Tor mu VPN mi? İhtiyacınıza Göre Doğru Seçim

Tor ve VPN: hangisine gerçekten ihtiyacınız var

Tor ve VPN, trafiğinizi size ait olmayan makineler üzerinden yönlendirir ancak farklı sorulara yanıt verirler. Bir VPN (sanal özel ağ), güveninizi internet servis sağlayıcınızdan tek bir şirkete aktarır; bu şirket gerçek adresinizi ve ziyaret ettiğiniz her hedefi görür. Tor ise bu güveni farklı kişiler tarafından işletilen üç aktarıcıya yayar, böylece hiçbir aktarıcı hem kim olduğunuzu hem de nereye gittiğinizi aynı anda bilmez. Seçiminizi, gizlendiğiniz tarafın kim olduğuna göre yapın.

Eğer bu taraf, üzerinde bulunduğunuz ağ ise, doğru araç bir VPN'dir. Eğer bu taraf web sitesinin kendisi veya tek bir şirketin kayıtlarını talep edebilecek herhangi bir merci ise, doğru araç Tor'dur. Bu kılavuzun geri kalanı, bu iki cümlenin arkasındaki detayları açıklamaktadır.

Her iki tasarımda da tek bir isteği takip edin

Sıradan bir isteği ele alalım: tarayıcınız https://news.example.com adresini açar. TLS (transport layer security), sayfa içeriğini her iki durumda da korur; böylece aradaki hiç kimse makaleyi okuyamaz. İlginç olan kısım meta verilerdir: IP adresinizi kim öğrenir, hedefi kim öğrenir ve bu iki bilgiyi kim birleştirebilir? Bir gizlilik aracı, bu ikiliyi birbirinden ayırmak için kullanılan bir mekanizmadır. Bir VPN, bu ikiliyi farklı bir tutucuya taşır. Tor ise bu ikiliyi birbirinden ayırır.

VPN kullandığınızda tarafların gördükleri

İstemciniz her paketi şifreler ve tek bir uç noktaya gönderir. Bu uç noktadan itibaren trafik tekrar olağan haline döner.

• ISP'niz (internet servis sağlayıcınız), hattınız ile bir VPN sunucusu adresi arasındaki şifreli paketleri görür. Trafik hacmini ve zamanlamasını izleyebilir. DNS (alan adı sistemi) sorguları da tünel üzerinden iletildiği sürece, hedef ana makine adını göremez.
• VPN operatörü, bir tarafta gerçek IP adresinizi, diğer tarafta ise tüm hedef adresleri, zamanlamaları ve veri boyutlarıyla birlikte görür. Bu eşleşmenin her iki yarısı da aynı makinede birleşir.
• Hedef site, VPN'in çıkış adresini ve tarayıcınızın gönderdiği tüm tanımlayıcı detayları görür.

Bu nedenle VPN, anonimlik sağlamaz. Gözlemciyi ISP'nizden alıp VPN sağlayıcınıza taşır. Yerel ağın sorun teşkil ettiği durumlarda veya ISP'nizin verileri filtrelediği ya da sattığı senaryolarda bu gerçek bir kazanımdır. Ancak ziyaret ettiğiniz siteye karşı hiçbir avantaj sağlamaz; çünkü trafiğiniz, kim olduğunuzu tam olarak bilen ve ödeme kayıtlarınızı tutan tek bir şirketten gelen tek bir akış olarak ulaşmaya devam eder.

"Kayıt tutmama" (no logs) iddiası ürünün tamamını oluşturur ve kendi tarafınızdan doğrulayamayacağınız tek kısımdır. Tünelin aktif olduğunu doğrulayabilirsiniz. DNS sızıntısı olmadığını kontrol edebilirsiniz. Ancak operatörün diske ne yazdığını doğrulayamazsınız. Kabul ettiğiniz takas budur: Sizin seçtiğiniz tek bir şirket, tüm resme sahip olur.

Tüneli sessizce devre dışı bırakan sızıntıyı kontrol edin:

resolvectl status
curl -s https://ifconfig.me; echo

ifconfig.me tarafından yazdırılan adres, VPN çıkış adresi olmalıdır. Varsayılan rotanızı taşıyan bağlantı için listelenen DNS sunucuları, tünelin çözümleyicisi olmalıdır. Eğer bunlar hala 192.168.1.1 adresinde yerel yönlendiricinizi listeliyorsa, isim sorgularınız yerel bağlantı üzerinden açık metin olarak dışarı çıkıyor demektir. Bunun nedeni, o yönlendiriciye giden rotanın doğrudan bağlantılı (on-link) olması ve tünelin varsayılan rotasından daha spesifik olmasıdır. Trafiğiniz özeldir ancak ziyaret ettiğiniz sitelerin listesi gizli değildir. WireGuard tünelinden sızan DNS sorguları çözüm yolunu adım adım açıklar.

Tor kullandığınızda tarafların gördükleri

Tor, dizin otoriteleri tarafından yayınlanan imzalı bir listeden (consensus) seçilen üç röleden oluşan bir devre kurar. İstemciniz veriyi, her röle için bir katman olacak şekilde paketler. Her röle bir katmanı kaldırır, sadece bir sonraki adımı öğrenir ve geri kalanını iletir. Bu katmanlar, yoldaki hiç kimsenin her iki bilgiye (kaynak ve hedef) aynı anda sahip olamamasının nedenidir.

• ISP'niz, bir guard rölesine giden şifreli trafiği görür. Röle adresleri herkese açıktır, bu nedenle ISP'niz Tor kullandığınızı anlayabilir. Ancak neye eriştiğinizi göremez.
• Guard rölesi gerçek IP adresinizi görür. Hedefi göremez, çünkü mesajın site adını içeren kısmı sonraki röleler için hala şifrelidir.
• Orta röle, bir tarafta guard, diğer tarafta exit rölesini görür. Ne sizi ne de hedefi görür. Varlığının amacı, guard ve exit rölelerinin doğrudan iletişim kurmasını engellemektir.
• Exit rölesi, hedefi ve ağdan çıkan trafiği görür. Sizin adresinizi değil, orta rölenin adresini görür. HTTPS kullanıldığında, ana bilgisayar adını ve bağlantı meta verilerini öğrenir, ancak sayfa içeriğini göremez.
• Hedef site, herkese açık exit listelerinde yer alan exit rölesinin adresini ve tarayıcınızın ilettiği verileri görür.

Sizi siteyle ilişkilendirmek, guard ve exit rölelerinin aynı anda ele geçirilmesini gerektirir. Tasarımın özeti budur. İstemcinizin her başlangıçta yeni bir guard seçmek yerine aylarca aynı guard'ı kullanmasının nedeni de budur: giriş noktasını sürekli değiştirmek, kötü niyetli bir röleye guard'ınız olma şansını defalarca verir.

Devreler kalıcı değildir. Yeni bağlantılar yaklaşık her on dakikada bir yeni bir devreye taşınır; halihazırda açık olan bir akış ise başladığı devrede kalmaya devam eder. Uzun bir indirme işlemi ile on beş dakika sonra açtığınız bir sekme genellikle farklı exit rölelerinden çıkar.

Kurulumu yapın ve yolu doğrulayın:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Günlük kaydı Bootstrapped 100% (done): Done değerine ulaşmalıdır. curl komutu, tanımadığınız bir adresle birlikte {"IsTor":true,"IP":"..."} çıktısını vermelidir; bu adres mevcut exit rölenizdir. Eğer IsTor değeri false ise, istek proxy üzerinden geçmemiş demektir. Ubuntu'nun paketlediği Tor sürümü güncel sürümün gerisinde kalabilir; en güncel sürümü takip etmeniz gerekiyorsa Tor Project kendi apt deposunu yayınlamaktadır.

Bu komutun içinde bir tuzak bulunur. --socks5 bayrağı, curl'ün ana bilgisayar adını kendisinin çözümlemesine ve ardından elde edilen adresi proxy üzerinden göndermesine neden olur; bu durumda normal DNS çözümleyiciniz ziyaret ettiğiniz her ismi öğrenir. --socks5-hostname ise ismi Tor'a gönderir ve çözümlemeyi exit rölesinin yapmasını sağlar. Tünel aynı olsa da, veri sızıntısı tamamen farklıdır. Tor Browser ve torsocks bunu doğru şekilde yönetir. Elle yapılandırılan araçlar ise genellikle bunu yapamaz.

Tor sadece TCP akışlarını taşır. UDP taşıyamaz, bu nedenle ping 1.1.1.1 asla Tor üzerinden geçmez ve UDP tabanlı bir VPN protokolü Tor içinde çalıştırılamaz. Proxy ayarını dikkate almayan herhangi bir program, normal adresinizle normal rotanızı kullanır ve sizi uyaran hiçbir mekanizma yoktur. Sistem genelinde Tor kullanımının, ortam değişkenleri yerine ayrı bir cihaz üzerinde şeffaf proxy (transparent proxy) ile yapılmasının nedeni budur.

Güvenin gerçekte nereye gittiği

VPN, güveni tek bir noktada toplar. Bir şirket; kimliğinizi, fatura bilgilerinizi ve tüm trafik düzeninizi elinde tutar; korumanız ise şirketin kayıt tutmama sözüne dayanır. Bu söz geçerli olduğu sürece tasarım temiz, hızlı ve üzerinde düşünülmesi kolaydır. Ancak bir mahkeme celbi, bir güvenlik ihlali veya bir yalan nedeniyle bu söz bozulduğunda, tüm trafiğiniz için koruma tamamen ortadan kalkar.

Tor ise güveni dağıtır. Birbirini büyük oranda tanımayan üç taraf, her biri bir parçaya sahip olur ve tek başına bir parça pek bir değer ifade etmez. Tasarımın çalışması için kimsenin dürüst olması gerekmez. Sadece tarafların yeterince bağımsız olması yeterlidir. Bunun bedelini hızdan ödün vererek, yalnızca TCP desteğiyle ve bazı aktarıcıların sizi izlemek isteyen kişiler tarafından işletildiği bir ağda bulunarak ödersiniz. Tor'un düşmanca bir aktarıcıya karşı cevabı, tek bir aktarıcının asla yeterli olmamasıdır.

VPN ne zaman doğru araçtır

• Yerel ağa güvenmiyorsanız: otel, havaalanı, konferans salonu veya ev sahibinin yönlendiricisi gibi. Ağ operatörü yalnızca şifreli bir tünel görür, başka hiçbir şey göremez.
• Kendi makinelerinize erişmek veya kontrol ettiğiniz sabit bir adresten çıkış yapmak istiyorsanız.
• Hız ve UDP protokolüne ihtiyaç duyuyorsanız: görüntülü görüşmeler, oyunlar, büyük dosya transferleri, yedeklemeler.
• Sitelerin sorgulamadığı sabit bir adres istiyorsanız. Tor çıkış düğümleri web genelinde engellenir veya CAPTCHA ile karşılaşır.

Bu liste, bir abonelik satın almak yerine kendi VPS'iniz üzerinde VPN çalıştırmanın ve kendi kurduğunuz bir WireGuard sunucusunun, günlük tutma politikası tamamen size ait olan bir tünel sağladığı durumları açıklar. Cihazdan cihaza anahtar yönetimi ile birlikte aynı tüneli istiyorsanız, yalın WireGuard ile Tailscale arasındaki fark okunması gereken karşılaştırmadır. Bunların her biri bu listedeki iş için mükemmeldir. Hiçbiri bir sonraki listedeki işi yapmaz.

Tor ne zaman doğru araçtır

• Hasımınız hedef siteyi veya tek bir şirketten kayıt talep edebilecek herhangi birini içeriyorsa.
• İzinin hattınıza kadar sürülmesi durumunda size zarar verecek bir şeyi okuyor veya yayınlıyorsanız.
• Bir onion servisi istiyorsanız: ağdan asla çıkmayan trafik, exit relay içermeyen bir yapı ve adresi gizli kalan bir sunucu.
• Yavaş sayfalar, CAPTCHA'lar ve ara sıra karşılaşılan 403 Forbidden ile yaşayabiliyorsanız.

9050 numaralı porta yönlendirilmiş günlük tarayıcınızı değil, Tor Browser kullanın. Tarayıcı korumanın yarısıdır; sonraki bölümün bir sonrası bunun nedenini açıklar.

Kiraladığınız bir VPS'in anonimlik konusunda ticari bir VPN'den neden daha kötü olduğu

İnsanların genellikle yanlış anladığı konu budur. Kiraladığınız bir VPS, üzerinde adınızın yazılı olduğu bir kiralama sözleşmesidir. Kayıt e-postası, kredi kartı bilgileri, faturalar ve destek talepleri, o şirketin veritabanında ilgili IP adresiyle yan yana durur. Adresi sizinle ilişkilendirmek için kimsenin bir şeyi kırmasına gerek yoktur. Bu bilgi zaten kayıtlıdır, olağan muhasebe nedenleriyle saklanır ve yasal ağırlığı olan bir soru sorabilen herkesin erişimine açıktır.

İkinci sorun ise kalabalıktır. Ticari bir VPN'in çıkış adresi aynı anda birçok müşteri tarafından paylaşılır, bu nedenle o adres tek başına bir kişiyi işaret etmez. Sizin VPS adresiniz ise sadece size aittir. O adresten çıkan her istek bugün ve gelecek ay sizsinizdir; adres değişmediği için hedef sunucu, hiçbir çerez kullanmadan aylar boyunca hakkınızda bir profil oluşturabilir.

Bunların hiçbiri, kendi kendine barındırılan (self-hosted) bir VPN'i kötü bir şey yapmaz. Kendi kontrolünüzde olmayan bir ağdaki trafiğinizi şifrelemek ve kendi servislerinize her yerden erişmek için oldukça iyidir. Sadece bir anonimlik aracı değildir ve onu bu amaçla kullanmak hatadır. Sağlayıcınızın makinenin kendisinde neleri görüp neleri göremediğine dair net bir açıklama için VPS barındırmanın gerçekte ne kadar güvenli olduğu konusunu okuyun.

Tor veya VPN'in çözemediği durumlar

• Tarayıcı parmak izi (Browser fingerprinting). Kullanıcı aracısı (user agent), ekran çözünürlüğü, saat dilimi, yüklü yazı tipleri, dil ayarları ve canvas işleme verileri birleşerek genellikle benzersiz bir değer oluşturur ve bu değer, kullandığınız her IP adresi boyunca sizi takip eder. Tor Browser, kullanıcılarını birbirinin aynısı gibi göstererek ve pencere boyutunu sabit adımlarla yeniden boyutlandırarak bu durumla mücadele eder. SOCKS proxy arkasındaki standart tarayıcınız ise parmak izini ve çerezlerini korumaya devam eder.
• Oturum açma işlemleri. Kimliğinizi bilen bir hesaba giriş yaptığınız anda ağ katmanının bir önemi kalmaz. Evden yapılan bir giriş ile Tor üzerinden aynı hesaba yapılan bir giriş, her iki oturumu birbirine bağlar.
• Uç noktanın zaten kaydettiği her şey: ne yazdığınız, ne satın aldığınız, ne aradığınız.
• Uçtan uca korelasyon. Hattınızı ve çıkış noktasını aynı anda izleyen bir taraf, zamanlama ve paket hacmini eşleştirerek iki ucu birbirine bağlayabilir. Tor, her iki tarafı da görebilen bir düşmana karşı koruma sağlamadığını açıkça belirtir.

Tor ve VPN birlikte kullanılabilir mi?

Tor over VPN, VPN bağlantısının önce kurulduğu ve Tor trafiğinin bu tünel içinden geçtiği yöntemdir. Bu durumda İSS (İnternet Servis Sağlayıcısı) yalnızca VPN trafiğini görür; Tor giriş düğümü (guard relay) ise sizin gerçek IP adresiniz yerine VPN sunucusunun adresini görür. Ancak bu yöntemle, kimlik ve ödeme bilgilerinizi elinde tutan bir şirketi, tam olarak bu tür bir takibi engellemek için tasarlanmış bir sistemin önüne koymuş olursunuz. Bu yöntem yalnızca tek bir durumda mantıklıdır: Tor kullanmanın hattınızda tehlikeli olduğu ve daha iyi bir seçeneğinizin bulunmadığı durumlarda.

VPN over Tor yönteminde ise trafik Tor ağından çıkar ve bir VPN hesabına girer. Bu kurulumun yapılandırılması daha zordur ve genellikle daha verimsizdir. VPN hesabınız ödeme kayıtlarınızla ilişkilendirildiği için, bir an öncesine kadar anonim olan trafiğe kalıcı bir kimlik tanımlamış olursunuz.

Eğer tek amaç Tor kullanımını İSS'nizden gizlemekse, desteklenen yöntem bir köprü (bridge) kullanmaktır. Köprüler, genel Tor listesinde yer almayan giriş noktalarıdır ve obfs4 veya Snowflake gibi "pluggable transport" araçlarıyla birleştirildiğinde trafiğin sınıflandırılmasını zorlaştırır. Tor Browser her ikisiyle birlikte gelir ve bu süreçte üçüncü bir şirkete adınızı vermeniz gerekmez.

FAQ

Tor sadece ücretsiz bir VPN midir?

Hayır. Bir VPN, trafiğinizi gerçek adresinizi ve tüm hedeflerinizi gören tek bir şirket tarafından işletilen tek bir sunucu üzerinden gönderir; böylece İSS'nizi seçtiğiniz bir sağlayıcıyla değiştirmiş olursunuz. Tor ise trafiğinizi farklı kişiler tarafından işletilen üç aktarıcı üzerinden gönderir; burada giriş aktarıcısı sizi görür ancak siteyi görmez, çıkış aktarıcısı ise siteyi görür ancak sizi görmez. Tor ayrıca yalnızca TCP destekler, belirgin şekilde daha yavaştır ve birçok web sitesi tarafından engellenir veya kısıtlanır; bu nedenle bir VPN'in günlük kullanım amaçları için doğrudan bir alternatif değildir.

İSS'm Tor kullandığımı anlayabilir mi?

Varsayılan olarak evet. Aktarıcı adresleri herkese açık konsensüs listesinde yayınlanır, bu nedenle servis sağlayıcınız bilinen bir giriş aktarıcısına bağlandığınızı görebilir. Hangi sitelere eriştiğinizi göremez. Kullanımı gizlemek için Tor Browser, obfs4 veya Snowflake gibi takılabilir bir taşıyıcıya (pluggable transport) sahip köprüler sunar; bunlar herkese açık listede yer almayan bir giriş noktası üzerinden bağlantı kurar. Tor'un önüne yerleştirilen bir VPN de kullanımı İSS'nizden gizler, ancak bu bilgiyi VPN operatörüne aktarmış olur.

Kendi VPS'imde VPN çalıştırmak beni anonim yapar mı?

Hayır. Sunucu, kart bilgilerinizle sizin adınıza kiralanır; bu nedenle sağlayıcının fatura kayıtları o adresi zaten size bağlar ve sağlayıcıya yapılacak bir talep bu kayıtları okumak için yeterlidir. Adres yalnızca sizin tarafınızdan kullanılır, bu nedenle oradan çıkan her şey tek bir kişiye aittir ve sunucuyu elinizde tuttuğunuz sürece izlenebilir kalır. Kendi kendine barındırılan bir VPN, yerel ağa karşı güçlü bir gizlilik aracıdır ancak sağlayıcınızı sorgulayabilecek herhangi birine karşı zayıf bir anonimlik aracıdır.

Tor kullandığımda web siteleri neden beni engelliyor veya CAPTCHA gösteriyor?

Çünkü çıkış aktarıcısı adresleri herkese açıktır ve çok sayıda kişi tarafından paylaşılır; bu nedenle bu kullanıcılardan herhangi birinden gelen kötüye kullanım, ödünç aldığınız adresle ilişkilendirilir. İçerik dağıtım ağları (CDN) bu adresleri düşük puanlar ve bir doğrulama, bir 403 Forbidden veya gönderimi reddeden bir kayıt formu ile yanıt verir. Sizin tarafınızda bunu düzeltecek bir yöntem yoktur. Yeni bir devre (circuit) size farklı bir çıkış sağlar; bu çıkış bazen daha iyi bir itibara sahip olabilir.

VPN kullanırsam DNS sorgularımı yine de sızdırır mıyım?

Sızdırabilirsiniz ve bu yaygın bir durumdur. Tam tünel (full tunnel) kullanıyorsanız ve tünel arayüzü için bir çözümleyici (resolver) ayarlanmamışsa, istemciniz yerel ağdan öğrendiği çözümleyiciyi kullanmaya devam eder. Bu çözümleyiciye giden yol yerel bağlantı üzerindedir, bu nedenle tünelin varsayılan yolundan daha öncelikli hale gelir. Bu durumda diğer her şey şifrelenmiş olsa bile sorgularınız açık metin olarak dışarı çıkar. resolvectl status komutunu çalıştırın ve varsayılan yolunuzu taşıyan bağlantı için listelenen DNS sunucusunun yerel yönlendiriciniz değil, tünelin çözümleyicisi olduğunu doğrulayın.