Tor au VPN: ipi bora kwa faragha yako mtandaoni?

Tor dhidi ya VPN: ni ipi unayohitaji kihalisi

Tor na VPN zote hutuma trafiki yako kupitia mashine ambazo si zako, na zinajibu maswali tofauti. VPN (virtual private network) huhamisha imani yako kutoka kwa mtoa huduma wako wa intaneti kwenda kwa kampuni moja, ambayo kisha huona anwani yako halisi na kila unakoenda. Tor husambaza imani hiyo kwenye relay tatu zinazoendeshwa na watu tofauti, hivyo hakuna relay moja inayojua wewe ni nani na unaenda wapi. Chagua kwa kutaja upande unaojificha kutoka kwake.

Ikiwa upande huo ni mtandao unaoutumia, VPN ndiyo zana sahihi. Ikiwa upande huo ni tovuti yenyewe, au mtu yeyote anayeweza kulazimisha rekodi za kampuni moja, Tor ndiyo zana sahihi. Sehemu iliyobaki ya mwongozo huu ni maelezo ya kina nyuma ya sentensi hizo mbili.

Fuatilia ombi moja kupitia usanifu wote miwili

Chukua ombi la kawaida: kivinjari chako kinafungua https://news.example.com. TLS (transport layer security) hulinda maudhui ya ukurasa kwa njia yoyote ile, kwa hivyo hakuna mtu aliye katikati anayeweza kusoma makala hiyo. Sehemu ya kuvutia ni metadata: nani anajifunza anwani yako ya IP, nani anajifunza unakoenda, na nani anaweza kuunganisha ukweli huo miwili pamoja. Zana ya faragha ni mashine ya kutenganisha jozi hiyo. VPN huhamishia jozi hiyo kwa mshikiliaji mwingine. Tor huitenganisha.

Kile kila upande unachokiona unapotumia VPN

Mteja wako husimba kila pakiti na kuituma kwa endpoint moja. Kuanzia endpoint hiyo na kuendelea, trafiki inakuwa ya kawaida tena.

• ISP wako (internet service provider) huona pakiti zilizosimbwa kati ya laini yako na anwani moja ya seva ya VPN. Huona ujazo na muda. Haioni hostname ya unakoenda, mradi tu maombi ya DNS (domain name system) nayo yanapita ndani ya tunnel.
• Mwendeshaji wa VPN huona anwani yako halisi ya IP upande mmoja na kila anwani ya unakoenda upande mwingine, pamoja na muda na ukubwa wa data. Nusu zote mbili za jozi hiyo hufika kwenye mashine moja.
• Unakoenda huona anwani ya kutoka ya VPN, pamoja na kila maelezo ya utambulisho ambayo kivinjari chako hutuma.

Kwa hivyo, VPN haitengenezi kutokujulikana (anonymity). Inahamisha mwangalizi, kutoka kwa ISP wako kwenda kwa mtoa huduma wako wa VPN. Hiyo ni faida halisi wakati mtandao wa ndani ndio tatizo, au wakati ISP wako anachuja au kuuza data anayoiona. Hakuna faida yoyote dhidi ya tovuti unayotembelea, kwa sababu trafiki yako bado inafika kama mtiririko mmoja kutoka kwa kampuni moja inayojua vyema wewe ni nani na inayoshikilia rekodi yako ya malipo.

Madai ya "no logs" ndiyo bidhaa nzima, na ndiyo sehemu moja ambayo huwezi kuikagua kutoka upande wako. Unaweza kuthibitisha kuwa tunnel iko juu. Unaweza kuthibitisha kuwa DNS haivuji. Huwezi kuthibitisha kile mwendeshaji anachoandika kwenye diski. Huo ndio mkataba unaokubali: kampuni moja, uliyochagua wewe, inayoshikilia picha kamili.

Kagua uvujaji unaoharibu tunnel kimyakimya:

resolvectl status
curl -s https://ifconfig.me; echo

Anwani inayochapishwa na ifconfig.me inapaswa kuwa ile ya kutoka ya VPN. Seva za DNS zilizoorodheshwa kwa ajili ya link inayobeba default route yako zinapaswa kuwa resolver ya tunnel. Ikiwa bado zinaorodhesha router yako ya ndani katika 192.168.1.1, utafutaji wako wa majina unatoka kupitia link ya ndani kwa maandishi wazi (cleartext), kwa sababu njia ya kuelekea router hiyo iko kwenye link na ni mahususi zaidi kuliko default route ya tunnel. Trafiki yako ni ya faragha lakini orodha yako ya tovuti si ya faragha. DNS queries escaping a WireGuard tunnel inaelezea hatua za kurekebisha hili.

Kile kila upande unachokiona unapotumia Tor

Tor hujenga mzunguko wa relay tatu zilizochaguliwa kutoka kwenye orodha iliyotiwa saini, inayojulikana kama consensus, inayochapishwa na kundi dogo la mamlaka za saraka (directory authorities). Mteja wako hufunga data katika matabaka, moja kwa kila relay. Kila relay huondoa tabaka moja, hujua tu hatua inayofuata, na kupitisha kilichobaki. Matabaka hayo ndiyo sababu hakuna mtu katika njia hiyo anayeshikilia ukweli wote wawili.

• ISP yako huona trafiki iliyosimbwa kwenda kwenye guard relay moja. Anwani za relay ni za umma, kwa hivyo ISP yako inaweza kujua kuwa unatumia Tor. Haiwezi kujua unachofikia.
• Guard relay huona anwani yako halisi ya IP. Haiwezi kuona unakoenda, kwa sababu sehemu ya ujumbe inayotaja tovuti bado imesimbwa kwa ajili ya relay zinazofuata.
• Middle relay huona guard upande mmoja na exit upande mwingine. Haikuoni wewe wala unakoenda. Ipo ili guard na exit zisipate kuongea moja kwa moja.
• Exit relay huona unakoenda na trafiki inapotoka kwenye mtandao. Huona anwani ya middle relay, si yako. Kwa HTTPS, hujifunza jina la mwenyeji (hostname) na metadata ya muunganisho, si ukurasa wenyewe.
• Unakoenda huona anwani ya exit relay, ambayo huonekana kwenye orodha za umma za exit, pamoja na chochote ambacho kivinjari chako kinakitoa.

Kukuunganisha wewe na tovuti kunahitaji guard na exit kwa wakati mmoja. Hiyo ndiyo muundo katika sentensi moja. Pia ndiyo sababu mteja wako huweka guard ileile kwa miezi badala ya kuchagua mpya kila unapoanza: kubadilisha njia ya kuingilia mara kwa mara kungeipa relay hasidi nafasi za mara kwa mara za kuwa guard yako.

Mizunguko si ya kudumu. Miunganisho mipya huhamia kwenye mzunguko mpya takriban kila dakika kumi, wakati mtiririko (stream) ambao tayari umefunguliwa hubaki kwenye mzunguko ulioanzishwa. Upakuaji mrefu na kichupo unachofungua dakika kumi na tano baadaye kwa kawaida hutoka kwenye exit tofauti.

Isakinishe na uthibitishe njia:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Log inapaswa kufika Bootstrapped 100% (done): Done. curl inapaswa kuchapisha {"IsTor":true,"IP":"..."} ikiwa na anwani usiyoijua, ambayo ndiyo exit yako ya sasa. Ikiwa IsTor ni false, ombi halikupita kwenye proxy. Tor iliyopakiwa kwenye Ubuntu inaweza kuchelewa kulingana na toleo la sasa; Tor Project huchapisha apt repository yake yenyewe ikiwa unahitaji kufuata toleo la hivi karibuni (upstream).

Mtego mmoja upo ndani ya amri hiyo. --socks5 huifanya curl kutatua jina la mwenyeji (hostname) yenyewe kisha kutuma anwani inayotokana na hiyo kupitia proxy, kwa hivyo resolver yako ya kawaida hujifunza kila jina unalotembelea. --socks5-hostname hutuma jina kwa Tor na kuruhusu exit ilitatue. Njia ileile, lakini uvujaji tofauti kabisa. Tor Browser na torsocks hufanya hivi kwa usahihi. Zana zilizosanidiwa kwa mkono mara nyingi hazifanyi hivyo.

Tor hubeba mitiririko ya TCP pekee. Haiwezi kubeba UDP, kwa hivyo ping 1.1.1.1 haisafiri kamwe kupitia hiyo, na itifaki ya VPN inayotegemea UDP haiwezi kufanya kazi ndani yake. Programu yoyote inayopuuza mpangilio wake wa proxy hutumia njia yako ya kawaida na anwani yako ya kawaida, na hakuna kinachokuonya. Hiyo ndiyo sababu Tor ya mfumo mzima hufanywa kwa transparent proxy kwenye kifaa tofauti badala ya kutumia environment variable.

Mahali ambapo uaminifu huwekwa kihalisi

VPN hujikita kwenye uaminifu mmoja. Kampuni moja hushikilia utambulisho wako, rekodi zako za malipo, na muundo mzima wa trafiki yako, huku ulinzi wako ukiwa ni ahadi yao ya kutotunza logi. Wakati ahadi hiyo inapoheshimiwa, usanifu huu ni safi, wa haraka, na rahisi kueleweka. Inaposhindwa, kupitia wito wa mahakama, uvunjifu wa usalama, au uongo, inashindwa kabisa na kwa trafiki yako yote kwa wakati mmoja.

Tor husambaza uaminifu. Wahusika watatu ambao kwa kiasi kikubwa hawajuani, kila mmoja hushikilia sehemu ndogo ya data, na sehemu hiyo pekee haina thamani kubwa. Hakuna anayelazimika kuwa mwaminifu ili usanifu huu ufanye kazi. Inatosha tu kwamba wao wawe huru kutoka kwa kila mmoja. Unalipia hilo kwa kasi ndogo, kwa kutumia TCP pekee, na kwa mtandao ambapo baadhi ya relay huendeshwa na watu ambao wangependa kukufuatilia. Jibu la Tor kwa relay yenye nia mbaya ni kwamba relay moja haitoshi kamwe.

Wakati VPN ndiyo zana sahihi

• Huuamini mtandao wa eneo lako: hoteli, uwanja wa ndege, ukumbi wa mikutano, au kipanga njia cha mwenye nyumba. Mwendeshaji huona tu handaki lililosimbwa (encrypted tunnel) na si kingine.
• Unataka kufikia mashine zako mwenyewe, au kuunganisha kutoka kwa anwani isiyobadilika unayoimiliki.
• Unahitaji kasi na UDP: simu za video, michezo, uhamishaji wa faili kubwa, na backups.
• Unataka anwani thabiti ambayo tovuti hazikupingii. Sehemu za kutokea za Tor (Tor exits) huzuiwa au kuwekewa CAPTCHA katika sehemu kubwa ya mtandao.

Orodha hiyo ndiyo sababu ya kuendesha VPN yako mwenyewe kwenye VPS badala ya kununua usajili, na seva ya WireGuard unayojiwekea mwenyewe hukupa handaki ambalo sera yake ya kurekodi kumbukumbu (logging policy) ni faili ya usanidi unayoimiliki. Ikiwa unataka handaki hilo hilo likiwa na usimamizi wa funguo kati ya vifaa, tofauti kati ya WireGuard ya kawaida na Tailscale ndiyo kulinganisha unakopaswa kusoma. Mara tu unapokuwa kwenye tailnet, kufikia huduma zako na kuchapisha mojawapo kwenye mtandao wa umma ni maamuzi tofauti, na serve huiweka huduma kuwa ya faragha kwa tailnet wakati funnel huifichua. Kila moja ya hizi ni bora katika kazi iliyo kwenye orodha hii. Hakuna hata moja inayofanya kazi iliyo kwenye orodha inayofuata.

Wakati Tor ndiyo zana sahihi

• Mpinzani wako anajumuisha tovuti unayotembelea, au yeyote anayeweza kudai rekodi kutoka kwa kampuni moja.
• Unasoma au kuchapisha kitu ambacho kingekudhuru ikiwa kingefuatiliwa hadi kwenye laini yako.
• Unataka onion service: trafiki ambayo haitoki kamwe kwenye mtandao, hakuna exit relay inayohusika, na seva ambayo anwani yake inabaki imefichwa.
• Unaweza kuvumilia kurasa za polepole, CAPTCHA na 403 Forbidden ya mara kwa mara.

Ikiwa upande wa seva wa nukta hiyo ya tatu unakuvutia, kuendesha v3 onion service kwenye VPS inaonyesha jinsi tovuti inavyoweza kufikiwa bila exit relay yoyote kwenye njia, na ni uvujaji gani wa kawaida bado unaounganisha mashine hiyo na anwani yake ya umma.

Tumia Tor Browser, si kivinjari chako cha kila siku kilichoelekezwa kwenye port 9050. Kivinjari ni nusu ya ulinzi, na sehemu inayofuata baada ya ijayo inaelezea kwa nini.

Kwa nini VPS uliyokodisha ni mbaya zaidi kuliko VPN ya kibiashara kwa ajili ya usiri

Hili ni jambo ambalo watu hulielewa vibaya. VPS uliyokodisha ni mkataba wa kukodisha wenye jina lako. Barua pepe ya usajili, kadi ya malipo, ankara na tiketi za msaada wa kiufundi zote huhifadhiwa kwenye hifadhidata ya kampuni moja karibu na anwani hiyo ya IP. Hakuna anayehitaji kuvunja chochote ili kuunganisha anwani hiyo na wewe. Tayari imeandikwa, imehifadhiwa kwa sababu za kawaida za uhasibu, na inapatikana kwa yeyote anayeweza kuiuliza kampuni hiyo swali lenye uzito wa kisheria.

Tatizo la pili ni umati. Anwani ya kutoka (exit address) ya VPN ya kibiashara inatumiwa na wateja wengi kwa wakati mmoja, hivyo anwani hiyo pekee haimwelekezi mtu mmoja. Anwani ya VPS yako ni yako pekee. Kila ombi linalotoka hapo ni wewe, leo na mwezi ujao, na anwani hiyo haibadiliki, kwa hivyo tovuti unayotembelea inaweza kujenga wasifu wako kwa miezi kadhaa bila hata kutumia cookies.

Hakuna kati ya hayo yanayofanya VPN unayojiendeshea (self-hosted) kuwa kitu kibaya. Ni nzuri sana kwa kusimba trafiki yako kwenye mtandao usioumiliki, na kwa kufikia huduma zako mwenyewe kutoka popote. Sio zana ya usiri, na kuitumia kama zana ya usiri ni kosa. Kwa maelezo ya wazi kuhusu kile mtoa huduma wako anachoweza na asichoweza kuona kwenye mashine yenyewe, soma jinsi VPS hosting ilivyo salama kwa kweli.

Mambo ambayo Tor wala VPN haiyarekebishi

• Browser fingerprinting. User agent yako, ukubwa wa skrini, timezone, fonts zilizosakinishwa, lugha na uwezo wa canvas rendering huungana na kutengeneza thamani ambayo mara nyingi ni ya kipekee, na inakufuata katika kila IP address unayotumia. Tor Browser hupambana na hili kwa kufanya watumiaji wake waonekane sawa kabisa na kwa kubadilisha ukubwa wa dirisha kwa hatua zilizopangwa. Browser yako ya kawaida ukiwa nyuma ya SOCKS proxy huendelea kutumia fingerprint yake na cookies zake.
• Kuingia kwenye akaunti (Logging in). Mara tu unapoingia kwenye akaunti inayojua jina lako, safu ya mtandao (network layer) haijalishi tena. Kuingia mara moja ukiwa nyumbani na mara nyingine kupitia Tor kwenye akaunti hiyo hiyo huunganisha vipindi vyote viwili (sessions).
• Chochote ambacho endpoint hurekodi hata hivyo: ulichoandika, ulichonunua, ulichotafuta.
• End-to-end correlation. Mtu anayechunguza laini yako na exit node kwa wakati mmoja anaweza kulinganisha muda na kiasi cha data (packet volume) na kuoanisha ncha zote mbili. Tor inasema wazi kuwa haijilindi dhidi ya mpinzani anayeweza kuona pande zote mbili.

Je, unaweza kutumia Tor na VPN kwa pamoja?

Tor over VPN inamaanisha kuwa VPN huunganishwa kwanza na Tor hufanya kazi ndani yake. ISP wako huona VPN pekee, na guard relay huona anwani ya VPN badala ya yako. Pia umeweka kampuni inayoshikilia jina lako na kadi yako ya malipo mbele ya mfumo ulioundwa ili kuepuka jambo hilo hasa. Inafaa kufanya hivi katika hali moja: wakati kutumia Tor kwenye laini yako ni hatari na huna chaguo jingine bora.

VPN over Tor, ambapo trafiki huondoka kwenye mtandao wa Tor na kisha kuingia kwenye akaunti ya VPN, ni ngumu zaidi kusanidi na kwa kawaida ni mbaya zaidi. Akaunti hiyo ina rekodi yako ya malipo, kwa hivyo umeunganisha utambulisho thabiti kwenye trafiki ambayo ilikuwa ya siri muda mfupi uliopita.

Ikiwa lengo ni kuficha matumizi ya Tor kutoka kwa ISP wako, jibu linalopendekezwa ni bridge: sehemu ya kuingilia ambayo haipo kwenye public consensus, ikijumuishwa na pluggable transport kama vile obfs4 au Snowflake inayofanya trafiki kuwa ngumu kutambulika. Tor Browser huja na zote mbili, na hakuna kampuni ya tatu inayohitaji jina lako.

FAQ

Je, Tor ni VPN ya bure tu?

Hapana. VPN hutuma trafiki yako kupitia seva moja inayoendeshwa na kampuni moja ambayo huona anwani yako halisi na kila unakoenda, hivyo hubadilisha ISP wako na mtoa huduma uliyemchagua. Tor hutuma trafiki kupitia relays tatu zinazoendeshwa na watu tofauti, ambapo guard relay hukuona wewe lakini haioni tovuti unayotembelea, na exit relay huona tovuti lakini haikuoni wewe. Tor pia hufanya kazi kwa TCP pekee, ni polepole zaidi, na huzuiliwa au kupewa changamoto na tovuti nyingi, hivyo si mbadala wa moja kwa moja wa matumizi ya kila siku ya VPN.

Je, ISP wangu anaweza kujua kuwa ninatumia Tor?

Kwa chaguo-msingi, ndiyo. Anwani za relays huchapishwa kwenye orodha ya umma, hivyo mtoa huduma wako anaweza kuona unaunganisha kwenye guard relay inayojulikana. Hawezi kuona tovuti unazofikia. Ili kuficha matumizi hayo, Tor Browser hutoa bridges zenye pluggable transport kama obfs4 au Snowflake, ambazo huunganisha kupitia sehemu ya kuingilia ambayo haimo kwenye orodha ya umma. VPN iliyowekwa mbele ya Tor pia huificha kutoka kwa ISP wako, na kutoa ukweli huo kwa mtoa huduma wa VPN badala yake.

Je, kuendesha VPN kwenye VPS yangu mwenyewe kunanifanya nisiweze kutambulika?

Hapana. Seva hiyo imepangishwa kwa jina lako ukitumia kadi yako, hivyo rekodi za malipo za mtoa huduma tayari zimeunganisha anwani hiyo na wewe, na ombi moja kwa mtoa huduma linatosha kuzisoma. Anwani hiyo pia hutumiwa na wewe pekee, hivyo kila kitu kinachotoka hapo ni cha mtu mmoja na kinaweza kufuatiliwa kwa muda wote unaomiliki seva hiyo. VPN unayojiendeshea ni zana madhubuti ya faragha dhidi ya mtandao wa ndani, lakini ni zana dhaifu ya kutokutambulika dhidi ya yeyote anayeweza kumuhoji mtoa huduma wako.

Kwa nini tovuti hunizuia au kunionyesha CAPTCHAs ninapotumia Tor?

Kwa sababu anwani za exit relay ni za umma na zinashirikiwa na watu wengi sana, hivyo matumizi mabaya yanayotoka kwa mtumiaji yeyote kati yao huambatishwa kwenye anwani unayokopa. Mitandao ya usambazaji wa maudhui (CDN) huipa anwani hizo alama mbaya na kujibu kwa changamoto, 403 Forbidden, au fomu ya kujiandikisha inayokataa kuwasilishwa. Hakuna kitu upande wako kinachoweza kuondoa hili. Circuit mpya hukupa exit nyingine, ambayo wakati mwingine huwa na sifa bora zaidi.

Nikitumia VPN, je, bado ninaweza kuvujisha DNS queries zangu?

Unaweza, na ni jambo la kawaida. Ukiwa na full tunnel bila resolver iliyowekwa kwa ajili ya interface ya tunnel, mteja wako huendelea kutumia resolver aliyojifunza kutoka kwenye mtandao wa ndani, na njia ya kuelekea resolver hiyo iko on-link, hivyo inashinda njia ya msingi ya tunnel. Queries zako basi hutoka zikiwa wazi (cleartext) wakati kila kitu kingine kimesimbwa. Endesha resolvectl status na uthibitishe kuwa DNS server iliyoorodheshwa kwa ajili ya link inayobeba njia yako ya msingi ni resolver ya tunnel, si router yako ya ndani.