشّح مزود خدمة الإنترنت لديك ما يراه أو يعيد بيعه. لكنه لا يوفر أي فائدة ضد الموقع الذي تزوره، لأن حركة مرورك تصل إليه في تدفق واحد من شركة واحدة تعرف هويتك بدقة وتحتفظ بسجل الدفع الخاص بك.

إن ادعاء "عدم الاحتفاظ بالسجلات" هو المنتج بأكمله، وهو الجزء الوحيد الذي لا يمكنك التحقق منه من جهتك. يمكنك التحقق من أن النفق يعمل. ويمكنك التحقق من عدم تسرّب DNS. لكن لا يمكنك التحقق مما يكتبه المشغّل على القرص. هذه هي المقايضة التي تقبلها: شركة واحدة تختارها أنت، وتحتفظ بالصورة الكاملة.

تحقق من التسرب الذي يعطّل النفق دون أن تلاحظ:

resolvectl status
curl -s https://ifconfig.me; echo

يجب أن يكون العنوان الذي يطبعه ifconfig.me هو عنوان خروج VPN. ويجب أن تكون خوادم DNS المدرجة للوصلة التي تحمل المسار الافتراضي هي محلّل النفق. وإذا كانت لا تزال تعرض الموجّه المحلي لديك عند 192.168.1.1، فإن عمليات البحث عن الأسماء تغادر عبر الوصلة المحلية بنص واضح، لأن المسار إلى ذلك الموجّه متصل مباشرة وأكثر تحديدًا من المسار الافتراضي للنفق. حركة مرورك خاصة، لكن قائمتك بالمواقع ليست كذلك. يشرح تسرّب استعلامات DNS خارج نفق WireGuard طريقة الإصلاح.

ما الذي يراه كل طرف عند استخدام Tor

ينشئ Tor دائرة من ثلاثة مرحلات يختارها من قائمة موقّعة، تُسمّى الإجماع، وتنشرها مجموعة صغيرة من سلطات الدليل. يغلّف عميلك البيانات في طبقات، طبقة لكل مرحّل. يزيل كل مرحّل طبقة واحدة، ولا يعرف إلا القفزة التالية، ثم يمرر بقية البيانات. هذه الطبقات هي سبب عدم امتلاك أي طرف على المسار للمعلومتين معاً.

• يرى مزود خدمة الإنترنت لديك حركة مرور مشفّرة إلى مرحّل حراسة واحد. عناوين المرحلات عامة، لذلك يستطيع مزود الخدمة معرفة أنك تستخدم Tor. لكنه لا يستطيع معرفة الوجهة التي تصل إليها.
• يرى مرحّل الحراسة عنوان IP الحقيقي لديك. ولا يستطيع رؤية الوجهة، لأن الجزء الذي يذكر اسم الموقع ما زال مشفّراً للمرحلات التي تليه.
• يرى المرحّل الأوسط مرحّل حراسة من جهة ومرحل خروج من الجهة الأخرى. ولا يراك ولا يرى الوجهة. وُجد هذا المرحّل كي لا يتحدث مرحّل الحراسة ومرحل الخروج مباشرة.
• يرى مرحّل الخروج الوجهة وحركة المرور عند مغادرتها الشبكة. ويرى عنوان المرحّل الأوسط، لا عنوانك. مع HTTPS، يعرف اسم المضيف وبيانات تعريف الاتصال، لكنه لا يرى الصفحة.
• ترى الوجهة عنوان مرحّل الخروج، وهو عنوان يظهر في قوائم الخروج العامة، إضافة إلى أي معلومات يرسلها متصفحك.

يتطلب ربطك بالموقع رؤية مرحّل الحراسة ومرحل الخروج في الوقت نفسه. هذا هو التصميم في جملة واحدة. ولهذا يحتفظ عميلك بمرحّل الحراسة نفسه لعدة أشهر بدلاً من اختيار مرحّل جديد عند كل بدء تشغيل؛ فالتبديل المستمر لمرحّل الدخول يمنح مرحّلاً معادياً فرصاً متكررة ليصبح مرحّل الحراسة لديك.

الدوائر ليست دائمة. تنتقل الاتصالات الجديدة إلى دائرة جديدة كل عشر دقائق تقريباً، بينما يبقى التدفق المفتوح بالفعل على الدائرة التي بدأ عليها. عادةً ما يغادر تنزيل طويل وعلامة تبويب تفتحها بعد خمس عشرة دقيقة عبر مرحلي خروج مختلفين.

ثبّته وأثبت المسار:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

يجب أن يصل السجل إلى Bootstrapped 100% (done): Done. يجب أن يطبع curl القيمة {"IsTor":true,"IP":"..."} مع عنوان لا تتعرّف إليه، وهو مرحّل الخروج الحالي لديك. إذا كانت IsTor هي false، فلم يمر الطلب عبر الوكيل. قد يتأخر Tor المضمّن في حزم Ubuntu عن الإصدار الحالي؛ وينشر Tor Project مستودع apt خاصاً به إذا احتجت إلى متابعة الإصدارات الأولية.

يتضمن ذلك الأمر فخاً واحداً. تجعل --socks5 curl يحل اسم المضيف بنفسه، ثم يرسل العنوان الناتج عبر الوكيل، ولذلك يتعلم محلل الأسماء المعتاد لديك كل اسم تزوره. أما --socks5-hostname فترسل الاسم إلى Tor وتتيح لمرحل الخروج حله. النفق نفسه، لكن التسرب مختلف تماماً. يتعامل Tor Browser وtorsocks مع ذلك بشكل صحيح. أما الأدوات التي تُعدّ يدوياً فكثيراً ما لا تفعل ذلك.

ينقل Tor تدفقات TCP فقط. ولا يستطيع نقل UDP، لذلك لا تمر ping 1.1.1.1 عبره، كما لا يمكن تشغيل بروتوكول VPN قائم على UDP داخله. أي برنامج يتجاهل إعداد الوكيل يستخدم مسارك المعتاد بعنوانك المعتاد، ولا يحذرك أي شيء من ذلك. ولهذا يُشغَّل Tor على مستوى النظام باستخدام وكيل شفاف على جهاز منفصل، لا باستخدام متغير بيئة.

أين تتركز الثقة فعلياً

تركّز VPN الثقة في جهة واحدة. تحتفظ شركة واحدة بهويتك، وسجل فواتيرك، ونمط حركة الشبكة الكامل لديك، وتعتمد حمايتك على تعهّدها بعدم الاحتفاظ بالسجلات. ما دام هذا التعهّد قائماً، يكون التصميم واضحاً وسريعاً وسهل الفهم. لكنه يفشل بالكامل، وفي حركة شبكتك كلها دفعة واحدة، إذا انهار هذا التعهّد بسبب أمر قضائي، أو اختراق، أو كذب.

توزّع Tor الثقة. تحتفظ ثلاث جهات لا تعرف إحداها الأخرى في الغالب بجزء منها، ولا تكون قيمة أي جزء منفرد كبيرة. لا يلزم أن تكون أي جهة صادقة حتى يعمل التصميم. لكن يجب أن تكون جهات مستقلة بما يكفي. تدفع ثمن ذلك من السرعة، ومن الاقتصار على TCP، ومن استخدام شبكة تُدار فيها بعض المرحلات بالتأكيد من أشخاص يرغبون في مراقبتك. تتمثل إجابة Tor عن المرحّل المعادي في أن مرحّلاً واحداً لا يكفي أبداً.

الأوقات التي تكون فيها VPN هي الأداة المناسبة

• لا تثق بالشبكة المحلية: في فندق أو مطار أو قاعة مؤتمرات أو عبر جهاز توجيه يملكه مالك العقار. لا يرى المشغّل سوى نفق مشفّر ولا يرى شيئاً آخر.
• تريد الوصول إلى أجهزتك، أو تريد أن تخرج من عنوان ثابت تتحكم فيه.
• تحتاج إلى السرعة وUDP: مكالمات الفيديو، والألعاب، ونقل الملفات الكبيرة، والنسخ الاحتياطية.
• تريد عنواناً مستقراً لا تفرض معه المواقع إجراءات تحقق إضافية. تُحظر نقاط خروج Tor أو تُقابل باختبارات CAPTCHA في جزء كبير من الويب.

هذه القائمة تبرر تشغيل VPN خاص بك على VPS بدلاً من شراء اشتراك، كما أن خادم WireGuard تُعدّه بنفسك يمنحك نفقاً تكون سياسة تسجيله في ملف إعدادات تملكه. إذا أردت النفق نفسه مع إدارة مفاتيح بين الأجهزة، فاقرأ مقارنة الفرق بين WireGuard العادي وTailscale. بعد اتصالك بـtailnet، يصبح الوصول إلى خدماتك ونشر إحداها على الإنترنت المفتوح قرارين منفصلين، وتحافظ serve على خصوصية الخدمة داخل tailnet، بينما تتيح funnel الوصول إليها من الإنترنت. كل أداة من هذه الأدوات ممتازة للمهمة الواردة في هذه القائمة. ولا تؤدي أي منها المهمة الواردة في القائمة التالية.

الأوقات التي يكون فيها Tor الأداة المناسبة

• يشمل خصمك الموقع الوجهة، أو أي جهة تستطيع طلب السجلات من شركة واحدة.
• تقرأ أو تنشر شيئاً قد يسبب لك ضرراً إذا أمكن تتبعه حتى خطك.
• تريد onion service: حركة مرور لا تغادر الشبكة، ولا تتضمن exit relay، مع خادم يبقى عنوانه مخفياً.
• تستطيع تحمّل بطء الصفحات، وCAPTCHAs، و403 Forbidden العرضي.

إذا كان جانب الخادم في النقطة الثالثة يهمك، يوضّح تشغيل onion service من الإصدار v3 على VPS كيفية الوصول إلى موقع من دون وجود exit relay في المسار، وكذلك التسريبات العادية التي ما زالت تربط الجهاز بعنوانه العام.

استخدم Tor Browser، وليس متصفحك اليومي الموجّه إلى المنفذ 9050. المتصفح جزء أساسي من الحماية، ويشرح القسم الذي يلي القسم التالي سبب ذلك.

لماذا يكون VPS الذي استأجرته أسوأ من VPN تجاري من حيث إخفاء الهوية

هذه هي النقطة التي يخلط فيها الناس عادةً. VPS الذي استأجرته هو عقد إيجار مسجّل باسمك. يكون بريد التسجيل الإلكتروني، والبطاقة، والفواتير، وتذاكر الدعم محفوظة كلها في قاعدة بيانات شركة واحدة إلى جانب عنوان IP ذلك الخادم. لا يحتاج أحد إلى اختراق أي شيء لربط العنوان بك. فهذه المعلومة مسجّلة أصلاً، ومحتفَظ بها لأسباب محاسبية عادية، ومتاحة لأي جهة تستطيع توجيه طلب قانوني إلى مزوّد الخدمة.

المشكلة الثانية هي تعدد المستخدمين. يشترك كثير من العملاء في عنوان الخروج الخاص بـVPN تجاري في الوقت نفسه، لذلك لا يشير العنوان وحده إلى شخص واحد. أما عنوان VPS الخاص بك فهو لك وحدك. كل طلب يخرج منه يكون صادراً عنك اليوم والشهر المقبل، ولا يتغير العنوان، لذلك يمكن للجهة المستقبِلة إنشاء ملف عن نشاطك على مدى أشهر من دون استخدام ملفات تعريف الارتباط.

لا يعني ذلك أن VPN ذاتي الاستضافة خيار سيئ. فهو مناسب جداً لتشفير حركة الشبكة على شبكة لا تتحكم بها، وللوصول إلى خدماتك الخاصة من أي مكان. لكنه ليس أداة لإخفاء الهوية، واستخدامه لهذا الغرض هو الخطأ. للحصول على شرح مباشر لما يستطيع مزوّد الخدمة رؤيته على الجهاز نفسه وما لا يستطيع رؤيته، اقرأ مدى أمان استضافة VPS فعلياً.

ما الذي لا يعالجه Tor ولا VPN

• بصمة المتصفح. تجتمع وكيل المستخدم، وحجم الشاشة، والمنطقة الزمنية، والخطوط المثبتة، واللغة، وطريقة عرض canvas في قيمة تكون فريدة غالباً، وتظل مرتبطة بك عبر كل عنوان IP تستخدمه. يكافح Tor Browser ذلك بجعل مستخدميه يبدون متطابقين، وبإعادة تحجيم النافذة وفق خطوات ثابتة. أما متصفحك العادي خلف وكيل SOCKS فيحتفظ ببصمته وملفات تعريف الارتباط الخاصة به.
• تسجيل الدخول. بمجرد أن تسجّل الدخول إلى حساب يعرف اسمك، تفقد طبقة الشبكة أهميتها. يؤدي تسجيل دخول واحد من المنزل وآخر عبر Tor إلى الحساب نفسه إلى ربط الجلستين.
• أي بيانات تسجلها نقطة النهاية على أي حال: ما كتبته، وما اشتريته، وما بحثت عنه.
• الربط بين الطرفين. يستطيع من يراقب خطك ونقطة الخروج في الوقت نفسه مطابقة التوقيت وحجم الحزم وربط الطرفين. يوضح Tor صراحةً أنه لا يحميك من مهاجم يستطيع رؤية الطرفين.

هل يمكنك استخدام Tor وVPN معاً؟

يعني Tor عبر VPN أن يتصل VPN أولاً، ثم يعمل Tor داخله. عندها لا يرى مزود خدمة الإنترنت لديك سوى VPN، وترى مرحّلة الحراسة عنوان VPN بدلاً من عنوانك. لكنك وضعت أيضاً شركة تحتفظ باسمك وبيانات بطاقتك أمام نظام صُمم لتجنب ذلك تحديداً. قد يكون هذا مفيداً في حالة واحدة: عندما يكون استخدام Tor بحد ذاته خطراً على اتصالك، ولا تملك خياراً أفضل.

أما VPN عبر Tor، حيث تغادر حركة المرور شبكة Tor ثم تدخل إلى حساب VPN، فهو أصعب في الإعداد، ويكون عادةً أسوأ. يرتبط سجل الدفع بهذا الحساب، لذلك تكون قد ربطت هوية ثابتة بحركة مرور كانت مجهولة قبل لحظة.

إذا كان هدفك الوحيد هو إخفاء استخدام Tor عن مزود خدمة الإنترنت، فالحل المدعوم هو bridge: نقطة دخول لا تكون ضمن الإجماع العام، مع استخدام وسيلة نقل قابلة للتبديل مثل obfs4 أو Snowflake تجعل تصنيف حركة المرور صعباً. يأتي Tor Browser مزوداً بكليهما، ولا تحتاج إلى منح شركة ثالثة اسمك.

FAQ

هل Tor مجرد VPN مجاني؟

لا. يمرّر VPN حركة الشبكة عبر خادم واحد تديره شركة واحدة، وترى هذه الشركة عنوانك الحقيقي وكل وجهة تتصل بها. وبذلك يستبدل مزود خدمة الإنترنت لديك بمزود اخترته أنت. أما Tor فيمرّر حركة الشبكة عبر 3 مرحّلات يديرها أشخاص مختلفون. يرى مرحّل الحراسة هويتك، لكنه لا يرى الموقع الذي تزوره. ويرى مرحّل الخروج الموقع، لكنه لا يراك. يقتصر Tor أيضاً على TCP، وهو أبطأ بوضوح، وتحجبه مواقع كثيرة أو تطلب منك اجتياز اختبارات إضافية. لذلك لا يحل محل VPN مباشرة في الاستخدامات اليومية.

هل يستطيع مزود خدمة الإنترنت معرفة أنني أستخدم Tor؟

نعم، افتراضياً. عناوين المرحّلات منشورة في الإجماع العام، لذلك يستطيع مزود الخدمة رؤية اتصالك بمرحّل حراسة معروف. لكنه لا يستطيع معرفة المواقع التي تصل إليها. لإخفاء استخدام Tor نفسه، يوفّر Tor Browser جسوراً تستخدم وسيلة نقل قابلة للتبديل، مثل obfs4 أو Snowflake. تتصل هذه الجسور عبر نقطة دخول غير موجودة في القائمة العامة. ويؤدي تشغيل VPN قبل Tor إلى إخفاء استخدام Tor عن مزود خدمة الإنترنت، لكنه ينقل هذه المعلومة نفسها إلى مشغّل VPN.

هل يجعلني تشغيل VPN على VPS أملكه مجهول الهوية؟

لا. الخادم مستأجر باسمك وبطاقتك، لذلك تربط سجلات الفوترة لدى المزود ذلك العنوان بك. ولا يتطلب الأمر أكثر من طلب موجّه إلى المزود للاطلاع على هذه السجلات. ويُستخدم العنوان بواسطتك وحدك، لذلك تعود كل الاتصالات الصادرة منه إلى شخص واحد، وتبقى قابلة للربط ما دمت تحتفظ بالخادم. يُعد VPN المستضاف ذاتياً أداة قوية للخصوصية ضد الشبكة المحلية، لكنه أداة ضعيفة لإخفاء الهوية ضد أي جهة تستطيع مطالبة مزود الخدمة بالمعلومات.

لماذا تحظرني المواقع أو تعرض اختبارات CAPTCHA عندما أستخدم Tor؟

لأن عناوين مرحّلات الخروج عامة ومشتركة بين عدد كبير جداً من الأشخاص. لذلك تُنسب إساءة الاستخدام الصادرة عن أي مستخدم من هؤلاء إلى العنوان الذي تستعيره. وتقيّم شبكات توصيل المحتوى هذه العناوين تقييماً سيئاً، ثم ترد بتحدٍّ، أو 403 Forbidden، أو نموذج تسجيل يرفض الإرسال. لا يمكنك إزالة هذا من جانبك. تنشئ الدائرة الجديدة مرحّل خروج مختلفاً، وقد تكون سمعته أفضل أحياناً.

إذا استخدمت VPN، فهل تظل استعلامات DNS الخاصة بي مكشوفة؟

قد يحدث ذلك، وهو أمر شائع. عند استخدام نفق كامل وعدم تعيين محلّل أسماء لواجهة النفق، يستمر العميل في استخدام محلّل الأسماء الذي تعلّمه من الشبكة المحلية. ويكون المسار إلى ذلك المحلّل على الشبكة المحلية، لذلك يتغلب على المسار الافتراضي للنفق. عندها تخرج استعلاماتك بنص واضح، بينما تبقى بقية الاتصالات مشفّرة. شغّل resolvectl status وتأكد من أن خادم DNS المدرج للوصلة التي تحمل مسارك الافتراضي هو محلّل النفق، وليس الموجّه المحلي.