Tor बनाम VPN: आपको वास्तव में किसकी आवश्यकता है?

Tor बनाम VPN: आपको वास्तव में किसकी आवश्यकता है

Tor और VPN दोनों आपके traffic को उन मशीनों के माध्यम से भेजते हैं जो आपकी नहीं हैं, और वे अलग-अलग सवालों के जवाब देते हैं। एक VPN (virtual private network) आपके भरोसे को आपके internet provider से हटाकर एक कंपनी पर स्थानांतरित कर देता है, जो फिर आपका वास्तविक पता और आपके द्वारा देखी जाने वाली हर destination को देख सकती है। Tor उस भरोसे को अलग-अलग लोगों द्वारा चलाए जा रहे तीन relays में फैला देता है, इसलिए किसी भी एक relay को यह नहीं पता होता कि आप कौन हैं और आप कहाँ जा रहे हैं। उस पक्ष का नाम चुनकर निर्णय लें जिससे आप छिप रहे हैं।

यदि वह पक्ष वह network है जिस पर आप बैठे हैं, तो VPN सही उपकरण है। यदि वह पक्ष स्वयं website है, या कोई ऐसा व्यक्ति जो किसी एक कंपनी के records को प्रस्तुत करने के लिए मजबूर कर सकता है, तो Tor सही उपकरण है। इस guide का शेष भाग उन दो वाक्यों के पीछे का विवरण है।

एक अनुरोध का दोनों डिज़ाइनों के माध्यम से अनुसरण करें

एक सामान्य अनुरोध लें: आपका ब्राउज़र https://news.example.com खोलता है। TLS (transport layer security) दोनों ही स्थितियों में पेज की सामग्री को सुरक्षित रखता है, इसलिए बीच में कोई भी व्यक्ति लेख को पढ़ नहीं पाता है। दिलचस्प हिस्सा मेटाडेटा है: किसे आपका IP address पता चलता है, किसे गंतव्य (destination) पता चलता है, और कौन इन दोनों तथ्यों को एक साथ जोड़ सकता है। एक प्राइवेसी टूल इस जोड़ी को अलग करने की एक मशीन है। एक VPN इस जोड़ी को एक अलग धारक (holder) के पास ले जाता है। Tor इसे विभाजित कर देता है।

VPN का उपयोग करते समय प्रत्येक पक्ष क्या देखता है

आपका client प्रत्येक packet को encrypt करता है और उसे एक endpoint पर भेजता है। उस endpoint से आगे यह फिर से सामान्य traffic बन जाता है।

• आपका ISP (internet service provider) आपकी line और एक VPN server address के बीच encrypted packets देखता है। यह traffic की मात्रा और समय को देखता है। यह destination hostname को नहीं देख पाता, बशर्ते DNS (domain name system) queries भी tunnel के माध्यम से ही जा रही हों।
• VPN operator एक तरफ आपका वास्तविक IP address और दूसरी तरफ प्रत्येक destination address देखता है, साथ ही समय और आकार की जानकारी भी उसके पास होती है। इस जोड़े के दोनों हिस्से एक ही machine पर पहुँचते हैं।
• Destination, VPN के exit address को देखता है, साथ ही वे सभी विवरण भी जो आपका browser भेजता है।

इसलिए, VPN गुमनामी (anonymity) प्रदान नहीं करता है। यह observer को आपके ISP से हटाकर आपके VPN provider पर स्थानांतरित कर देता है। जब स्थानीय network ही समस्या हो, या जब आपका ISP आपके traffic को filter करता हो या उसे बेचता हो, तो यह एक वास्तविक लाभ है। जिस site पर आप जा रहे हैं, उसके विरुद्ध यह कोई लाभ नहीं है, क्योंकि आपका traffic अभी भी एक ऐसी company से एक stream के रूप में आता है जो ठीक-ठीक जानती है कि आप कौन हैं और जिसके पास आपका payment record मौजूद है।

"No logs" का दावा ही पूरा product है, और यह वह हिस्सा है जिसे आप अपनी तरफ से verify नहीं कर सकते। आप यह verify कर सकते हैं कि tunnel active है। आप यह verify कर सकते हैं कि DNS leak नहीं हो रहा है। आप यह verify नहीं कर सकते कि operator disk पर क्या लिख रहा है। यह वह समझौता है जिसे आप स्वीकार करते हैं: आपके द्वारा चुनी गई एक company, जिसके पास पूरी तस्वीर मौजूद है।

उस leak की जाँच करें जो चुपचाप tunnel को निष्प्रभावी कर देता है:

resolvectl status
curl -s https://ifconfig.me; echo

ifconfig.me द्वारा print किया गया address VPN का exit होना चाहिए। आपके default route को ले जाने वाले link के लिए सूचीबद्ध DNS servers tunnel के resolver होने चाहिए। यदि वे अभी भी 192.168.1.1 पर आपके local router को सूचीबद्ध करते हैं, तो आपके name lookups cleartext में local link से बाहर जा रहे हैं, क्योंकि उस router का route on-link है और tunnel के default route से अधिक विशिष्ट है। आपका traffic private है लेकिन आपकी sites की सूची नहीं। DNS queries escaping a WireGuard tunnel में इसके समाधान की प्रक्रिया दी गई है।

Tor का उपयोग करते समय प्रत्येक पक्ष क्या देखता है

Tor तीन relays का एक circuit बनाता है, जिन्हें directory authorities के एक छोटे समूह द्वारा प्रकाशित एक हस्ताक्षरित सूची (consensus) से चुना जाता है। आपका client डेटा को परतों (layers) में लपेटता है, जो प्रति relay एक होती है। प्रत्येक relay एक परत को हटाता है, केवल अगले hop के बारे में जानता है, और बाकी डेटा को आगे बढ़ा देता है। इन्हीं परतों के कारण रास्ते में मौजूद कोई भी पक्ष दोनों तथ्यों (आपकी पहचान और गंतव्य) को एक साथ नहीं जान पाता।

• आपका ISP एक guard relay तक एन्क्रिप्टेड ट्रैफ़िक देखता है। Relay के पते सार्वजनिक होते हैं, इसलिए आपका ISP यह जान सकता है कि आप Tor का उपयोग कर रहे हैं। वह यह नहीं देख सकता कि आप कहाँ पहुँच रहे हैं।
• Guard relay आपका वास्तविक IP पता देखता है। वह गंतव्य को नहीं देख सकता, क्योंकि संदेश का वह हिस्सा जो साइट का नाम बताता है, वह बाद के relays के लिए अभी भी एन्क्रिप्टेड होता है।
• Middle relay एक तरफ guard और दूसरी तरफ exit को देखता है। वह न तो आपको देखता है और न ही गंतव्य को। यह इसलिए मौजूद है ताकि guard और exit कभी सीधे बात न करें।
• Exit relay गंतव्य और ट्रैफ़िक को तब देखता है जब वह नेटवर्क से बाहर निकलता है। वह middle relay का पता देखता है, आपका नहीं। HTTPS के साथ, वह hostname और connection metadata को जानता है, न कि पेज की सामग्री को।
• गंतव्य exit relay का पता देखता है, जो सार्वजनिक exit सूचियों पर दिखाई देता है, साथ ही वह जानकारी भी जो आपका ब्राउज़र उसे प्रदान करता है।

आपको साइट से जोड़ने के लिए guard और exit दोनों का एक ही समय में समझौता होना आवश्यक है। यही एक वाक्य में इसका डिज़ाइन है। यही कारण है कि आपका client हर बार शुरू होने पर नया guard चुनने के बजाय महीनों तक एक ही guard रखता है: प्रवेश द्वार को लगातार बदलने से एक hostile relay को आपका guard बनने के बार-बार अवसर मिल सकते हैं।

Circuits स्थायी नहीं होते। नए connections लगभग हर दस मिनट में एक नए circuit पर चले जाते हैं, जबकि जो stream पहले से खुली है, वह उसी circuit पर बनी रहती है। एक लंबी डाउनलोड और पंद्रह मिनट बाद खोली गई एक टैब आमतौर पर अलग-अलग exits से बाहर निकलती हैं।

इसे install करें और path को प्रमाणित करें:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Log को Bootstrapped 100% (done): Done तक पहुँचना चाहिए। curl को {"IsTor":true,"IP":"..."} के साथ एक ऐसा पता प्रिंट करना चाहिए जिसे आप नहीं पहचानते, जो कि आपका वर्तमान exit है। यदि IsTor, false है, तो अनुरोध कभी proxy से होकर नहीं गया। Ubuntu का packaged Tor वर्तमान release से पीछे हो सकता है; यदि आपको upstream version की आवश्यकता है, तो Tor Project अपना स्वयं का apt repository प्रकाशित करता है।

उस command में एक जाल छिपा है। --socks5, curl को hostname को स्वयं resolve करने के लिए मजबूर करता है और फिर परिणामी पते को proxy के माध्यम से भेजता है, जिससे आपका सामान्य resolver आपके द्वारा देखी गई हर साइट का नाम जान जाता है। --socks5-hostname नाम को Tor के पास भेजता है और exit को उसे resolve करने देता है। Tunnel वही है, लेकिन leak पूरी तरह से अलग है। Tor Browser और torsocks इसे सही तरीके से संभालते हैं। हाथ से कॉन्फ़िगर किए गए tools अक्सर ऐसा नहीं करते।

Tor केवल TCP streams को ले जाता है। यह UDP को नहीं ले जा सकता, इसलिए ping 1.1.1.1 कभी भी इसके माध्यम से नहीं जाता है, और UDP आधारित VPN protocol इसके अंदर नहीं चल सकता। जो भी program अपनी proxy setting को अनदेखा करता है, वह बस आपके सामान्य पते के साथ आपके सामान्य route का उपयोग करता है, और कोई भी आपको चेतावनी नहीं देता है। यही कारण है कि system-wide Tor को environment variable के बजाय एक अलग box पर transparent proxy के साथ किया जाता है।

विश्वास वास्तव में कहाँ जाता है

VPN विश्वास को केंद्रित करता है। एक कंपनी आपकी पहचान, आपके बिलिंग रिकॉर्ड और आपके संपूर्ण ट्रैफ़िक पैटर्न को रखती है, और आपकी सुरक्षा इस वादे पर टिकी होती है कि वे लॉग नहीं रखेंगे। जब तक यह वादा कायम रहता है, डिज़ाइन स्पष्ट, तेज़ और समझने में आसान होता है। जब यह वादा टूटता है, चाहे वह सबपोना (subpoena) के माध्यम से हो, किसी breach के कारण हो, या झूठ के कारण, तो यह पूरी तरह से विफल हो जाता है और आपके सभी ट्रैफ़िक पर एक साथ असर डालता है।

Tor विश्वास को वितरित करता है। तीन पक्ष, जो अधिकतर एक-दूसरे को नहीं जानते, प्रत्येक एक अंश रखते हैं, और केवल एक अंश का मूल्य बहुत कम होता है। डिज़ाइन के काम करने के लिए किसी का भी ईमानदार होना आवश्यक नहीं है। उनमें से पर्याप्त संख्या में पक्षों का स्वतंत्र होना आवश्यक है। आप इसकी कीमत गति से, केवल TCP के उपयोग से, और एक ऐसे नेटवर्क के साथ चुकाते हैं जहाँ कुछ relays निश्चित रूप से उन लोगों द्वारा चलाए जाते हैं जो आप पर नज़र रखना चाहते हैं। एक hostile relay के प्रति Tor का उत्तर यह है कि एक relay कभी भी पर्याप्त नहीं होता है।

VPN कब सही टूल है

• आप स्थानीय नेटवर्क पर भरोसा नहीं करते हैं: होटल, एयरपोर्ट, कॉन्फ्रेंस हॉल, या मकान मालिक का राउटर। ऑपरेटर केवल एक एन्क्रिप्टेड टनल देख पाता है और कुछ नहीं।
• आप अपनी मशीनों तक पहुँचना चाहते हैं, या किसी ऐसे फिक्स्ड एड्रेस से बाहर निकलना चाहते हैं जिसे आप नियंत्रित करते हैं।
• आपको स्पीड और UDP की आवश्यकता है: वीडियो कॉल, गेम, बड़े ट्रांसफर, बैकअप।
• आप एक स्थिर एड्रेस चाहते हैं जिसे साइटें चुनौती न दें। वेब के अधिकांश हिस्सों में Tor एग्जिट नोड्स ब्लॉक होते हैं या उन पर CAPTCHA आता है।

यह सूची सब्सक्रिप्शन खरीदने के बजाय VPS पर अपना VPN चलाने के पक्ष में तर्क है, और एक WireGuard सर्वर जिसे आप स्वयं सेटअप करते हैं आपको ऐसी टनल देता है जिसकी लॉगिंग पॉलिसी एक कॉन्फ़िगरेशन फ़ाइल है जिसे आप नियंत्रित करते हैं। यदि आप इसके ऊपर डिवाइस-टू-डिवाइस की-मैनेजमेंट के साथ वही टनल चाहते हैं, तो साधारण WireGuard और Tailscale के बीच का अंतर वह तुलना है जिसे आपको पढ़ना चाहिए। एक बार जब आप tailnet पर आ जाते हैं, तो अपनी सेवाओं तक पहुँचना और उनमें से किसी एक को खुले इंटरनेट पर पब्लिश करना अलग-अलग निर्णय होते हैं, और serve एक सर्विस को tailnet तक निजी रखता है जबकि funnel उसे एक्सपोज़ करता है। इनमें से प्रत्येक इस सूची में दिए गए कार्य के लिए उत्कृष्ट है। इनमें से कोई भी अगले भाग में दिए गए कार्यों को नहीं करता है।

जब Tor सही टूल हो

• आपका विरोधी वह डेस्टिनेशन साइट है, या कोई भी ऐसा व्यक्ति जो किसी एक कंपनी से रिकॉर्ड मांग सकता है।
• आप कुछ ऐसा पढ़ या प्रकाशित कर रहे हैं जो आपके कनेक्शन से ट्रेस होने पर आपको नुकसान पहुँचा सकता है।
• आप एक onion service चाहते हैं: ऐसा ट्रैफिक जो नेटवर्क से बाहर नहीं जाता, जिसमें कोई exit relay शामिल नहीं होता, और जिसका सर्वर एड्रेस छिपा रहता है।
• आप धीमी गति, CAPTCHAs और कभी-कभार आने वाली 403 Forbidden के साथ काम चला सकते हैं।

यदि तीसरे बिंदु का सर्वर-साइड हिस्सा आपकी रुचि का है, तो VPS पर v3 onion service चलाना यह दिखाता है कि कैसे एक साइट तक बिना किसी exit relay के पहुँचा जा सकता है, और कौन से सामान्य लीक्स अभी भी मशीन को उसके पब्लिक एड्रेस से जोड़ते हैं।

Tor Browser का उपयोग करें, न कि अपने दैनिक ब्राउज़र को port 9050 पर पॉइंट करें। ब्राउज़र सुरक्षा का आधा हिस्सा है, और इसके बाद वाला सेक्शन बताता है कि क्यों।

अनाम रहने के लिए किराए पर लिया गया VPS, कमर्शियल VPN से बदतर क्यों है

लोग अक्सर इस मामले में गलतफहमी का शिकार होते हैं। आपके द्वारा किराए पर लिया गया VPS एक ऐसा लीज है जिस पर आपका नाम दर्ज होता है। साइनअप ईमेल, क्रेडिट कार्ड, इनवॉइस और सपोर्ट टिकट—ये सब उस कंपनी के डेटाबेस में उस IP एड्रेस के साथ मौजूद होते हैं। उस एड्रेस को आपसे जोड़ने के लिए किसी को कुछ भी हैक करने की जरूरत नहीं है। यह जानकारी पहले से ही वहां दर्ज है, सामान्य अकाउंटिंग कारणों से रखी जाती है, और कानूनी वजन रखने वाले किसी भी व्यक्ति द्वारा प्रदाता से पूछे जाने पर उपलब्ध हो जाती है।

दूसरी समस्या भीड़ की है। एक कमर्शियल VPN का एग्जिट एड्रेस एक ही समय में कई ग्राहकों द्वारा साझा किया जाता है, इसलिए केवल उस एड्रेस से किसी एक व्यक्ति की पहचान नहीं होती। आपका VPS एड्रेस केवल आपका है। वहां से निकलने वाली हर रिक्वेस्ट आपकी है, आज भी और अगले महीने भी। चूंकि एड्रेस बदलता नहीं है, इसलिए कोई भी डेस्टिनेशन बिना किसी कुकी के महीनों तक आपका प्रोफाइल बना सकता है।

इसका मतलब यह नहीं है कि खुद होस्ट किया गया (self-hosted) VPN खराब है। यह आपके ट्रैफिक को ऐसे नेटवर्क पर एन्क्रिप्ट करने के लिए बहुत अच्छा है जिसे आप कंट्रोल नहीं करते, और कहीं से भी अपनी सेवाओं तक पहुँचने के लिए भी यह उपयोगी है। यह बस एक गुमनामी (anonymity) का टूल नहीं है, और इसे वैसा समझना ही गलती है। मशीन पर आपका प्रदाता क्या देख सकता है और क्या नहीं, इसके स्पष्ट विवरण के लिए VPS होस्टिंग वास्तव में कितनी सुरक्षित है पढ़ें।

वे चीजें जिन्हें न तो Tor और न ही VPN ठीक कर सकता है

• Browser fingerprinting: आपका user agent, screen size, timezone, installed fonts, language और canvas rendering मिलकर एक ऐसा मान (value) बनाते हैं जो अक्सर अद्वितीय होता है, और यह आपके द्वारा उपयोग किए जाने वाले हर IP address पर आपका पीछा करता है। Tor Browser अपने उपयोगकर्ताओं को एक-दूसरे के समान दिखाकर और window को निश्चित चरणों में resize करके इससे लड़ता है। SOCKS proxy के पीछे आपका सामान्य browser अपना fingerprint और cookies बरकरार रखता है।
• Logging in: जिस क्षण आप किसी ऐसे account में sign in करते हैं जो आपका नाम जानता है, network layer का महत्व खत्म हो जाता है। घर से एक login और Tor के माध्यम से उसी account पर दूसरा login, दोनों sessions को आपस में जोड़ देता है।
• कोई भी ऐसी जानकारी जिसे endpoint वैसे भी record करता है: आपने क्या टाइप किया, आपने क्या खरीदा, आपने क्या खोजा।
• End-to-end correlation: जो कोई आपकी line और exit point दोनों पर एक साथ नज़र रखता है, वह timing और packet volume का मिलान करके दोनों सिरों को जोड़ सकता है। Tor स्पष्ट रूप से कहता है कि यह ऐसे adversary (विरोधी) से बचाव नहीं करता है जो दोनों पक्षों को देख सकता है।

क्या आप Tor और VPN का एक साथ उपयोग कर सकते हैं?

Tor over VPN का अर्थ है कि VPN पहले कनेक्ट होता है और Tor उसके अंदर चलता है। आपका ISP केवल VPN को देखता है, और guard relay को आपके वास्तविक पते के बजाय VPN का पता दिखाई देता है। आपने एक ऐसी कंपनी को भी बीच में ला दिया है जिसके पास आपका नाम और कार्ड विवरण है, जबकि यह सिस्टम ठीक इसी स्थिति से बचने के लिए बनाया गया है। यह केवल एक स्थिति में उपयोगी है: जब आपके नेटवर्क पर Tor का उपयोग करना ही खतरनाक हो और आपके पास कोई बेहतर विकल्प न हो।

VPN over Tor, जहाँ ट्रैफिक Tor नेटवर्क से बाहर निकलता है और फिर एक VPN अकाउंट में प्रवेश करता है, इसे सेटअप करना कठिन है और यह आमतौर पर अधिक नुकसानदेह है। उस अकाउंट के साथ आपका भुगतान रिकॉर्ड जुड़ा होता है, इसलिए आपने उस ट्रैफिक के साथ एक स्थिर पहचान जोड़ दी है जो एक पल पहले तक गुमनाम था।

यदि लक्ष्य केवल अपने ISP से Tor के उपयोग को छिपाना है, तो समर्थित समाधान एक bridge है: एक ऐसा entry point जो public consensus में नहीं है, जिसे obfs4 या Snowflake जैसे pluggable transport के साथ जोड़ा जाता है ताकि ट्रैफिक को वर्गीकृत करना कठिन हो जाए। Tor Browser में ये दोनों पहले से मौजूद होते हैं, और किसी तीसरी कंपनी को आपके नाम की आवश्यकता नहीं होती है।

FAQ

क्या Tor केवल एक मुफ्त VPN है?

नहीं। एक VPN आपके traffic को एक ऐसी कंपनी द्वारा संचालित सर्वर के माध्यम से भेजता है जो आपका वास्तविक पता और हर destination देख सकती है, इसलिए यह आपके ISP को आपके द्वारा चुने गए प्रदाता से बदल देता है। Tor इसे अलग-अलग लोगों द्वारा संचालित तीन relays के माध्यम से भेजता है, जहाँ guard relay आपको देख सकता है लेकिन साइट को नहीं, और exit relay साइट को देख सकता है लेकिन आपको नहीं। Tor केवल TCP पर काम करता है, काफी धीमा है, और कई वेबसाइटों द्वारा इसे ब्लॉक या चुनौती दी जाती है, इसलिए यह VPN के दैनिक उपयोग का सीधा विकल्प नहीं है।

क्या मेरा ISP यह जान सकता है कि मैं Tor का उपयोग कर रहा हूँ?

डिफ़ॉल्ट रूप से, हाँ। Relay पते सार्वजनिक consensus में प्रकाशित होते हैं, इसलिए आपका प्रदाता आपको एक ज्ञात guard relay से जुड़ते हुए देख सकता है। वह यह नहीं देख सकता कि आप किन साइटों तक पहुँच रहे हैं। उपयोग को छिपाने के लिए, Tor Browser obfs4 या Snowflake जैसे pluggable transport के साथ bridges प्रदान करता है, जो एक ऐसे entry point के माध्यम से जुड़ते हैं जो सार्वजनिक सूची में नहीं है। Tor के सामने एक VPN का उपयोग करने से भी यह आपके ISP से छिप जाता है, लेकिन वही जानकारी VPN ऑपरेटर को मिल जाती है।

क्या अपने खुद के VPS पर VPN चलाने से मैं anonymous हो जाता हूँ?

नहीं। सर्वर आपके नाम पर आपके कार्ड से किराए पर लिया जाता है, इसलिए प्रदाता के बिलिंग रिकॉर्ड उस पते को पहले से ही आपसे जोड़ते हैं, और प्रदाता से अनुरोध करने पर उन्हें पढ़ा जा सकता है। उस पते का उपयोग केवल आप करते हैं, इसलिए उससे निकलने वाली हर चीज़ एक ही व्यक्ति से संबंधित होती है और जब तक आप सर्वर रखते हैं, तब तक वह linkable बनी रहती है। एक self-hosted VPN स्थानीय नेटवर्क के खिलाफ एक मजबूत privacy tool है, लेकिन किसी ऐसे व्यक्ति के खिलाफ एक कमजोर anonymity tool है जो आपके प्रदाता से पूछताछ कर सकता है।

जब मैं Tor का उपयोग करता हूँ तो वेबसाइटें मुझे ब्लॉक क्यों करती हैं या CAPTCHA क्यों दिखाती हैं?

क्योंकि exit relay पते सार्वजनिक होते हैं और बहुत सारे लोगों द्वारा साझा किए जाते हैं, इसलिए उन उपयोगकर्ताओं में से किसी एक से आने वाला दुरुपयोग उस पते से जुड़ जाता है जिसे आप उधार ले रहे हैं। Content delivery networks उन पतों को खराब स्कोर देते हैं और एक चुनौती, एक 403 Forbidden, या एक signup form के साथ जवाब देते हैं जो सबमिट करने से मना कर देता है। आपकी तरफ से कुछ भी इसे नहीं हटा सकता। एक नया circuit आपको एक अलग exit देता है, जिसकी reputation कभी-कभी बेहतर होती है।

यदि मैं VPN का उपयोग करता हूँ, तो क्या मेरी DNS queries अभी भी leak होती हैं?

आप ऐसा कर सकते हैं, और यह आम है। एक full tunnel के साथ और tunnel interface के लिए कोई resolver सेट न होने पर, आपका client उस resolver को बनाए रखता है जिसे उसने स्थानीय नेटवर्क से सीखा था, और उस resolver का route on-link होता है, इसलिए यह tunnel के डिफ़ॉल्ट route से पहले काम करता है। आपकी queries cleartext में बाहर निकल जाती हैं जबकि बाकी सब कुछ encrypted होता है। resolvectl status चलाएँ और पुष्टि करें कि आपके डिफ़ॉल्ट route को ले जाने वाले link के लिए सूचीबद्ध DNS सर्वर tunnel का resolver है, न कि आपका स्थानीय router।