تفاوت Tor و VPN: کدام برای امنیت شما مناسب است؟

مقایسه Tor و VPN: واقعاً به کدام نیاز دارید

Tor و VPN هر دو ترافیک شما را از طریق ماشین‌هایی که متعلق به شما نیستند ارسال می‌کنند، اما به پرسش‌های متفاوتی پاسخ می‌دهند. یک VPN (شبکه خصوصی مجازی) اعتماد شما را از ارائه‌دهنده اینترنت به یک شرکت منتقل می‌کند؛ شرکتی که در این حالت آدرس واقعی شما و تمام مقاصدی که بازدید می‌کنید را می‌بیند. Tor این اعتماد را بین سه رله که توسط افراد مختلف اداره می‌شوند پخش می‌کند، بنابراین هیچ رله واحدی همزمان نمی‌داند شما چه کسی هستید و به کجا می‌روید. انتخاب خود را بر اساس نام بردن طرفی که می‌خواهید از آن پنهان شوید، انجام دهید.

اگر آن طرف، شبکه‌ای است که در حال حاضر به آن متصل هستید، VPN ابزار مناسب است. اگر آن طرف، خود وب‌سایت است یا هر کسی که می‌تواند سوابق یک شرکت را مطالبه کند، Tor ابزار مناسب است. باقی این راهنما جزئیات پشت این دو جمله را شرح می‌دهد.

یک درخواست را در هر دو طراحی دنبال کنید

یک درخواست معمولی را در نظر بگیرید: مرورگر شما https://news.example.com را باز می‌کند. در هر دو حالت، TLS (امنیت لایه انتقال) محتوای صفحه را محافظت می‌کند، بنابراین هیچ‌کس در میانه راه نمی‌تواند مقاله را بخواند. بخش جالب، متادیتا است: چه کسی آدرس IP شما را می‌فهمد، چه کسی مقصد را می‌فهمد و چه کسی می‌تواند این دو واقعیت را به هم پیوند دهد. یک ابزار حریم خصوصی، ماشینی برای جدا کردن این جفت از یکدیگر است. یک VPN این جفت را به دارنده متفاوتی منتقل می‌کند. Tor آن‌ها را از هم جدا می‌کند.

آنچه هر طرف هنگام استفاده از VPN می‌بیند

کلاینت شما هر بسته را رمزنگاری کرده و به یک نقطه پایانی ارسال می‌کند. از آن نقطه به بعد، ترافیک دوباره به حالت عادی بازمی‌گردد.

• ISP (ارائه‌دهنده خدمات اینترنت) شما، بسته‌های رمزنگاری‌شده بین خط شما و آدرس یک سرور VPN را می‌بیند. این ارائه‌دهنده حجم و زمان‌بندی ترافیک را مشاهده می‌کند. تا زمانی که پرس‌وجوهای DNS (سامانه نام دامنه) نیز از داخل تونل عبور کنند، ISP نام میزبان مقصد را نمی‌بیند.
• اپراتور VPN آدرس IP واقعی شما را در یک سمت و تمام آدرس‌های مقصد را در سمت دیگر، به همراه زمان‌ها و حجم‌ها می‌بیند. هر دو نیمه این جفت در یک ماشین واحد قرار می‌گیرند.
• مقصد، آدرس خروجی VPN و همچنین تمام جزئیات شناسایی که مرورگر شما ارسال می‌کند را می‌بیند.

بنابراین، VPN ناشناسی ایجاد نمی‌کند. این ابزار ناظر را از ISP شما به ارائه‌دهنده VPN منتقل می‌کند. این یک مزیت واقعی است زمانی که شبکه محلی مشکل‌ساز باشد، یا زمانی که ISP شما ترافیک را فیلتر کرده یا اطلاعات مشاهده‌شده را می‌فروشد. این کار در برابر سایتی که از آن بازدید می‌کنید هیچ مزیتی ندارد، زیرا ترافیک شما همچنان به صورت یک جریان واحد از شرکتی می‌رسد که دقیقاً می‌داند شما کی هستید و سوابق پرداخت شما را در اختیار دارد.

ادعای "عدم ثبت لاگ" (no logs) تمام محصول است و تنها بخشی است که نمی‌توانید از سمت خود بررسی کنید. شما می‌توانید تأیید کنید که تونل برقرار است. می‌توانید تأیید کنید که DNS نشت نمی‌کند. شما نمی‌توانید تأیید کنید که اپراتور چه چیزی را روی دیسک می‌نویسد. این معامله‌ای است که می‌پذیرید: یک شرکت، که توسط شما انتخاب شده، تصویر کاملی از فعالیت‌های شما را در اختیار دارد.

نشتی که بی‌سروصدا تونل را بی‌اثر می‌کند بررسی کنید:

resolvectl status
curl -s https://ifconfig.me; echo

آدرسی که توسط ifconfig.me چاپ می‌شود باید خروجی VPN باشد. سرورهای DNS فهرست‌شده برای لینکی که مسیر پیش‌فرض شما را حمل می‌کند، باید resolver تونل باشند. اگر آن‌ها همچنان روتر محلی شما را در 192.168.1.1 فهرست می‌کنند، پرس‌وجوهای نام شما از طریق لینک محلی به صورت متن آشکار (cleartext) خارج می‌شوند، زیرا مسیر به آن روتر on-link است و نسبت به مسیر پیش‌فرض تونل، اولویت بالاتری دارد. ترافیک شما خصوصی است اما فهرست سایت‌هایی که بازدید می‌کنید، خیر. خروج پرس‌وجوهای DNS از تونل WireGuard راه حل این مشکل را توضیح می‌دهد.

آنچه هر طرف هنگام استفاده از Tor می‌بیند

Tor یک مدار متشکل از سه رله ایجاد می‌کند که از یک لیست امضاشده به نام consensus انتخاب شده‌اند؛ این لیست توسط گروه کوچکی از directory authorities منتشر می‌شود. کلاینت شما داده‌ها را در لایه‌هایی بسته‌بندی می‌کند، یک لایه برای هر رله. هر رله یک لایه را حذف می‌کند، فقط گام بعدی را می‌شناسد و باقی‌مانده را به جلو می‌فرستد. این لایه‌ها دلیل آن هستند که هیچ‌کس در مسیر، هر دو واقعیت (مبدأ و مقصد) را همزمان در اختیار ندارد.

• ISP شما ترافیک رمزنگاری‌شده به سمت یک guard relay را می‌بیند. آدرس‌های رله عمومی هستند، بنابراین ISP شما می‌تواند تشخیص دهد که از Tor استفاده می‌کنید. اما نمی‌تواند بفهمد به چه چیزی دسترسی دارید.
• guard relay آدرس IP واقعی شما را می‌بیند. این رله نمی‌تواند مقصد را ببیند، زیرا بخشی از پیام که نام سایت را مشخص می‌کند، همچنان برای رله‌های بعدی رمزنگاری شده است.
• middle relay یک guard در یک سمت و یک exit در سمت دیگر می‌بیند. این رله نه شما را می‌بیند و نه مقصد را. وجود آن برای این است که guard و exit هرگز مستقیماً با هم صحبت نکنند.
• exit relay مقصد و ترافیک را هنگام خروج از شبکه می‌بیند. این رله آدرس middle relay را می‌بیند، نه آدرس شما را. با استفاده از HTTPS، این رله نام میزبان (hostname) و متادیتای اتصال را می‌بیند، نه محتوای صفحه را.
• مقصد، آدرس exit relay را می‌بیند که در لیست‌های عمومی خروجی‌ها وجود دارد، به علاوه هر چیزی که مرورگر شما در اختیارش قرار می‌دهد.

اتصال شما به سایت، نیازمند دسترسی همزمان به guard و exit است. این طراحی در یک جمله است. همچنین به همین دلیل است که کلاینت شما به جای انتخاب یک guard جدید در هر بار شروع، همان guard را برای ماه‌ها نگه می‌دارد: چرخش مداوم نقطه ورود، به یک رله مخرب فرصت‌های مکرری می‌دهد تا به guard شما تبدیل شود.

مدارها دائمی نیستند. اتصالات جدید تقریباً هر 10 دقیقه به یک مدار تازه منتقل می‌شوند، در حالی که جریانی که از قبل باز شده است، روی همان مداری که شروع شده باقی می‌ماند. یک دانلود طولانی و تب جدیدی که 15 دقیقه بعد باز می‌کنید، معمولاً از exitهای متفاوتی خارج می‌شوند.

آن را نصب کنید و مسیر را اثبات کنید:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

لاگ باید به Bootstrapped 100% (done): Done برسد. دستور curl باید {"IsTor":true,"IP":"..."} را با آدرسی که نمی‌شناسید چاپ کند، که همان exit فعلی شماست. اگر IsTor برابر با false باشد، درخواست هرگز از طریق پروکسی عبور نکرده است. نسخه Tor موجود در مخازن Ubuntu ممکن است از نسخه فعلی عقب‌تر باشد؛ اگر نیاز دارید که نسخه upstream را دنبال کنید، Tor Project مخزن apt اختصاصی خود را منتشر می‌کند.

یک تله در آن دستور وجود دارد. --socks5 باعث می‌شود curl خودش نام میزبان را resolve کند و سپس آدرس حاصل را از طریق پروکسی بفرستد، بنابراین resolver معمولی شما تمام نام‌هایی که بازدید می‌کنید را یاد می‌گیرد. --socks5-hostname نام را به Tor می‌فرستد و اجازه می‌دهد exit آن را resolve کند. تونل یکی است، اما نشت اطلاعات کاملاً متفاوت است. Tor Browser و torsocks این کار را درست انجام می‌دهند. ابزارهایی که دستی پیکربندی می‌شوند اغلب این‌طور نیستند.

Tor فقط جریان‌های TCP را منتقل می‌کند. این شبکه نمی‌تواند UDP را حمل کند، بنابراین ping 1.1.1.1 هرگز از طریق آن عبور نمی‌کند و یک پروتکل VPN مبتنی بر UDP نمی‌تواند داخل آن اجرا شود. هر برنامه‌ای که تنظیمات پروکسی خود را نادیده بگیرد، به سادگی از مسیر معمولی شما با آدرس معمولی شما استفاده می‌کند و هیچ هشداری دریافت نمی‌کنید. به همین دلیل است که استفاده از Tor در سطح سیستم، با یک پروکسی شفاف (transparent proxy) روی یک دستگاه جداگانه انجام می‌شود، نه با متغیرهای محیطی (environment variable).

جایی که اعتماد واقعاً در آن قرار می‌گیرد

یک VPN اعتماد را متمرکز می‌کند. یک شرکت هویت، سوابق پرداخت و الگوی کامل ترافیک شما را در اختیار دارد و محافظت شما تنها به وعده آن شرکت مبنی بر عدم نگهداری لاگ‌ها وابسته است. تا زمانی که این وعده معتبر باشد، طراحی سیستم تمیز، سریع و قابل‌درک است. اما زمانی که این اعتماد از بین برود—چه از طریق احضاریه قضایی، چه نفوذ امنیتی یا دروغ‌گویی شرکت—کل سیستم برای تمام ترافیک شما به‌طور یک‌جا شکست می‌خورد.

Tor اعتماد را توزیع می‌کند. سه طرف که عمدتاً یکدیگر را نمی‌شناسند، هر کدام بخشی از اطلاعات را در اختیار دارند و داشتن یک بخش به‌تنهایی ارزش چندانی ندارد. برای کارکرد این طراحی، نیازی نیست کسی صادق باشد؛ تنها کافی است که آن‌ها مستقل از یکدیگر عمل کنند. شما بهای این امنیت را با کاهش سرعت، محدودیت به پروتکل TCP و شبکه‌ای می‌پردازید که برخی از رله‌های آن قطعاً توسط افرادی اداره می‌شوند که مایل به نظارت بر فعالیت شما هستند. پاسخ Tor به یک رله مخرب این است که یک رله به‌تنهایی هرگز کافی نیست.

چه زمانی VPN ابزار مناسبی است

• به شبکه محلی اعتماد ندارید: هتل، فرودگاه، سالن کنفرانس یا روتر صاحب‌خانه. اپراتور شبکه فقط یک تونل رمزنگاری‌شده می‌بیند و هیچ چیز دیگری برایش قابل مشاهده نیست.
• می‌خواهید به ماشین‌های خود دسترسی داشته باشید یا ترافیک شما از یک آدرس ثابت که تحت کنترل خودتان است خارج شود.
• به سرعت و پروتکل UDP نیاز دارید: تماس‌های ویدیویی، بازی‌ها، انتقال فایل‌های حجیم و پشتیبان‌گیری.
• می‌خواهید آدرس پایداری داشته باشید که سایت‌ها آن را به چالش نکشند. خروجی‌های Tor در بخش بزرگی از وب مسدود شده‌اند یا با CAPTCHA مواجه می‌شوند.

این فهرست، دلایل اجرای VPN شخصی روی یک VPS به‌جای خرید اشتراک را بیان می‌کند و یک سرور WireGuard که خودتان راه‌اندازی کرده‌اید، تونلی در اختیار شما می‌گذارد که سیاست ثبت لاگ آن، فایلی است که خودتان مالک آن هستید. اگر همان تونل را با مدیریت کلید دستگاه‌به‌دستگاه می‌خواهید، تفاوت بین WireGuard ساده و Tailscale مقایسه‌ای است که باید بخوانید. هنگامی که در یک tailnet هستید، دسترسی به سرویس‌های شخصی و انتشار یکی از آن‌ها در اینترنت آزاد، دو تصمیم مجزا هستند و دستور serve سرویس را برای tailnet خصوصی نگه می‌دارد، در حالی که funnel آن را عمومی می‌کند. هر یک از این ابزارها در انجام وظایف این فهرست عالی هستند. هیچ‌کدام از آن‌ها وظایف فهرست بعدی را انجام نمی‌دهند.

چه زمانی Tor ابزار مناسبی است

• حریف شما شامل سایت مقصد یا هر کسی است که بتواند از یک شرکت واحد درخواست ثبت داده‌ها را داشته باشد.
• در حال مطالعه یا انتشار مطلبی هستید که اگر به خط ارتباطی شما ردیابی شود، برایتان آسیب‌زا خواهد بود.
• به یک onion service نیاز دارید: ترافیکی که هرگز از شبکه خارج نمی‌شود، هیچ exit relay در آن دخیل نیست و آدرس سرور مخفی می‌ماند.
• می‌توانید با سرعت پایین صفحات، CAPTCHAها و 403 Forbidden گاه‌به‌گاه کنار بیایید.

اگر سمت سرورِ مورد سوم برای شما جذاب است، راه‌اندازی یک v3 onion service روی یک VPS نشان می‌دهد که چگونه می‌توان بدون وجود exit relay در مسیر به یک سایت دسترسی پیدا کرد و کدام نشت‌های معمولی همچنان ماشین را به آدرس عمومی‌اش مرتبط می‌کنند.

از Tor Browser استفاده کنید، نه مرورگر روزمره خود که به پورت 9050 اشاره دارد. مرورگر نیمی از حفاظت است و بخش بعد از بخش بعدی دلیل آن را توضیح می‌دهد.

چرا VPS اجاره‌ای برای ناشناس ماندن از VPNهای تجاری ضعیف‌تر است

این موضوعی است که بسیاری از افراد به اشتباه برداشت می‌کنند. VPS که اجاره می‌کنید، در واقع یک قرارداد اجاره است که نام شما روی آن ثبت شده است. ایمیل ثبت‌نام، کارت بانکی، صورت‌حساب‌ها و تیکت‌های پشتیبانی، همگی در پایگاه داده یک شرکت در کنار آن آدرس IP ذخیره می‌شوند. برای اینکه آن آدرس IP به شما نسبت داده شود، نیازی نیست کسی به سیستم نفوذ کند؛ این اطلاعات از قبل ثبت شده و به دلایل حسابداری عادی نگهداری می‌شوند و در دسترس هر کسی است که بتواند با پشتوانه قانونی از ارائه‌دهنده سؤال کند.

مشکل دوم، مسئله جمعیت است. آدرس خروجی یک VPN تجاری در یک لحظه توسط بسیاری از کاربران به اشتراک گذاشته می‌شود، بنابراین آن آدرس به تنهایی به یک شخص خاص اشاره نمی‌کند. اما آدرس VPS شما فقط متعلق به خودتان است. هر درخواستی که از آن خارج می‌شود متعلق به شماست، چه امروز و چه ماه آینده؛ و چون آدرس تغییر نمی‌کند، مقصد می‌تواند بدون نیاز به هیچ کوکی، در طول ماه‌ها یک پروفایل از فعالیت‌های شما بسازد.

هیچ‌کدام از این موارد به این معنا نیست که VPN شخصی (self-hosted) ابزار بدی است. این ابزار برای رمزنگاری ترافیک شما در شبکه‌ای که کنترل آن را در دست ندارید و همچنین برای دسترسی به سرویس‌های شخصی خودتان از هر مکانی، بسیار عالی است. مشکل اینجاست که این ابزار برای ناشناس ماندن طراحی نشده است و استفاده از آن با این هدف، یک اشتباه است. برای مطالعه شرحی ساده از اینکه ارائه‌دهنده شما چه چیزی را می‌تواند روی خودِ ماشین ببیند و چه چیزی را نمی‌تواند، امنیت واقعی میزبانی VPS را مطالعه کنید.

مواردی که نه Tor و نه VPN آن‌ها را برطرف نمی‌کنند

• اثرانگشت مرورگر (Browser fingerprinting). شناسه مرورگر (user agent)، اندازه صفحه، منطقه زمانی، فونت‌های نصب‌شده، زبان و نحوه رندر کردن canvas با هم ترکیب شده و مقداری را می‌سازند که اغلب منحصربه‌فرد است؛ این مقدار در هر IP که استفاده می‌کنید، همراه شماست. Tor Browser با یکسان‌سازی ظاهر کاربران و تغییر اندازه پنجره در گام‌های ثابت، با این مسئله مقابله می‌کند. مرورگر معمولی شما پشت یک SOCKS proxy، اثرانگشت و کوکی‌های خود را حفظ می‌کند.
• ورود به حساب کاربری (Logging in). لحظه‌ای که به حسابی وارد می‌شوید که نام شما را می‌داند، لایه شبکه دیگر اهمیتی ندارد. یک ورود از خانه و یک ورود از طریق Tor به همان حساب، هر دو نشست (session) را به هم پیوند می‌دهد.
• هر چیزی که نقطه پایانی (endpoint) به هر حال ثبت می‌کند: آنچه تایپ کرده‌اید، آنچه خریده‌اید و آنچه جستجو کرده‌اید.
• همبستگی سرتاسری (End-to-end correlation). کسی که همزمان خط شما و خروجی (exit node) را زیر نظر داشته باشد، می‌تواند زمان‌بندی و حجم بسته‌ها را تطبیق داده و دو سر ارتباط را به هم متصل کند. Tor به‌صراحت اعلام می‌کند که در برابر مهاجمی که می‌تواند هر دو سمت را ببیند، دفاعی ندارد.

آیا می‌توان از Tor و VPN به‌طور همزمان استفاده کرد؟

استفاده از Tor روی VPN به این معناست که ابتدا اتصال VPN برقرار شده و سپس Tor درون آن اجرا می‌شود. در این حالت، ISP شما فقط ترافیک VPN را می‌بیند و گره ورودی (guard relay) شبکه Tor نیز به‌جای آدرس واقعی شما، آدرس VPN را مشاهده می‌کند. با این کار، شما شرکتی را که نام و اطلاعات کارت بانکی‌تان را در اختیار دارد، در مقابل سیستمی قرار داده‌اید که دقیقاً برای اجتناب از چنین وضعیتی طراحی شده است. این روش تنها در یک شرایط توصیه می‌شود: زمانی که استفاده از Tor در شبکه شما خطرناک است و گزینه بهتری در دسترس ندارید.

استفاده از VPN روی Tor، که در آن ترافیک پس از خروج از شبکه Tor وارد یک حساب VPN می‌شود، پیکربندی دشوارتری دارد و معمولاً نتیجه‌بخش نیست. از آنجا که آن حساب VPN با سوابق پرداخت شما مرتبط است، شما یک هویت ثابت را به ترافیکی چسبانده‌اید که تا لحظاتی پیش ناشناس بود.

اگر هدف تنها مخفی کردن استفاده از Tor از دید ISP است، راهکار استاندارد استفاده از bridge است: یک نقطه ورود که در لیست عمومی گره‌های Tor وجود ندارد و با استفاده از یک pluggable transport مانند obfs4 یا Snowflake، ترافیک را به‌گونه‌ای تغییر می‌دهد که تشخیص آن دشوار باشد. Tor Browser به‌صورت پیش‌فرض از هر دو پشتیبانی می‌کند و نیازی نیست اطلاعات هویتی خود را در اختیار شرکت ثالثی قرار دهید.

FAQ

آیا Tor صرفاً یک VPN رایگان است؟

خیر. یک VPN ترافیک شما را از طریق یک سرور که توسط یک شرکت اداره می‌شود عبور می‌دهد؛ آن شرکت آدرس واقعی شما و تمام مقاصدتان را می‌بیند، بنابراین فقط ISP شما با ارائه‌دهنده‌ای که انتخاب کرده‌اید جایگزین می‌شود. Tor ترافیک را از طریق سه رله که توسط افراد مختلف اداره می‌شوند عبور می‌دهد؛ در این مسیر، رله ورودی (guard) شما را می‌بیند اما مقصد را نمی‌بیند و رله خروجی (exit) مقصد را می‌بیند اما شما را نمی‌شناسد. همچنین Tor فقط از پروتکل TCP پشتیبانی می‌کند، به‌طور محسوسی کندتر است و توسط بسیاری از وب‌سایت‌ها مسدود یا با چالش مواجه می‌شود؛ بنابراین جایگزین مستقیمی برای کاربردهای روزمره VPN نیست.

آیا ISP من می‌تواند بفهمد که از Tor استفاده می‌کنم؟

به‌طور پیش‌فرض، بله. آدرس‌های رله‌ها در لیست عمومی منتشر می‌شوند، بنابراین ارائه‌دهنده اینترنت شما می‌تواند ببیند که به یک رله ورودی شناخته‌شده متصل شده‌اید. ISP نمی‌تواند ببیند به چه سایت‌هایی دسترسی دارید. برای مخفی‌سازی خودِ استفاده از Tor، مرورگر Tor از پل‌هایی (bridges) با قابلیت pluggable transport مانند obfs4 یا Snowflake استفاده می‌کند که از طریق یک نقطه ورود که در لیست عمومی نیست، متصل می‌شوند. استفاده از یک VPN پیش از Tor نیز آن را از دید ISP مخفی می‌کند، اما این واقعیت را برای اپراتور VPN آشکار می‌سازد.

آیا راه‌اندازی VPN روی VPS شخصی، مرا ناشناس می‌کند؟

خیر. سرور به نام شما و با کارت بانکی شما اجاره شده است، بنابراین سوابق مالی ارائه‌دهنده، آن آدرس را به شما پیوند می‌دهد و یک درخواست قانونی به ارائه‌دهنده کافی است تا این اطلاعات فاش شود. همچنین آن آدرس فقط توسط شما استفاده می‌شود، بنابراین تمام ترافیک خروجی از آن متعلق به یک نفر است و تا زمانی که سرور را در اختیار دارید، قابل ردیابی باقی می‌ماند. یک VPN شخصی ابزار حریم خصوصی قدرتمندی در برابر شبکه محلی است، اما ابزار ناشناسی ضعیفی در برابر هر کسی است که بتواند از ارائه‌دهنده شما پرس‌وجو کند.

چرا وب‌سایت‌ها هنگام استفاده از Tor مرا مسدود می‌کنند یا CAPTCHA نشان می‌دهند؟

زیرا آدرس‌های رله‌های خروجی عمومی هستند و توسط افراد بسیار زیادی به‌صورت اشتراکی استفاده می‌شوند؛ بنابراین سوءاستفاده‌ای که از سمت هر یک از آن کاربران صورت گیرد، به آدرسی که شما از آن استفاده می‌کنید نسبت داده می‌شود. شبکه‌های توزیع محتوا (CDN) به این آدرس‌ها امتیاز پایینی می‌دهند و با یک چالش، یک 403 Forbidden، یا فرم ثبت‌نامی که از ارسال اطلاعات خودداری می‌کند، پاسخ می‌دهند. هیچ اقدامی از سمت شما این مشکل را برطرف نمی‌کند. ایجاد یک مدار (circuit) جدید، خروجی متفاوتی به شما می‌دهد که گاهی اعتبار بهتری دارد.

اگر از VPN استفاده کنم، آیا همچنان کوئری‌های DNS من نشت می‌کنند؟

بله، این اتفاق ممکن است و بسیار رایج است. در یک تونل کامل (full tunnel) که هیچ resolver خاصی برای رابط تونل تنظیم نشده باشد، کلاینت شما از resolverای استفاده می‌کند که از شبکه محلی یاد گرفته است. مسیر رسیدن به آن resolver در شبکه محلی است، بنابراین اولویت آن از مسیر پیش‌فرض تونل بالاتر است. در این حالت، کوئری‌های شما به‌صورت متن آشکار (cleartext) ارسال می‌شوند، در حالی که سایر ترافیک رمزنگاری شده است. دستور resolvectl status را اجرا کنید و تأیید کنید که سرور DNS لیست‌شده برای لینکی که مسیر پیش‌فرض شما را حمل می‌کند، همان resolver تونل است، نه روتر محلی شما.