Tor أم VPN: أيهما تحتاج فعلياً؟

Tor مقابل VPN: أيّهما تحتاج فعلياً

يرسل كل من Tor وVPN حركة الشبكة عبر أجهزة لا تملكها، لكن كل واحد منهما يجيب عن سؤال مختلف. تنقل VPN (شبكة خاصة افتراضية) الثقة من مزود الإنترنت إلى شركة واحدة، وترى هذه الشركة عنوانك الحقيقي وكل وجهة تزورها. أما Tor فيوزّع هذه الثقة على ثلاث مرحلات يشغّلها أشخاص مختلفون، لذلك لا تعرف أيّ مرحّلة واحدة هويتك والوجهة التي تتجه إليها معاً. اختر الأداة بتحديد الجهة التي تريد إخفاء نشاطك عنها.

إذا كانت هذه الجهة هي الشبكة التي تتصل منها، فـVPN هي الأداة المناسبة. وإذا كانت الجهة هي الموقع نفسه، أو أي شخص يستطيع إلزام شركة واحدة بتسليمه سجلاتها، فـTor هي الأداة المناسبة. يشرح باقي هذا الدليل التفاصيل الكامنة وراء هاتين الجملتين.

تتبّع طلباً واحداً عبر التصميمين

خذ طلباً عادياً: يفتح متصفحك https://news.example.com. تحمي TLS (أمن طبقة النقل) محتوى الصفحة في كلتا الحالتين، لذلك لا يستطيع أي طرف وسيط قراءة المقالة. الجزء المهم هو البيانات الوصفية: من يعرف عنوان IP الخاص بك، ومن يعرف الوجهة، ومن يستطيع الربط بين هاتين المعلومتين. أداة الخصوصية هي وسيلة لفصل هاتين المعلومتين. تنقل VPN هاتين المعلومتين إلى جهة أخرى. أما Tor فتفصل بينهما.

ما الذي يراه كل طرف عند استخدام VPN

يشفّر العميل كل حزمة ويرسلها إلى نقطة نهاية واحدة. ومن تلك النقطة فصاعداً، تعود الحزم إلى حركة شبكة عادية.

• يرى مزود خدمة الإنترنت لديك حزمًا مشفّرة بين خطك وعنوان خادم VPN واحد. ويرى حجم البيانات وتوقيتها. ولا يرى اسم المضيف الوجهة، ما دامت استعلامات DNS (نظام أسماء النطاقات) تمر أيضاً عبر النفق.
• يرى مشغّل VPN عنوان IP الحقيقي لديك من جهة، وكل عنوان وجهة من الجهة الأخرى، مع أوقات الإرسال وأحجام البيانات. يصل طرفا الاتصال إلى الجهاز نفسه.
• ترى الوجهة عنوان الخروج الخاص بـVPN، إضافة إلى كل تفاصيل التعريف التي يرسلها متصفحك.

لذلك لا ينشئ VPN إخفاءً للهوية. بل ينقل الجهة المراقبة من مزود خدمة الإنترنت لديك إلى مزود VPN. ويُعد ذلك مكسباً حقيقياً عندما تكون الشبكة المحلية هي المشكلة، أو عندما يفرض مزود خدمة الإنترنت لديك قيوداً على ما يراه أو يعيد بيعه. لكنه لا يحقق أي مكسب ضد الموقع الذي تزوره، لأن حركة الشبكة تصل إليه عبر تدفق واحد من شركة واحدة تعرف هويتك بدقة وتحتفظ بسجل مدفوعاتك.

إن ادعاء "عدم تسجيل السجلات" هو المنتج بأكمله، وهو الجزء الوحيد الذي لا يمكنك التحقق منه من جهتك. يمكنك التحقق من أن النفق يعمل. ويمكنك التحقق من عدم تسرّب DNS. لكن لا يمكنك التحقق مما يكتبه المشغّل على القرص. هذه هي المقايضة التي تقبلها: شركة واحدة تختارها أنت، تحتفظ بالصورة الكاملة.

تحقق من التسرّب الذي يعطّل النفق بهدوء:

resolvectl status
curl -s https://ifconfig.me; echo

يجب أن يكون العنوان الذي يطبعه ifconfig.me هو عنوان خروج VPN. ويجب أن تكون خوادم DNS المدرجة للوصلة التي تحمل المسار الافتراضي هي محلّل النفق. إذا كانت لا تزال تعرض الموجّه المحلي لديك عند 192.168.1.1، فإن عمليات البحث عن الأسماء تخرج عبر الوصلة المحلية بنص واضح، لأن المسار إلى ذلك الموجّه موجود على الوصلة، وهو أكثر تحديداً من المسار الافتراضي للنفق. حركة الشبكة لديك خاصة، لكن قائمة المواقع التي تزورها ليست كذلك. يشرح تسرّب استعلامات DNS من نفق WireGuard خطوات الإصلاح.

ما الذي يراه كل طرف عند استخدام Tor

ينشئ Tor دائرة من ثلاثة مرحّلات يختارها من قائمة موقّعة تُسمّى consensus، وتنشرها مجموعة صغيرة من سلطات الدليل. يغلّف العميل البيانات في طبقات، طبقة لكل مرحّل. يزيل كل مرحّل طبقة واحدة، ولا يعرف إلا القفزة التالية، ثم يمرّر بقية البيانات. هذه الطبقات هي سبب عدم امتلاك أي طرف على المسار للمعلومتين معاً.

• يرى مزوّد خدمة الإنترنت لديك حركة مرور مشفّرة إلى مرحّل guard واحد. عناوين المرحّلات عامة، لذلك يستطيع مزوّد الخدمة معرفة أنك تستخدم Tor. لكنه لا يستطيع معرفة الوجهة التي تصل إليها.
• يرى مرحّل guard عنوان IP الحقيقي لديك. ولا يستطيع رؤية الوجهة، لأن الجزء الذي يذكر اسم الموقع ما زال مشفّراً للمرحّلات التي تليه.
• يرى المرحّل الأوسط مرحّل guard من جهة ومرحّل exit من الجهة الأخرى. ولا يراك ولا يرى الوجهة. وُجد هذا المرحّل حتى لا يتحدث guard وexit مباشرة.
• يرى مرحّل exit الوجهة وحركة المرور عند خروجها من الشبكة. ويرى عنوان المرحّل الأوسط، لا عنوانك. مع HTTPS، يعرف اسم المضيف وبيانات الاتصال الوصفية، لكنه لا يرى الصفحة.
• ترى الوجهة عنوان مرحّل exit، وهو عنوان يظهر في قوائم الخروج العامة، إضافة إلى كل ما يرسله متصفحك إليها.

يتطلب ربطك بالموقع مراقبة guard وexit في الوقت نفسه. هذا هو التصميم في جملة واحدة. ولهذا يحتفظ العميل بمرحّل guard نفسه لأشهر بدلاً من اختيار مرحّل جديد عند كل تشغيل: فتدوير مرحّل الدخول باستمرار يمنح المرحّل الخبيث فرصاً متكررة ليصبح guard الخاص بك.

الدوائر ليست دائمة. تنتقل الاتصالات الجديدة إلى دائرة جديدة تقريباً كل عشر دقائق، بينما يبقى stream المفتوح على الدائرة التي بدأ عليها. عادةً يخرج تنزيل طويل وعلامة تبويب تفتحها بعد خمس عشرة دقيقة عبر مرحّلي exit مختلفين.

ثبّته وأثبت المسار:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

يجب أن يصل السجل إلى Bootstrapped 100% (done): Done. يجب أن يطبع curl القيمة {"IsTor":true,"IP":"..."} مع عنوان لا تتعرّف إليه، وهو عنوان exit الحالي لديك. إذا كانت قيمة IsTor هي false، فهذا يعني أن الطلب لم يمر عبر الـproxy. قد تتأخر حزمة Tor في Ubuntu عن الإصدار الحالي؛ وينشر Tor Project مستودع apt خاصاً به إذا كنت تحتاج إلى متابعة الإصدارات upstream.

يوجد فخ داخل ذلك الأمر. يجعل --socks5 curl يحل اسم المضيف بنفسه، ثم يرسل العنوان الناتج عبر الـproxy، ولذلك يعرف محلّل الأسماء العادي لديك كل اسم تزوره. أما --socks5-hostname فيرسل الاسم إلى Tor ويترك لـexit مهمة حله. النفق نفسه، لكن التسريب مختلف تماماً. يعالج Tor Browser وtorsocks هذا الأمر بشكل صحيح. أما الأدوات التي تُضبط يدوياً فكثيراً ما لا تفعل ذلك.

ينقل Tor تدفقات TCP فقط. ولا يستطيع نقل UDP، لذلك لا يمر ping 1.1.1.1 عبره، كما لا يمكن تشغيل بروتوكول VPN قائم على UDP داخله. وأي برنامج يتجاهل إعداد الـproxy يستخدم المسار العادي لديك مع عنوانك العادي، من دون أن يحذرك شيء. ولهذا يُنفَّذ استخدام Tor على مستوى النظام عبر proxy شفاف على جهاز منفصل، لا عبر متغير بيئة.

أين تتركّز الثقة فعلياً

تُركّز VPN الثقة في جهة واحدة. تحتفظ شركة واحدة بهويتك، وسجل فواتيرك، ونمط حركة شبكتك بالكامل، وتعتمد حمايتك على تعهّدها بعدم الاحتفاظ بالسجلات. ما دام هذا التعهّد قائماً، يكون التصميم واضحاً وسريعاً وسهل الفهم. وعندما يفشل التعهّد، سواء بسبب أمر قضائي، أو اختراق، أو كذب، يفشل التصميم بالكامل ويشمل ذلك كل حركة شبكتك دفعة واحدة.

توزّع Tor الثقة. تحتفظ ثلاث جهات لا تعرف معظمها الأخرى بجزء من المعلومات، ولا تكون قيمة أي جزء منفرد كبيرة. لا يلزم أن تكون أي جهة صادقة حتى يعمل التصميم. يكفي أن تكون جهات عدة مستقلة عن بعضها. تدفع ثمن ذلك في السرعة، وفي اقتصار الاتصال على TCP، وفي استخدام شبكة تضم بالتأكيد مرحّلات يديرها أشخاص يرغبون في مراقبتك. ويكمن رد Tor على المرحّل المعادي في أن مرحّلاً واحداً لا يكفي أبداً.

متى تكون VPN هي الأداة المناسبة

• لا تثق بالشبكة المحلية: شبكة فندق أو مطار أو قاعة مؤتمرات أو موجّه يملكه مالك العقار. لا يرى المشغّل سوى نفق مشفّر ولا يرى شيئاً آخر.
• تريد الوصول إلى أجهزتك الخاصة، أو تريد الخروج من عنوان ثابت تتحكم فيه.
• تحتاج إلى السرعة وUDP: مكالمات الفيديو، والألعاب، وعمليات النقل الكبيرة، والنسخ الاحتياطية.
• تريد عنواناً مستقراً لا تفرض المواقع عليه تحديات التحقق. تُحظر نقاط خروج Tor أو تُفرض عليها اختبارات CAPTCHA في أجزاء كبيرة من الويب.

هذه القائمة تبرر تشغيل VPN خاص بك على VPS بدلاً من شراء اشتراك، كما أن خادم WireGuard تُعدّه بنفسك يمنحك نفقاً تكون سياسة تسجيله في ملف إعدادات تملكه. إذا أردت النفق نفسه مع إدارة مفاتيح بين الأجهزة فوقه، فاقرأ مقارنة الفرق بين WireGuard العادي وTailscale. كل واحد من هذه الخيارات ممتاز للمهمة الواردة في هذه القائمة. لكن أياً منها لا ينفذ المهمة الواردة في القائمة التالية.

متى يكون Tor هو الأداة المناسبة

• يشمل خصمك الموقع الوجهة، أو أي جهة قادرة على طلب السجلات من شركة واحدة.
• تقرأ أو تنشر شيئاً قد يضر بك إذا أمكن تتبعه إلى خط اتصالك.
• تريد خدمة onion: حركة مرور لا تغادر الشبكة، ولا تمر عبر relay خروج، وخادم يظل عنوانه مخفياً.
• يمكنك تحمّل بطء الصفحات، واختبارات CAPTCHA، و403 Forbidden العرضية.

استخدم Tor Browser، وليس متصفحك اليومي الموجّه إلى المنفذ 9050. المتصفح جزء أساسي من الحماية، ويشرح القسم الذي يلي القسم التالي سبب ذلك.

لماذا يكون VPS الذي استأجرته أسوأ من VPN تجاري لإخفاء الهوية

هذه هي النقطة التي يخلط الناس فيها عادةً. إن VPS الذي استأجرته هو عقد إيجار مسجّل باسمك. يبقى بريد التسجيل الإلكتروني، والبطاقة، والفواتير، وتذاكر الدعم في قاعدة بيانات شركة واحدة إلى جانب عنوان IP ذلك الخادم. ولا يحتاج أحد إلى اختراق أي شيء لربط العنوان بك. فهذه المعلومات مسجّلة بالفعل، ومحفوظة لأسباب محاسبية عادية، ومتاحة لأي جهة تستطيع مطالبة المزوّد بها بموجب إجراء قانوني.

المشكلة الثانية هي عدد المستخدمين المشتركين في العنوان. يشترك العديد من العملاء في عنوان الخروج الخاص بـVPN تجاري في الوقت نفسه، لذلك لا يشير العنوان وحده إلى شخص واحد. أما عنوان VPS الخاص بك، فهو لك وحدك. كل طلب يخرج منه يكون صادراً منك اليوم وفي الشهر المقبل، ولا يتغير العنوان، لذلك يمكن للجهة المستقبلة إنشاء ملف عن نشاطك على مدى أشهر من دون استخدام ملفات تعريف الارتباط.

لا يعني أي من ذلك أن VPN المستضاف ذاتياً خيار سيئ. فهو مفيد جداً لتشفير حركة مرورك على شبكة لا تتحكم فيها، وللوصول إلى خدماتك الخاصة من أي مكان. لكنه ليس أداة لإخفاء الهوية، والخطأ هو استخدامه لهذا الغرض. للحصول على شرح مباشر لما يستطيع المزوّد رؤيته على الجهاز نفسه وما لا يستطيع رؤيته، اقرأ مدى أمان استضافة VPS فعلياً.

ما الذي لا يعالجه Tor ولا VPN

• بصمة المتصفح. تتحدّ عناصر مثل وكيل المستخدم، وحجم الشاشة، والمنطقة الزمنية، والخطوط المثبّتة، ولغة النظام، وطريقة عرض canvas لتشكّل قيمة تكون فريدة غالباً، وتبقى مرتبطة بك عبر كل عناوين IP التي تستخدمها. يحاول Tor Browser الحد من ذلك بجعل مظهر مستخدميه متطابقاً، وبإعادة ضبط حجم النافذة وفق خطوات ثابتة. أما متصفحك العادي خلف وكيل SOCKS فيحتفظ ببصمته وملفات تعريف الارتباط الخاصة به.
• تسجيل الدخول. بمجرد تسجيل الدخول إلى حساب يعرف اسمك، تفقد طبقة الشبكة أهميتها. يؤدي تسجيل دخول واحد من المنزل وآخر عبر Tor إلى الحساب نفسه إلى ربط الجلستين.
• أي شيء تسجّله نقطة النهاية على أي حال: ما كتبته، وما اشتريته، وما بحثت عنه.
• الربط بين طرفي الاتصال. يستطيع من يراقب اتصالك ونقطة الخروج في الوقت نفسه مواءمة التوقيت وحجم الحزم ومطابقة الطرفين. يوضح Tor صراحةً أنه لا يحمي من خصم يستطيع رؤية الجانبين.

هل يمكن استخدام Tor وVPN معاً؟

يعني Tor عبر VPN أن يتصل VPN أولاً، ثم يعمل Tor داخله. سيرى مزود خدمة الإنترنت لديك VPN فقط، بينما سيرى relay الحراسة عنوان VPN بدلاً من عنوانك. لكنك وضعت أيضاً شركة تحتفظ باسمك وبيانات بطاقتك أمام نظام صُمم لتجنب ذلك تحديداً. قد يكون هذا مفيداً في حالة واحدة: عندما يكون استخدام Tor بحد ذاته خطراً على اتصالك، ولا يتوفر لديك خيار أفضل.

أما VPN عبر Tor، حيث تغادر حركة الشبكة شبكة Tor ثم تدخل إلى حساب VPN، فهو أصعب في الإعداد وأسوأ عادةً. يرتبط بهذا الحساب سجل مدفوعاتك، ولذلك ربطت هوية ثابتة بحركة شبكة كانت مجهولة قبل لحظة.

إذا كان الهدف هو إخفاء استخدام Tor عن مزود خدمة الإنترنت فقط، فالحل المدعوم هو bridge: نقطة دخول لا تظهر في public consensus، مع pluggable transport مثل obfs4 أو Snowflake، ما يجعل تصنيف حركة الشبكة صعباً. يأتي Tor Browser مزوداً بكليهما، ولا تحتاج إلى منح شركة ثالثة اسمك.

FAQ

هل Tor مجرد VPN مجاني؟

لا. يرسل VPN حركة الشبكة عبر خادم واحد تديره شركة واحدة ترى عنوانك الحقيقي وكل وجهة تتصل بها، ولذلك فهو يستبدل مزود خدمة الإنترنت لديك بمزود اخترته أنت. أما Tor فيرسلها عبر ثلاث مرحلات يديرها أشخاص مختلفون؛ إذ ترى مرحلـة الحراسة أنك متصل، لكنها لا ترى الموقع، بينما ترى مرحلـة الخروج الموقع، لكنها لا تراك. يقتصر Tor أيضاً على TCP، وهو أبطأ بوضوح، وتحظره أو تفرض تحديات عليه مواقع كثيرة. لذلك فهو ليس بديلاً مباشراً عن استخدامات VPN اليومية.

هل يستطيع مزود خدمة الإنترنت معرفة أنني أستخدم Tor؟

نعم، افتراضياً. تُنشر عناوين المرحلات في الإجماع العام، ولذلك يستطيع مزود الخدمة رؤية اتصالك بمرحلـة حراسة معروفة. لكنه لا يستطيع رؤية المواقع التي تصل إليها. لإخفاء الاستخدام نفسه، يوفّر Tor Browser جسوراً تستخدم وسيلة نقل قابلة للتبديل مثل obfs4 أو Snowflake. وتتصل هذه الجسور عبر نقطة دخول غير موجودة في القائمة العامة. يؤدي استخدام VPN قبل Tor إلى إخفاء ذلك عن مزود خدمة الإنترنت، لكنه يكشف الحقيقة نفسها لمشغّل VPN بدلاً من ذلك.

هل يجعلني تشغيل VPN على VPS أملكه مجهول الهوية؟

لا. الخادم مستأجر باسمك وببطاقتك، ولذلك تربط سجلات الفوترة لدى المزود ذلك العنوان بك مباشرة. ويكفي تقديم طلب إلى المزود للاطلاع على هذه السجلات. كما أنك تستخدم العنوان وحدك، ولذلك تنتمي كل الاتصالات الصادرة منه إلى شخص واحد وتظل قابلة للربط ما دمت تحتفظ بالخادم. يوفّر VPN المستضاف ذاتياً أداة قوية للخصوصية ضد الشبكة المحلية، لكنه أداة ضعيفة لإخفاء الهوية أمام أي جهة تستطيع مطالبة المزود بالمعلومات.

لماذا تحظرني المواقع أو تعرض اختبارات CAPTCHA عند استخدام Tor؟

لأن عناوين مرحلات الخروج عامة ويستخدمها عدد كبير جداً من الأشخاص، ولذلك تُنسب إساءة الاستخدام الصادرة عن أي مستخدم إلى العنوان الذي تستعيره. تقيّم شبكات توصيل المحتوى هذه العناوين تقييماً سيئاً، وترد بتحدٍّ أو 403 Forbidden أو نموذج تسجيل يرفض الإرسال. لا يمكنك إزالة ذلك من جانبك. تنشئ الدائرة الجديدة مسار خروج مختلفاً، وقد تكون سمعته أفضل أحياناً.

إذا استخدمت VPN، فهل تظل استعلامات DNS مكشوفة؟

قد يحدث ذلك، وهو أمر شائع. عند استخدام نفق كامل وعدم تعيين محلل أسماء لواجهة النفق، يحتفظ العميل بالمحلل الذي تعلّمه من الشبكة المحلية. ويكون المسار إلى ذلك المحلل على الوصلة المحلية، ولذلك يتغلب على المسار الافتراضي للنفق. عندها تخرج استعلاماتك بنص واضح، بينما تُشفّر الاتصالات الأخرى. شغّل resolvectl status وتحقق من أن خادم DNS المدرج للوصلة التي تحمل المسار الافتراضي هو محلل النفق، وليس الموجّه المحلي.