Tor बनाम VPN: आपको वास्तव में किसकी आवश्यकता है?

Tor बनाम VPN: आपको वास्तव में किसकी आवश्यकता है

Tor और VPN दोनों आपके traffic को उन मशीनों के माध्यम से भेजते हैं जो आपकी नहीं हैं, और वे अलग-अलग सवालों के जवाब देते हैं। एक VPN (virtual private network) आपके भरोसे को आपके internet provider से हटाकर एक कंपनी पर स्थानांतरित कर देता है, जो फिर आपका वास्तविक पता और आपके द्वारा देखी जाने वाली हर destination को देख सकती है। Tor उस भरोसे को अलग-अलग लोगों द्वारा चलाए जा रहे तीन relays में फैला देता है, इसलिए किसी भी एक relay को यह नहीं पता होता कि आप कौन हैं और आप कहाँ जा रहे हैं। उस पक्ष का नाम चुनकर निर्णय लें जिससे आप छिप रहे हैं।

यदि वह पक्ष वह network है जिस पर आप बैठे हैं, तो VPN सही उपकरण है। यदि वह पक्ष स्वयं website है, या कोई ऐसा व्यक्ति जो किसी एक कंपनी के records को प्रस्तुत करने के लिए मजबूर कर सकता है, तो Tor सही उपकरण है। इस guide का शेष भाग उन दो वाक्यों के पीछे का विवरण है।

एक अनुरोध के माध्यम से दोनों डिज़ाइनों को समझें

एक सामान्य अनुरोध लें: आपका ब्राउज़र https://news.example.com खोलता है। TLS (transport layer security) दोनों ही स्थितियों में पेज की सामग्री को सुरक्षित रखता है, इसलिए बीच में कोई भी व्यक्ति लेख को पढ़ नहीं सकता है। दिलचस्प हिस्सा मेटाडेटा है: किसे आपका IP address पता चलता है, किसे गंतव्य (destination) का पता चलता है, और कौन इन दोनों तथ्यों को एक साथ जोड़ सकता है। एक प्राइवेसी टूल इस जोड़ी को अलग करने की एक मशीन है। एक VPN इस जोड़ी को एक अलग धारक (holder) के पास ले जाता है। Tor इसे विभाजित कर देता है।

VPN का उपयोग करने पर प्रत्येक पक्ष क्या देखता है

आपका क्लाइंट प्रत्येक पैकेट को एन्क्रिप्ट करता है और उसे एक एंडपॉइंट पर भेजता है। उस एंडपॉइंट से आगे यह फिर से सामान्य ट्रैफिक बन जाता है।

• आपका ISP (इंटरनेट सर्विस प्रोवाइडर) आपकी लाइन और एक VPN सर्वर एड्रेस के बीच एन्क्रिप्टेड पैकेट देखता है। यह ट्रैफिक की मात्रा और समय को देखता है। यह डेस्टिनेशन होस्टनेम को नहीं देख पाता, बशर्ते DNS (डोमेन नेम सिस्टम) क्वेरी भी टनल के माध्यम से जा रही हों।
• VPN ऑपरेटर एक तरफ आपका वास्तविक IP एड्रेस और दूसरी तरफ प्रत्येक डेस्टिनेशन एड्रेस देखता है, साथ ही समय और आकार भी। इस जोड़ी के दोनों हिस्से एक ही मशीन पर आते हैं।
• डेस्टिनेशन साइट VPN का एग्जिट एड्रेस देखती है, साथ ही वे सभी विवरण भी जो आपका ब्राउज़र भेजता है।

इसलिए, VPN गुमनामी (anonymity) प्रदान नहीं करता है। यह ऑब्जर्वर को आपके ISP से हटाकर आपके VPN प्रोवाइडर पर स्थानांतरित कर देता है। यह तब एक वास्तविक लाभ है जब समस्या स्थानीय नेटवर्क में हो, या जब आपका ISP आपके द्वारा देखे जाने वाले डेटा को फिल्टर करता हो या बेचता हो। जिस साइट पर आप जा रहे हैं, उसके खिलाफ यह कोई लाभ नहीं है, क्योंकि आपका ट्रैफिक अभी भी एक ऐसी कंपनी से एक स्ट्रीम के रूप में आता है जो ठीक-ठीक जानती है कि आप कौन हैं और जिसके पास आपका भुगतान रिकॉर्ड है।

"नो लॉग्स" (no logs) का दावा ही पूरा उत्पाद है, और यह वह हिस्सा है जिसे आप अपनी तरफ से चेक नहीं कर सकते। आप यह सत्यापित कर सकते हैं कि टनल चालू है। आप यह सत्यापित कर सकते हैं कि DNS लीक नहीं हो रहा है। आप यह सत्यापित नहीं कर सकते कि ऑपरेटर डिस्क पर क्या लिख रहा है। यह वह समझौता है जिसे आप स्वीकार करते हैं: आपके द्वारा चुनी गई एक कंपनी, जिसके पास पूरी तस्वीर मौजूद है।

उस लीक की जाँच करें जो चुपचाप टनल को विफल कर देता है:

resolvectl status
curl -s https://ifconfig.me; echo

ifconfig.me द्वारा प्रिंट किया गया एड्रेस VPN का एग्जिट एड्रेस होना चाहिए। आपके डिफ़ॉल्ट रूट को ले जाने वाले लिंक के लिए सूचीबद्ध DNS सर्वर टनल के रिजॉल्वर होने चाहिए। यदि वे अभी भी 192.168.1.1 पर आपके स्थानीय राउटर को सूचीबद्ध करते हैं, तो आपके नाम लुकअप स्थानीय लिंक के माध्यम से क्लियरटेक्स्ट में बाहर जा रहे हैं, क्योंकि उस राउटर का रूट ऑन-लिंक है और टनल के डिफ़ॉल्ट रूट से अधिक विशिष्ट है। आपका ट्रैफिक निजी है लेकिन आपकी साइटों की सूची निजी नहीं है। WireGuard टनल से बाहर निकलते DNS क्वेरी में इसे ठीक करने का तरीका बताया गया है।

Tor का उपयोग करते समय प्रत्येक पक्ष क्या देखता है

Tor तीन relays का एक circuit बनाता है, जिन्हें directory authorities के एक छोटे समूह द्वारा प्रकाशित signed list (consensus) से चुना जाता है। आपका client डेटा को परतों (layers) में लपेटता है, हर relay के लिए एक परत। प्रत्येक relay एक परत हटाता है, केवल अगले hop के बारे में जानता है, और बाकी डेटा आगे भेज देता है। इन्हीं परतों के कारण रास्ते में मौजूद कोई भी पक्ष दोनों तथ्यों (स्रोत और गंतव्य) को एक साथ नहीं जान पाता।

• आपका ISP एक guard relay तक जाने वाले encrypted traffic को देखता है। Relay के पते सार्वजनिक होते हैं, इसलिए आपका ISP यह जान सकता है कि आप Tor का उपयोग कर रहे हैं। वह यह नहीं देख सकता कि आप कहाँ पहुँच रहे हैं।
• Guard relay आपका वास्तविक IP address देखता है। वह गंतव्य को नहीं देख सकता, क्योंकि संदेश का वह हिस्सा जो साइट का नाम बताता है, वह बाद वाले relays के लिए encrypted रहता है।
• Middle relay एक तरफ guard और दूसरी तरफ exit को देखता है। वह न तो आपको देखता है और न ही गंतव्य को। इसका अस्तित्व इसलिए है ताकि guard और exit कभी सीधे बात न करें।
• Exit relay गंतव्य और नेटवर्क से बाहर जाने वाले traffic को देखता है। वह middle relay का पता देखता है, आपका नहीं। HTTPS के साथ, वह hostname और connection metadata जान लेता है, लेकिन पेज की सामग्री नहीं।
• गंतव्य exit relay का पता देखता है, जो सार्वजनिक exit lists पर दिखाई देता है, साथ ही वह जानकारी जो आपका browser उसे देता है।

आपको साइट से जोड़ने के लिए guard और exit दोनों का एक ही समय पर साथ होना आवश्यक है। यही एक वाक्य में इसका डिज़ाइन है। यही कारण है कि आपका client हर बार शुरू होने पर नया guard चुनने के बजाय महीनों तक एक ही guard रखता है: entry को लगातार बदलने से एक hostile relay को आपका guard बनने के बार-बार मौके मिल सकते हैं।

Circuits स्थायी नहीं होते। नए connections लगभग हर दस मिनट में एक नए circuit पर चले जाते हैं, जबकि जो stream पहले से खुली है, वह उसी circuit पर रहती है जिस पर वह शुरू हुई थी। एक लंबी download और पंद्रह मिनट बाद खोली गई tab आमतौर पर अलग-अलग exits से बाहर निकलती हैं।

इसे install करें और path को प्रमाणित करें:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Log को Bootstrapped 100% (done): Done तक पहुँचना चाहिए। curl को {"IsTor":true,"IP":"..."} प्रिंट करना चाहिए, जिसमें एक ऐसा पता होगा जिसे आप नहीं पहचानते; यह आपका वर्तमान exit है। यदि IsTor, false है, तो request कभी proxy से होकर नहीं गई। Ubuntu का packaged Tor वर्तमान release से पीछे हो सकता है; यदि आपको upstream version चाहिए, तो Tor Project अपना apt repository प्रकाशित करता है।

उस command में एक जाल छिपा है। --socks5, curl को hostname खुद resolve करने के लिए मजबूर करता है और फिर परिणामी पते को proxy के माध्यम से भेजता है, जिससे आपका सामान्य resolver हर उस नाम को जान लेता है जिसे आप visit करते हैं। --socks5-hostname नाम को Tor के पास भेजता है और exit को उसे resolve करने देता है। Tunnel वही है, लेकिन leak पूरी तरह अलग है। Tor Browser और torsocks इसे सही तरीके से करते हैं। हाथ से configure किए गए tools अक्सर ऐसा नहीं कर पाते।

Tor केवल TCP streams को ले जाता है। यह UDP को नहीं ले जा सकता, इसलिए ping 1.1.1.1 कभी भी इसके माध्यम से नहीं जाता, और UDP आधारित VPN protocol इसके अंदर नहीं चल सकता। जो भी program अपनी proxy setting को अनदेखा करता है, वह बस आपके सामान्य पते के साथ आपके सामान्य route का उपयोग करता है, और आपको कोई चेतावनी नहीं मिलती। यही कारण है कि system-wide Tor को environment variable के बजाय एक अलग box पर transparent proxy के साथ किया जाता है।

विश्वास वास्तव में कहाँ जाता है

VPN विश्वास को केंद्रित करता है। एक कंपनी आपकी पहचान, आपके बिलिंग रिकॉर्ड और आपके पूरे ट्रैफिक पैटर्न को रखती है, और आपकी सुरक्षा इस वादे पर टिकी है कि वे लॉग नहीं रखेंगे। जब तक यह वादा कायम रहता है, तब तक डिज़ाइन साफ, तेज़ और समझने में आसान रहता है। जब यह वादा टूटता है—चाहे सबपोना (subpoena) के माध्यम से, किसी breach के कारण, या झूठ बोलने पर—तो यह पूरी तरह से विफल हो जाता है और आपके पूरे ट्रैफिक पर एक साथ असर डालता है।

Tor विश्वास को वितरित करता है। तीन पक्ष, जो आमतौर पर एक-दूसरे को नहीं जानते, प्रत्येक एक अंश (fragment) रखते हैं, और केवल एक अंश का मूल्य बहुत कम होता है। डिज़ाइन के काम करने के लिए किसी का भी ईमानदार होना आवश्यक नहीं है। उनमें से पर्याप्त संख्या में स्वतंत्र होना जरूरी है। आप इसकी कीमत गति से, केवल TCP तक सीमित रहकर, और एक ऐसे नेटवर्क के साथ चुकाते हैं जहाँ कुछ relays निश्चित रूप से उन लोगों द्वारा चलाए जाते हैं जो आप पर नज़र रखना चाहते हैं। एक hostile relay के प्रति Tor का उत्तर यह है कि एक relay कभी भी पर्याप्त नहीं होता है।

VPN कब सही टूल है

• आप स्थानीय नेटवर्क पर भरोसा नहीं करते हैं: जैसे होटल, एयरपोर्ट, कॉन्फ्रेंस हॉल, या मकान मालिक का राउटर। ऑपरेटर केवल एक एन्क्रिप्टेड टनल देखता है और उसके अलावा कुछ नहीं।
• आप अपनी मशीनों तक पहुँचना चाहते हैं, या किसी ऐसे फिक्स्ड एड्रेस से इंटरनेट एक्सेस करना चाहते हैं जिसे आप नियंत्रित करते हैं।
• आपको गति और UDP की आवश्यकता है: वीडियो कॉल, गेम, बड़ी फाइल ट्रांसफर, और बैकअप के लिए।
• आप एक ऐसा स्थिर एड्रेस चाहते हैं जिसे वेबसाइटें चुनौती न दें। Tor एग्जिट नोड्स को वेब के अधिकांश हिस्सों में ब्लॉक कर दिया जाता है या उन पर CAPTCHA लगा दिया जाता है।

यह सूची सब्सक्रिप्शन खरीदने के बजाय VPS पर अपना VPN चलाने के पक्ष में तर्क है, और एक WireGuard सर्वर जिसे आप स्वयं सेट करते हैं आपको एक ऐसी टनल देता है जिसकी लॉगिंग पॉलिसी एक कॉन्फ़िगरेशन फ़ाइल है जिसे आप नियंत्रित करते हैं। यदि आप इसके ऊपर डिवाइस-टू-डिवाइस की-मैनेजमेंट के साथ वही टनल चाहते हैं, तो साधारण WireGuard और Tailscale के बीच का अंतर वह तुलना है जिसे आपको पढ़ना चाहिए। इनमें से प्रत्येक इस सूची में दिए गए कार्यों के लिए उत्कृष्ट है। इनमें से कोई भी अगले भाग में दिए गए कार्यों को नहीं करता है।

जब Tor सही टूल हो

• आपका विरोधी वह डेस्टिनेशन साइट है, या कोई ऐसा व्यक्ति जो किसी एक कंपनी से रिकॉर्ड मांग सकता है।
• आप कुछ ऐसा पढ़ या प्रकाशित कर रहे हैं जिसे आपके कनेक्शन से जोड़ना आपके लिए हानिकारक हो सकता है।
• आप एक onion service चाहते हैं: ऐसा ट्रैफिक जो नेटवर्क से बाहर नहीं जाता, जिसमें कोई exit relay शामिल नहीं होता, और जिसका सर्वर एड्रेस छिपा रहता है।
• आप धीमी गति से चलने वाले पेज, CAPTCHAs और कभी-कभार आने वाली 403 Forbidden के साथ काम चला सकते हैं।

Tor Browser का उपयोग करें, न कि अपने दैनिक ब्राउज़र को port 9050 पर पॉइंट करें। ब्राउज़र सुरक्षा का आधा हिस्सा है, और इसके बाद वाला सेक्शन बताता है कि क्यों।

अनाम रहने के लिए किराए पर लिया गया VPS, कमर्शियल VPN से बदतर क्यों है

लोग अक्सर इस मामले में गलतफहमी का शिकार होते हैं। किराए पर लिया गया VPS एक ऐसा लीज है जिस पर आपका नाम दर्ज होता है। साइनअप ईमेल, क्रेडिट कार्ड, इनवॉइस और सपोर्ट टिकट—ये सब उस IP एड्रेस के साथ एक ही कंपनी के डेटाबेस में मौजूद होते हैं। IP एड्रेस को आपसे जोड़ने के लिए किसी को कुछ भी हैक करने की जरूरत नहीं है। यह जानकारी सामान्य अकाउंटिंग कारणों से पहले से ही दर्ज और सुरक्षित रखी जाती है, और कानूनी अधिकार रखने वाला कोई भी व्यक्ति प्रदाता से इसके बारे में पूछ सकता है।

दूसरी समस्या भीड़ की है। एक कमर्शियल VPN का एग्जिट एड्रेस एक ही समय में कई ग्राहकों द्वारा साझा किया जाता है, इसलिए वह एड्रेस किसी एक व्यक्ति की ओर इशारा नहीं करता। आपका VPS एड्रेस केवल आपका है। उससे निकलने वाली हर रिक्वेस्ट आपकी है, चाहे वह आज की हो या अगले महीने की। चूंकि यह एड्रेस बदलता नहीं है, इसलिए कोई भी डेस्टिनेशन बिना किसी कुकीज के भी महीनों तक आपकी प्रोफाइल बना सकता है।

इसका मतलब यह नहीं है कि सेल्फ-होस्टेड VPN एक खराब चीज है। यह आपके द्वारा नियंत्रित न किए जाने वाले नेटवर्क पर आपके ट्रैफिक को एन्क्रिप्ट करने और कहीं से भी अपनी सेवाओं तक पहुँचने के लिए बहुत अच्छा है। यह केवल एक अनाम रहने का उपकरण (anonymity tool) नहीं है, और इसे वैसा मानना ही एक गलती है। आपका प्रदाता मशीन पर क्या देख सकता है और क्या नहीं, इसके स्पष्ट विवरण के लिए VPS होस्टिंग वास्तव में कितनी सुरक्षित है पढ़ें।

ऐसी चीजें जिन्हें न तो Tor और न ही VPN ठीक कर सकता है

• Browser fingerprinting: आपका user agent, screen size, timezone, installed fonts, language और canvas rendering मिलकर एक ऐसी value बनाते हैं जो अक्सर unique होती है। यह हर उस IP address पर आपका पीछा करती है जिसका आप उपयोग करते हैं। Tor Browser अपने उपयोगकर्ताओं को एक-दूसरे के समान दिखाकर और window को निश्चित चरणों में resize करके इससे लड़ता है। SOCKS proxy के पीछे आपका सामान्य browser अपना fingerprint और cookies बरकरार रखता है।
• Login करना: जिस क्षण आप किसी ऐसे account में sign in करते हैं जो आपका नाम जानता है, उस क्षण network layer का महत्व खत्म हो जाता है। घर से एक login और Tor के माध्यम से उसी account पर दूसरा login, दोनों sessions को आपस में जोड़ देता है।
• कोई भी ऐसी जानकारी जिसे endpoint वैसे भी record करता है: आपने क्या टाइप किया, आपने क्या खरीदा, आपने क्या search किया।
• End-to-end correlation: जो कोई आपकी line और exit node दोनों पर नज़र रखता है, वह timing और packet volume का मिलान करके दोनों सिरों को जोड़ सकता है। Tor स्पष्ट रूप से कहता है कि यह ऐसे adversary (विरोधी) से बचाव नहीं करता जो दोनों पक्षों को देख सकता है।

क्या आप Tor और VPN का एक साथ उपयोग कर सकते हैं?

Tor over VPN का अर्थ है कि VPN पहले कनेक्ट होता है और Tor उसके अंदर चलता है। आपका ISP केवल VPN को देखता है, और guard relay को आपके बजाय VPN का पता दिखाई देता है। आपने एक ऐसी कंपनी को भी बीच में ला दिया है जिसके पास आपका नाम और कार्ड विवरण है, जबकि यह सिस्टम ठीक इसी स्थिति से बचने के लिए बनाया गया है। यह केवल एक स्थिति में उपयोगी है: जब आपके कनेक्शन पर Tor का उपयोग करना ही खतरनाक हो और आपके पास कोई बेहतर विकल्प न हो।

VPN over Tor, जहाँ traffic Tor नेटवर्क से बाहर निकलकर VPN अकाउंट में जाता है, उसे सेटअप करना कठिन है और यह आमतौर पर बुरा विकल्प है। उस अकाउंट के साथ आपका भुगतान रिकॉर्ड जुड़ा होता है, इसलिए आपने उस traffic के साथ एक स्थायी पहचान जोड़ दी है जो एक पल पहले तक गुमनाम था।

यदि लक्ष्य केवल अपने ISP से Tor के उपयोग को छिपाना है, तो समर्थित उत्तर एक bridge है: एक ऐसा entry point जो public consensus में नहीं है, जिसे obfs4 या Snowflake जैसे pluggable transport के साथ जोड़ा जाता है ताकि traffic को वर्गीकृत करना कठिन हो जाए। Tor Browser में ये दोनों पहले से मौजूद होते हैं, और किसी तीसरी कंपनी को आपके नाम की आवश्यकता नहीं होती है।

FAQ

क्या Tor सिर्फ एक मुफ्त VPN है?

नहीं। एक VPN आपके traffic को एक कंपनी द्वारा संचालित सर्वर के माध्यम से भेजता है, जो आपका वास्तविक पता और हर destination देख सकती है। यह आपके ISP को आपके द्वारा चुने गए प्रदाता से बदल देता है। Tor इसे अलग-अलग लोगों द्वारा संचालित तीन relays के माध्यम से भेजता है, जहाँ guard relay आपको देख सकता है लेकिन साइट को नहीं, और exit relay साइट को देख सकता है लेकिन आपको नहीं। Tor केवल TCP का उपयोग करता है, यह काफी धीमा है, और कई वेबसाइटों द्वारा इसे block या challenge किया जाता है, इसलिए यह VPN के दैनिक उपयोग का सीधा विकल्प नहीं है।

क्या मेरा ISP यह जान सकता है कि मैं Tor का उपयोग कर रहा हूँ?

डिफ़ॉल्ट रूप से, हाँ। Relay पते सार्वजनिक consensus में प्रकाशित होते हैं, इसलिए आपका प्रदाता आपको एक ज्ञात guard relay से जुड़ते हुए देख सकता है। वह यह नहीं देख सकता कि आप किन साइटों तक पहुँच रहे हैं। उपयोग को छिपाने के लिए, Tor Browser obfs4 या Snowflake जैसे pluggable transport के साथ bridges प्रदान करता है, जो एक ऐसे entry point के माध्यम से जुड़ते हैं जो सार्वजनिक सूची में नहीं है। Tor के सामने एक VPN भी इसे आपके ISP से छिपा देता है, लेकिन वही जानकारी VPN ऑपरेटर को दे देता है।

क्या अपने खुद के VPS पर VPN चलाने से मैं anonymous हो जाता हूँ?

नहीं। सर्वर आपके नाम पर आपके कार्ड से किराए पर लिया जाता है, इसलिए प्रदाता के billing records उस पते को पहले से ही आपसे जोड़ते हैं, और प्रदाता से पूछताछ करने पर यह जानकारी मिल सकती है। उस पते का उपयोग केवल आप करते हैं, इसलिए उससे निकलने वाला सब कुछ एक ही व्यक्ति का होता है और जब तक आप सर्वर रखते हैं, तब तक वह आपसे जुड़ा रहता है। एक self-hosted VPN स्थानीय नेटवर्क के खिलाफ एक मजबूत privacy tool है, लेकिन किसी ऐसे व्यक्ति के खिलाफ एक कमजोर anonymity tool है जो आपके प्रदाता से सवाल कर सकता है।

जब मैं Tor का उपयोग करता हूँ तो वेबसाइटें मुझे block क्यों करती हैं या CAPTCHA क्यों दिखाती हैं?

क्योंकि exit relay पते सार्वजनिक होते हैं और बहुत से लोगों द्वारा साझा किए जाते हैं, इसलिए उन उपयोगकर्ताओं में से किसी एक द्वारा किया गया दुरुपयोग उस पते से जुड़ जाता है जिसका आप उपयोग कर रहे हैं। Content delivery networks उन पतों को खराब स्कोर देते हैं और एक challenge, एक 403 Forbidden, या एक signup form के साथ जवाब देते हैं जो submit नहीं होता। आपकी तरफ से कुछ भी इसे नहीं हटा सकता। एक नया circuit आपको एक अलग exit देता है, जिसकी reputation कभी-कभी बेहतर होती है।

यदि मैं VPN का उपयोग करता हूँ, तो क्या मेरी DNS queries अभी भी leak होती हैं?

हाँ, ऐसा हो सकता है और यह आम है। यदि tunnel interface के लिए कोई resolver सेट नहीं है, तो आपका client स्थानीय नेटवर्क से प्राप्त resolver का उपयोग जारी रखता है। उस resolver का route on-link होता है, इसलिए यह tunnel के डिफ़ॉल्ट route से पहले काम करता है। आपकी queries cleartext में बाहर निकल जाती हैं जबकि बाकी सब कुछ encrypted होता है। resolvectl status चलाएँ और पुष्टि करें कि आपके डिफ़ॉल्ट route को ले जाने वाले link के लिए सूचीबद्ध DNS सर्वर tunnel का resolver है, न कि आपका स्थानीय router।