مسرد VPN والرقابة على الإنترنت
46 terms, each with a definition you can quote and a note on what it is usually taken to mean that is wrong.
كل مدخل له مرساة دائمة، لذا يمكنك الربط مباشرة إلى تعريف. يمكنك الاستشهاد بها بحرية — نقدر الرابط العائد ولكن لا نطلبه.
إذا كنت تختار بين البروتوكولات بدلاً من البحث عن واحد، مقارنة البروتوكولات تغطي نفس الأرضية بالترتيب الذي تحتاجه لاتخاذ القرار.
كيف يعمل الحظر
الطرق التي تستخدمها الشبكة لمنعك من الوصول إلى شيء ما. تجمع معظم القيود بين عدة طرق، وهذا هو السبب في أن التغلب على واحد غالبًا ما يكشف عن التالي بدلاً من الإنترنت المفتوح.
-
الفحص العميق للحزم (DPI)
# أيضًا: DPI -
المعدات على الشبكة التي تنظر داخل حركة المرور بدلاً من النظر فقط إلى عنوانها، وتقرر ما يجب فعله بناءً على ما تجده.
عادةً ما يُوصف الفحص العميق للحزم بأنه قراءة بياناتك. على اتصال مشفر لا يمكنه ذلك: الحمولة هي نص مشفر. ما يقرأه هو شكل حركة المرور — أحجام الحزم، التوقيت، بايتات الافتتاح غير المشفرة للمصافحة، نمط من يتحدث أولاً وكمية الحديث. هذا كافٍ لتحديد البروتوكول دون فك تشفير أي بايت منه، وهذا هو السبب في أن VPN يمكن حظره مع بقائه غير قابل للقراءة تمامًا. كما أنه يوضح سبب عمل التعتيم عن طريق تغيير هذا الشكل بدلاً من إضافة المزيد من التشفير.
-
تصفية DNS
# أيضًا: ح, ج, ب, , D, N, S, ،, , ت, س, م, ي, م, , D, N, S -
حجب موقع عن طريق جعل الشبكة تجيب على سؤال 'ما هو عنوان هذا النطاق؟' بالإجابة الخاطئة، أو بدون إجابة على الإطلاق.
إنها أرخص طريقة لحجب الوصول، وأبسطها للتغلب عليها - تغيير مزود نظام أسماء النطاقات (DNS) غالبًا ما يعيد الوصول، ولهذا يخلص الناس إلى أن الحجب كان مجرد مشكلة في DNS. هناك تحذيران. تغيير مزود DNS لا يفيد إلا إذا سمح لك مزود الخدمة بإجراء الاستعلام؛ حيث تقوم العديد من الشبكات بإعادة توجيه كل حركة مرور على منفذ 53 إلى مزود DNS الخاص بها بغض النظر عما قمت بتكوينه. والأكثر من ذلك، غالبًا ما يتم حجب المواقع المحجوبة بواسطة DNS بواسطة عنوان IP أو SNI أيضًا، لذلك يكشف حل DNS عن الطبقة التالية بدلاً من الوصول المفتوح للإنترنت.
-
تصفية SNI
# -
حجب اتصال HTTPS من خلال قراءة اسم الموقع الذي يرسله المتصفح بشكل واضح في بداية مصافحة بروتوكول TLS.
التفصيل الذي يفاجئ الناس: يقوم HTTPS بتشفير الصفحة، لكن مصافحة البداية تعلن عن الموقع الذي تتصل به بنص واضح، حتى تعرف الخوادم التي تستضيف العديد من المواقع أي شهادة يجب تقديمها. هذا الحقل - مؤشر اسم الخادم (SNI) - هو قائمة حظر لكل موقع مكتوبة في البروتوكول عن طريق الخطأ. يغلق Client Hello المشفر هذا الأمر، لكنه يحتاج إلى دعم من كلا الطرفين ومن السهل على الرقيب حظره بشكل كلي لأنه لا يزال نادرًا بما يكفي للتميز.
-
حجب IP
# -
حجب حركة المرور إلى أو من عناوين معينة، بغض النظر عما تحتويه حركة المرور.
حجب مباشر، وبالتالي يكشف. نظرًا لأن عنوان IP واحد يخدم آلاف المواقع غير ذات الصلة في كثير من الأحيان، فإن حجب IP هو الطريقة الأكثر احتمالاً لإسقاط المتفرجين، والأضرار الجانبية هي كيف يكتشف المراقبون الخارجيون في كثير من الأحيان حدوث الحجب على الإطلاق. بالنسبة لشبكة VPN، فإنها سباق أسلحة من الحساب البحت: يضيف المزود عناوين، فيقوم الرقيب بإدراجها وحجبها. من يفوز بالتصاعد الأسرع يفوز في ذلك الشهر.
-
بصمة TLS
# أيضًا: J, A, 3, ,, , J, A, 4 -
تحديد البرنامج وراء اتصال مشفر من الطريقة الدقيقة التي يبدأ بها المصافحة.
يقدم كل عميل TLS خوارزمياته، وملحقات، ومنحنيات بترتيب معين. هذا الترتيب هو توقيع على المكتبة، وليس على المستخدم، ويتم إرساله قبل بدء التشفير. لا يحتاج الرقيب إلى معرفة ما ترسله إذا كان بإمكانه معرفة أنك لا ترسله باستخدام متصفح. هذا هو السبب في أن أدوات التحايل الجادة تتعب من تقليد مصافحة المتصفح الحقيقي حرفًا بحرف بدلاً من مجرد التشفير بشكل جيد.
-
الاستكشاف النشط
# -
يتصل الرقيب بالخادم الذي استخدمته للتو، لمعرفة ما إذا كان يرد مثل الوكيل.
يطلب الاكتشاف السلبي معرفة كيف تبدو حركة المرور الخاصة بك؛ يسأل الاستكشاف النشط ماذا يفعل خادمك عندما يطرقه غريب. إذا استجاب الخادم لطلب غير مكتمل بطريقة لا يفعلها سوى وكيل معين، يتم تحديده وحجبه، ولا داعي أبدًا لأن تكشف حركة المرور الخاصة بك عن ذلك. الدفاع هو أن يكون الخادم غير قابل للتمييز عن شيء عادي عند الاقتراب بدون الاعتماديات الصحيحة - وهو هدف تصميم وراء Reality وShadowsocks الحديثة على حد سواء.
-
إبطاء السرعة
# -
تعمد إبطاء الاتصال بدلاً من حظره، حتى يصبح من الصعب جدًا استخدامه.
يزداد تفضيل الرقباء له على الحجب المباشر، لأسباب سياسية وليس تقنية: خدمة محجوبة تنتج رسالة خطأ وقصة إخبارية، بينما خدمة لا تحملها سوى لا تنتج سوى مستخدم يلوم هاتفه. كما أنه أصعب بكثير في القياس، حيث أن البطء غامض بطبيعته. تعامل مع خدمة تعمل في كل مكان باستثناء شبكة واحدة، في وقت معين من اليوم، على أنها تبطئ محتمل بدلاً من مصادفة.
-
الحجب المؤكد مقابل الشذوذ
# -
الحجب المؤكد هو الذي حدد فيه القياس الرقمي بشكل إيجابي وجود رقابة؛ الشذوذ هو الذي بدا فيه شيء ما خاطئًا ولكن لم يثبت لماذا.
هذا التمييز هو الفرق بين إحصائية رقابة تستحق الاقتباس وتلك التي تستحق تجاهلها، وكل رقم منشور تقريبًا يمزج بينهما. يعني الحجب المؤكد أن شيئًا حاسمًا قد رأى، عادةً صفحة حظر. يعني الشذوذ أن إجابة DNS اختلفت، أو تم إعادة تعيين الاتصال، أو لم يتطابق الشهادة - وكلها أسبابها الرقابة، وكلها أسبابها أعطال عادية أيضًا. إضافة الاثنين معًا يزيد من الإجمالي، وأحيانًا عدة أضعاف. عندما ترى نسبة حظر بدون ملاحظة عن أي منها تحسب، افترض الأكبر.
-
صفحة الحجب
# -
الصفحة التي يستبدلها مزود الخدمة بالموقع الذي طلبته، لتخبرك أنه غير متاح.
مفيدة بشكل يفوق محتواها، لأنها الشكل الوحيد من أشكال الرقابة الذي يعترف بوجوده. يمكن لمشاريع القياس مطابقة صفحة الحظر المعروفة وتسجيل الحدث كحظر مثبت وليس مشتبهًا به. أولئك الذين يسعون إلى الإنكار قد تحولوا إلى أوقات الانتظار وإعادة الضبط، التي تبدو تمامًا مثل شبكة معطلة — مما جعل تراجع صفحة الحظر يجعل من الصعب حساب الرقابة، وليس نادرًا.
-
جدار الحماية العظيم (GFW)
# -
نظام الفلترة المشترك الذي يعمل على الحدود الدولية للشبكة في الصين.
ليست جدار حماية ولا نظام واحد: مزيج متعدد الطبقات من العبث بنظام DNS، وحظر عناوين IP، وفحص SNI، وبصمة TLS، والاستقصاء النشط والحد من السرعة، المطبق بشكل غير متساوٍ عبر المقاطعات ومقدمي الخدمات ويتغير بشكل متكرر. هناك نتيجتان عمليتان. التقارير التي تفيد بأن أداة 'تعمل في الصين' هي ملاحظات حول شبكة واحدة في لحظة معينة، وليست خصائص للأداة. وهي البيئة التي صُممت معظم تقنيات التحايل ضدها، ولهذا السبب فإن التقنيات التي تبدو مبالغًا فيها في أماكن أخرى هي معيار هناك.
الالتفاف حوله
تقنيات لجعل حركة المرور غير قابلة للتعرف عليها، أو جعلها تشبه شيئًا لا يرغب الرقيب في حظره.
-
التعمية
# -
تغيير شكل حركة المرور على الشبكة بحيث لا تستطيع معدات الفحص تحديد البروتوكول المستخدم.
غالبًا ما توصف بأنها 'تشفير إضافي'، وهو ما يعكس الآلية بشكل خاطئ. التشفير يخفي المحتوى؛ التعمية تخفي الهوية، وهما قريبان من الاستقلالية. WireGuard مشفر بقوة وسهل التعرف عليه — بدء تشغيله له شكل ثابت يمكن للرقابة مطابقته بمجرد النظر. التعمية تضيف حشوًا، أو بيانات عشوائية، أو تقليدًا لبعض البروتوكولات الأخرى، لا شيء منها يجعل حركة المرور أكثر سرية، وكلها تجعل من الصعب تصنيفها. يمكن أن تكون الأداة ممتازة في واحدة وغير مجدية في الأخرى.
-
النقل القابل للتوصيل
# -
طبقة قابلة للتبديل تخفي حركة مرور الأداة، بحيث يمكن استبدال التغطية دون تغيير الأداة.
فكرة معمارية من Tor تبين أنها أكثر أهمية من أي تغطية معينة. تتكيف الرقابة في أسابيع؛ نظام يجب إعادة كتابته في كل مرة يخسر. فصل 'نقل البيانات بشكل آمن' عن 'التصرف كشيء آخر' يعني أن تغطية جديدة يمكن أن تُطرح وفقًا لجدولها الزمني الخاص. عندما تقرأ أن أداة 'تدعم obfs4 وSnowflake'، فهذا هو الآلية التي تُوصف.
-
obfs4
# -
نقل قابل للتوصيل في Tor يجعل حركة المرور تبدو وكأنها لا شيء على الإطلاق — لا بروتوكول يمكن التعرف عليه، ولا استجابة لأي شخص بدون المفتاح الصحيح.
تصميمها يجيب على الاستقصاء النشط بدلاً من الفحص السلبي. لا يبدو جسر obfs4 غير عادي فحسب، بل يرفض الكشف عن نفسه لاتصال لا يمكنه إثبات أنه يعرف سر الجسر بالفعل، لذلك فإن البحث عن الجسور يجد الصمت. الضعف متأصل في هذا النهج: حركة المرور التي تشبه أي بروتوكول معروف هي فئة بحد ذاتها، والرقابة المستعدة لحظر كل ما هو غير معترف به ستقبض عليه. هذا هو المنطق وراء التحول اللاحق نحو تقليد البروتوكولات الحقيقية بدلاً من تجنب جميعها.
-
Shadowsocks
# -
وكيل مشفر خفيف الوزن، صُمم في الأصل في الصين للالتفاف على الجدار الناري العظيم.
ليست VPN، والفرق مهم: فهي تعمل كوكيل للتطبيقات التي تم تكوينها لاستخدامها بدلاً من حمل حركة مرور جهازك بالكامل، لذلك فإن أي شيء غير موجه إليها — وغالبًا بما في ذلك DNS — يستمر في السفر بشكل علني. كما أنها ليست شيئًا واحدًا. كانت الإصدارات المبكرة قابلة للكشف بسبب عدم وجود أي مصافحة؛ الإصدارات الحالية تتوثق لمقاومة الاستقصاء. 'أستخدم Shadowsocks' لا يقول الكثير بدون ذكر أي تنفيذ وأي شفرة.
-
V2Ray وXray
# -
إطار ينقل حركة المرور عبر مجموعة من البروتوكولات والتغطيات، بدلاً من بروتوكول واحد خاص به.
مصدر للارتباك المستمر لأن الاسم يشير إلى منصة، وليس طريقة. قد تكون إعداد V2Ray أو Xray هو VMess عبر WebSocket خلف CDN، أو VLESS مع Reality، أو نقطة نهاية Shadowsocks بسيطة — تكوينات بخصائص اكتشاف مختلفة تمامًا. Xray هو فرع من V2Ray يتصدر الآن في الميزات، بما في ذلك Reality. عندما يقول شخص ما أن الشبكة تحظر V2Ray، اسأل أي نقل كانوا يشغلونه؛ الإجابة عادة ما تفسر ذلك.
-
VMess و VLESS
# -
بروتوكولان للنقل من عائلة V2Ray؛ VLESS هو الأحدث، وقد صمم ليكون أبسط.
يقوم VMess بتشفير البيانات والتحقق من صحتها بنفسه. أما VLESS فلا يقوم بأي منهما، وهذا ليس إغفالاً بل مقصود: فهو يفترض أنه يعمل داخل TLS، الذي يوفر بالفعل كلتا الخاصيتين، ويجنب طبقة التشفير الثانية التي كانت ستجعل VMess قابلاً للتعرف من خلال تحليل حركة المرور. تقليل العمل على مستوى البروتوكول يترك بصمات أقل. ومع ذلك، فإن VLESS بدون أي شيء تحته هو نص عادي.
-
الواقع (XTLS)
# -
تقنية تجعل خادم البروكسي يقدم مصافحة TLS لموقع ويب حقيقي، بحيث يرى الفحص زيارة عادية لذلك الموقع.
كانت الأساليب السابقة تحاكي موقعاً حقيقياً؛ أما الواقع فيستعيره. الاتصال الذي يحاول الفحص دون المفتاح الصحيح يتم تمريره بهدوء إلى الموقع الحقيقي الذي يحاكيه ويحصل على شهادة حقيقية منه، مما يؤكد القصة المزيفة بدلاً من كشفها. هذا يهزم كلاً من بصمة TLS والاستقصاء النشط في آن واحد، ولهذا أصبح التوصية الافتراضية في الشبكات عالية التصفية. ليس سحراً: يجب أن يكون الموقع الواقي مقنعاً لزيارتك، وحجم حركة المرور الذي لا يمكن أن يولده زائر عادي لا يزال إشارة.
-
إخفاء النطاق
# -
إخفاء الوجهة الحقيقية للطلب خلف اسم مزود كبير، من خلال وضع نطاق واحد في مصافحة مرئية وآخر داخل الطلب المشفر.
لعدة سنوات، كانت أقوى تقنية لتجاوز الحجب المتاحة، لأن حظرها يعني حظر منصة سحابية رئيسية بالكامل. أصبحت تاريخية الآن: فقد عطلت الشركات الكبيرة عدم التطابق بين الأسماء الخارجية والداخلية في عام 2018، بعد أن خلصت إلى أنها مسؤولية. من المهم معرفتها لأن الفكرة تتكرر - الواقع هو نسل لنفس البصيرة، أن أفضل قناع هو الذي لا يستطيع الرقيب حظره دون كسر شيء يحتاجه.
-
جسر
# -
نقطة دخول غير مدرجة إلى شبكة مثل Tor، يتم توزيعها بعدد قليل حتى لا يمكن ببساطة إضافتها إلى قائمة الحظر.
يتم نشر مرحلات Tor العامة، مما يجعل حظرها عملاً روتينياً. الجسور موجودة لتكون غير منشورة، وتصبح المشكلة كلها توزيعاً: توزيعها بحرية يجمعها الرقيب مثل أي شخص آخر؛ توزيعها بحذر شديد يجعل من الصعب على من يحتاجونها الحصول عليها. كل نظام توزيع للجسور هو حل وسط بين هذين الفشلَين، ولهذا قد يبدو الحصول على واحد غريباً.
-
نشارة الثلج
# -
نقل Tor يمر عبر متصفحات متطوعة قصيرة العمر تستخدم نفس تقنية مكالمات الفيديو.
ذكاؤها اقتصادي وليس تشفيرياً. المرحل هو علامة تبويب متصفح شخص عادي، تعمل لدقائق، بعنوان سكني لا يختلف عن أي عنوان آخر - لذا لا يوجد قائمة مستقرة للحظر، وحركة المرور هي WebRTC، التي لا يستطيع الرقيب حظرها دون حظر مكالمات الفيديو أيضاً. التكلفة موروثة من هذا التصميم: تستمر الاتصال طالما بقيت علامة تبويب الغريب مفتوحة.
-
فقدان الذاكرةWG
# -
WireGuard معدل يضيف بيانات زائفة وقيم رأسية قابلة للتكوين بحيث لا تتطابق مصافحته مع توقيع WireGuard.
حزمة مصافحة WireGuard الأولى لها حجم ثابت مع أول بايت ثابت - نمط يمكن أن يتطابق معه DPI بقاعدة واحدة، وقد فعلت ذلك عدة دول. يحافظ AmneziaWG على التشفير دون تغيير ويغير فقط الشكل: حزم زائفة قبل المصافحة، بايتات إضافية داخلها، قيم نوع رأسية مختلفة. المشكلة هي أن الطرفين يجب أن يتفقا على كل معلمة، وإعداد خاطئ بدلاً من غير صالح سيتصل بسعادة بينما يحمل البصمة التي كان من المفترض أن تخفيها الحشوة.
-
حزم زائفة (Jc, Jmin, Jmax)
# -
حزم لا معنى لها يرسلها AmneziaWG قبل المصافحة الحقيقية، بحيث تكون أول شيء يراه الرقيب ليس مصافحة.
Jc هو عدد الحزم التي يجب إرسالها؛ Jmin و Jmax تحدد أحجامها العشوائية. الإغراء هو زيادة Jc للسلامة، وهو غريزة خاطئة مرتين: كل حزمة زائفة تضيف زمن استجابة على كل اتصال، ودفعة من الضوضاء العشوائية الموحدة قبل كل جلسة هي نمط بحد ذاته. القيم في الأرقام الفردية المنخفضة مع نطاق حجم واسع تزعج البصمة دون خلق واحدة جديدة. يجب أن يستخدم كلا الطرفين إعدادات متطابقة.
-
رأس الصفحة السحري (S1, S2, H1–H4)
# -
معلمات AmneziaWG التي تقوم بتعبئة حزم المصافحة واستبدال قيم أنواع الرسائل الثابتة الأربعة في WireGuard.
S1 and S2 add bytes to the initiation and response packets; H1 to H4 replace the constants 1, 2, 3 and 4 that identify WireGuard message types. Two constraints get missed constantly. H1 to H4 must all differ from each other, or the peers cannot tell message types apart. And S1 + 56 must not equal S2: WireGuard's initiation is 148 bytes and its response 92, the init longer by exactly 56, so that combination pads the two into being the same size as each other — trading one fixed relationship between the handshake packets for another. What makes either mistake dangerous is that the tunnel comes up and passes traffic regardless.
بروتوكولات VPN
ما يحمل النفق بالفعل. الأمان ومقاومة الحظر خصائص منفصلة، والبروتوكولات الأقوى ليست تلقائيًا الأصعب في الكشف عنها.
-
WireGuard
# -
بروتوكول VPN مبني حول مجموعة صغيرة وثابتة من تقنيات التشفير الحديثة وأقل من أربعة آلاف سطر من الأكواد.
كان خياره المميز هو إزالة الخيارات. لا يوجد تفاوض على التشفير، لذا لا يوجد هجوم هبوط ولا خطأ في التكوين؛ كما لا توجد طريقة لتغيير أي شيء عندما يتقادم أحد هذه الخيارات. ينتج عن هذا التبسيط نقطة ضعفه الوحيدة الحقيقية للشبكات الخاضعة للرقابة — مصافحة متسقة لدرجة أن تحديدها يتطلب قاعدة واحدة فقط. التشفير الممتاز والتخفي الضعيف ليسا متناقضين؛ إنهما مشكلتان مختلفتان.
-
OpenVPN
# -
بروتوكول VPN مفتوح المصدر راسخ، قابل للتكوين بشكل مفرط وقادر على العمل عبر منفذ TCP 443.
أبطأ من WireGuard وأكثر تعقيدًا بشكل ملحوظ، ولكنه لا يزال يُختار عن قصد في حالتين. يمكن جعله يشبه حركة مرور HTTPS العادية على المنفذ الذي يستخدمه HTTPS، وهذا مهم عندما يتم حظر أي شيء آخر. كما يعمل على معدات لن ترى أبدًا تطبيق WireGuard. إن قابليته للتكوين هي حقًا سلاح ذو حدين: نفس المرونة التي تسمح بالتمويه تسمح بنشر أضعف من إعداداته الافتراضية.
-
IKEv2/IPsec
# -
زوج بروتوكولات VPN مضمن في معظم أنظمة التشغيل، معروف بقدرته على البقاء على قيد الحياة عند تغيير الشبكة.
السبب في احتفاظ هاتفك بنفقه عند انتقاله من Wi-Fi إلى بيانات الهاتف المحمول هو عادةً MOBIKE من IKEv2. ضد الرقابة، يكون أداؤه ضعيفًا: فهو يستخدم منافذ UDP ثابتة ومعروفة، وهي من بين أولى الأشياء التي تغلقها شبكة التصفية، وليس لديه أي تمويه خاص به. إنه إعداد افتراضي جيد على شبكة حرة، واختيار ضعيف على شبكة معادية.
-
PPTP
# -
بروتوكول VPN قديم، تم اعتبار تشفيره مكسورًا منذ التسعينيات.
مدرج هنا لأنه لا يزال يُعرض، لا يزال يُهيأ، ولا يزال يُوصف في المقالات على أنه 'سريع'. إنه سريع لأنه بالكاد يفعل أي شيء. يمكن تقليل مصادقته إلى مفتاح DES واحد ويمكن كسره كخدمة. تعامل مع مزود لا يزال يدرج PPTP كميزة كبيان عن ذلك المزود.
-
مصافحة
# -
التبادل الافتتاحي الذي يتفق فيه طرفان على المفاتيح قبل إرسال أي بيانات محمية.
يستحق الفهم لأنه المكان الذي تعمل فيه معظم إجراءات الحجب. تحدث المصافحة بالضرورة قبل إنشاء التشفير، لذا فإن أجزاء منها تكون مرئية بطبيعتها: اسم الموقع في TLS، وأحجام الحزم وأنواع الرسائل في WireGuard، وقائمة التشفير التي تحدد بصمة عميلك. حظر الاتصال في وقت المصافحة رخيص ولا يترك أي أثر في سجلات الخدمة التي كنت تحاول الوصول إليها.
-
تحديد MTU و MSS
# -
أكبر حزمة يمكن أن يحملها الرابط، والتعديل الذي يحافظ على حزم النفق تحته.
سبب أكثر أعراض VPN غرابة: الاتصال يعمل، يتم تحميل المواقع الصغيرة، ثم يتوقف تحميل صفحة واحدة إلى الأبد. يضيف النفق رؤوسًا، لذا فإن الحزمة التي كانت مناسبة للتو لم تعد كذلك؛ إذا تم تصفية الرسالة التي يجب أن تبلغ عن ذلك - وحظر جميع رسائل ICMP عادة ما يكون عادة شائعة - فلن يتعلم المرسل أبدًا، وتتوقف عمليات النقل الكبيرة في صمت. إن تقليل قيمة MTU أو تثبيت MSS يحل المشكلة. حاول القيام بذلك قبل لوم المزود.
التسريبات والخصوصية
الطرق التي لا يزال بها VPN يعمل على كشفك، والمصطلحات التي يستخدمها المزودون لوصف ما يفعلونه ببياناتك.
-
تسريب DNS
# -
جهازك يسأل خادم DNS العادي الخاص بك عن العناوين التي يجب زيارتها أثناء الاتصال بشبكة VPN، لذلك لا يزال الخادم يرى كل موقع تقوم بفتحه.
يتم تشفير حركة المرور، ولكن الأسئلة المتعلقة بها ليست كذلك. لا يستطيع مزود خدمة الإنترنت قراءة الصفحات ولكنه يمتلك قائمة زمنية بما بحثت عنه، وهو ما يمثل نفس المعلومات في معظم الأغراض. يحدث ذلك من خلال قواعد النفق المنفصل، وخوادم DNS IPv6 التي تجاهلها العميل، وميزات نظام التشغيل التي تستعلم عن كل واجهة متاحة في وقت واحد وتستخدم أول من يجيب. لا تفترض شيئًا واختبره.
-
تسريب WebRTC
# -
متصفح يكشف عن عنوان IP الحقيقي الخاص بك من خلال واجهة برمجة التطبيقات التي تجعل مكالمات الفيديو تعمل، بغض النظر عن VPN الخاص بك.
يحتاج WebRTC إلى معرفة عناوينك الحقيقية لتوصيل شخصين مباشرة، لذلك يسأل عنها - ويمكن للصفحة قراءة الإجابة دون إذن ودون أي علامة مرئية. VPN ليس هو المذنب ولا يمكنه منعه: يحدث الكشف داخل المتصفح، فوق النفق. إعدادات المتصفح أو الامتداد يصلحها؛ VPN مختلف لا يفعل ذلك.
-
تسريب IPv6
# -
حركة مرور IPv6 تتجاوز نفقًا يحمل فقط IPv4، مما يعرض عنوانك الحقيقي لأي موقع يمكن الوصول إليه عبر IPv6.
هادئ، لأن كل شيء يبدو أنه يعمل. يدعم كل من شبكتك والموقع IPv6، ولا يقوم VPN الخاص بك بتوجيهه، لذا فإن الاتصال يمر حول النفق ويصل بعنوانك الحقيقي - ولا يبلغ أي خطأ في أي مكان. العميل الذي يتعامل مع هذا إما يحمل IPv6 أو يعطله تمامًا أثناء الاتصال. من لا يفعل أيًا منهما يتسرب افتراضيًا.
-
مفتاح الإيقاف (Kill switch)
# -
قاعدة تمنع كل حركة المرور إذا انقطع VPN، بدلاً من السماح لها بالاستمرار بدون حماية.
بدون واحدة، فإن إعادة الاتصال هي نافذة لحركة مرور غير محمية لن تلاحظها أبدًا، لأن التطبيقات تستمر ببساطة. تختلف الجودة أكثر مما توحي به خانة الاختيار الواحدة: يحتفظ مفتاح تبديل مستوى جدار الحماية حتى لو تم قتل عملية العميل، بينما لا يفعل ذلك منفذ واحد يتم تنفيذه داخل التطبيق، وبعضها لا ينشط إلا بعد أن يلاحظ العميل الانقطاع بدلاً من قبل. اسأل عن أي نوع، ثم اختبره عن طريق إنهاء عملية VPN بدلاً من قطع الاتصال بأدب.
-
النفق المنفصل
# -
إرسال بعض التطبيقات أو الوجهات عبر VPN بينما يستخدم الباقي الاتصال العادي.
مفيد وعرضة للخطأ بشكل روتيني. الفشل الشائع هو نسيان أن DNS ليس تطبيقًا: قد يستمر التطبيق المستبعد من النفق في حل الأسماء من خلاله، أو - وهو أسوأ بكثير - قد يحل تطبيق داخل النفق الأسماء من خلال نظام حل النظام خارجها. عامل أي إعداد نفق منفصل على أنه يتطلب اختبار تسرب بعد ذلك، وليس كإعداد تقوم بتبديله والثقة به.
-
السرية التامة إلى الأمام
# أيضًا: PFS -
استخدام مفاتيح جديدة ومؤقتة لكل جلسة، بحيث لا يؤدي تسجيل حركة المرور اليوم وسرقة مفتاح الخادم غدًا إلى فك تشفيرها.
التهديد الذي يعالجه هو صبور وليس فوريًا: الخصم الذي لا يستطيع كسر تشفيرك الآن يمكنه تخزينه والانتظار حتى يتم الاستيلاء على المفتاح، أو تسريبه، أو في النهاية حسابه. تجعل السرية التامة إلى الأمام هذا الأرشيف عديم القيمة، جلسة واحدة في كل مرة. قياسي في WireGuard وفي TLS الحديث؛ غيابها في تكوين أقدم هو سبب لتغيير التكوين.
-
تطبيق سياسة عدم الاحتفاظ بالسجلات.
# -
ادعاء مقدم الخدمة بأنه لا يحتفظ بسجلات يمكن أن تربط حسابًا بنشاطه.
ادعاء، وليس خاصية، والأسلوب هو حيث يكمن الجوهر. 'لا توجد سجلات نشاط' و 'لا توجد سجلات' تختلف: الأول يسمح بتواقيع الاتصال وحصر البايتات، والتي غالبًا ما تكون كافية لربط مستخدم بجلسة. ما يميز سياسة ذات مغزى هو الأدلة - تدقيق مستقل للبنية التحتية الجارية بدلاً من الوثيقة، أو طلب محكمة لم يتمكن مقدم الخدمة من الإجابة عليه. اقرأ ما هو موعود، وليس العنوان.
-
شهادة عدم وجود طلبات قانونية سرية
# -
بيان يتم تجديده بانتظام يشير إلى أنه لم يتم تلقي أي طلبات قانونية سرية، حيث يفترض أن إزالة البيان تعني ما لا تستطيع الشركة قوله صراحة.
غير مجرب قانونيًا في معظم الأماكن، وأضعف في الممارسة العملية مما يبدو عليه - فالتوقف عن تحديث البيان قد يعني أمرًا قضائيًا سريًا أو مجرد تجاهل للموقع. قيمته تكمن في كونه إشارة عن النية. إذا كنت تعتمد على مثل هذه الشهادة، فاحرص على ملاحظة تاريخ التجديد والتحقق منه فعليًا.
-
التوجيه عبر عدة قفزات
# أيضًا: V, P, N, , م, ز, د, و, ج -
تمرير البيانات عبر اثنين أو أكثر من خوادم VPN بحيث لا تعرف خادم واحد فقط من أنت وما تفعله.
مفيد حقًا ضد تهديد محدد واحد: خادم واحد تعرض للاختراق أو الإجبار. لكنه لا يفعل الكثير ضد مراقب يمكنه مشاهدة طرفي المسار، ولا يفعل شيئًا ضد تتبع المتصفح الذي يحدد معظم الأشخاص. إذا كانت القفزتان تنتميان لنفس المزود ضمن نفس الولاية القضائية، فإن التهديد الذي يدافع عنه لم يتم تقسيمه فعليًا.
-
Tor عبر VPN و VPN عبر Tor
# -
ترتيبان مختلفان لنفس الأداتين، مع عواقب مختلفة.
Tor عبر VPN - VPN أولاً ثم Tor - يخفي عن مزود خدمة الإنترنت أنك تستخدم Tor وهو الترتيب الذي يكون منطقيًا في الأماكن التي تجذب فيها استخدام Tor الانتباه؛ يعرف مزود VPN أنك تستخدم Tor، ولا يرى عقدة دخول Tor عنوانك. أما VPN عبر Tor فهو الترتيب العكسي ونادرًا ما يكون ما يريده الشخص: فهو يعطي المزود هوية مستقرة لحركة مرور Tor الخاصة بك ويكسر افتراضات Tor. إذا لم تكن متأكدًا، فإن الترتيب الأول هو ما تعنيه.
أساسيات الشبكة
المصطلحات التي تظهر باستمرار في سياقات أخرى، والتي يساء فهمها بشكل كبير بطرق مهمة هنا.
-
عنوان IP
# -
الرقم الذي يحدد وجهة حركة المرور على الإنترنت.
يُعامل كأنه هوية، لكنه ليس كذلك تمامًا. تشترك معظم الاتصالات المنزلية في عنوان واحد بين العديد من الأسر، وتشارك معظم الشبكات المحمولة عنوانًا واحدًا بين آلاف المستخدمين، ومعظم العناوين تتغير بمرور الوقت. ما يشير إليه العنوان بشكل موثوق هو الشبكة والمنطقة تقريبًا - وهذا بالضبط ما تعمل عليه قيود الموقع الجغرافي، وما يغيره VPN بالضبط.
-
عنوان IP لمركز البيانات مقابل عنوان IP السكني
# -
ما إذا كان العنوان ينتمي إلى مزود استضافة أو إلى اتصال إنترنت للمستهلك.
التمييز الذي يعتمد عليه الحظر الآن. يتم نشر العناوين في نطاقات من قبل مالكيها، لذلك يمكن لأي شخص معرفة أن الزائر قادم من مزود خدمة سحابية بدلاً من اتصال منزلي - وبما أن العملاء العاديين لا يتصفحون من الخوادم، فهذا إشارة رخيصة للحظر ضد شبكات VPN، ومحركات الكشط والاحتيال على حد سواء. كما أنه السبب في أن VPN يمكن أن يعمل بشكل مثالي ومع ذلك يتم رفضه: لم تكشف حركة المرور الخاصة بك عن أي شيء، فقط أوراق اعتماد العنوان.
-
رقم النظام المستقل (ASN)
# -
معرّف الشبكة التي توجه حركة المرور لصالحها - مزود خدمة الإنترنت، شركة الاستضافة، مؤسسة كبيرة.
الوحدة التي يتم فيها بالفعل حجب الإنترنت وتحليله. العنوان بمفرده لا معنى له تقريبًا؛ ASN خلفه يحدد ما إذا كان مزودًا تركيًا للجوال أو شركة استضافة ألمانية. يختلف الحجب أيضًا حسب ASN داخل بلد واحد، وهذا هو السبب في أن شخصين في نفس المدينة يمكن أن يختلفا تمامًا حول ما إذا كان الموقع محجوبًا، ولماذا تستحق بيانات القياس القراءة لكل شبكة بدلاً من كل بلد.
-
ترجمة NAT من فئة الناقل (CGNAT)
# -
مزود خدمة الإنترنت (ISP) يجعل العديد من العملاء يشتركون في عنوان IP عام واحد بسبب عدم وجود عناوين كافية للجميع.
يشرح لغزين يوميين. السبب في أنك قد تشارك عنوان IP عامًا مع غرباء وتورث حظرًا كسبه أحدهم. والسبب في فشل الاتصالات الواردة - حيث إن استضافة أي شيء أو الاتصال مباشرة بشبكتك المنزلية يحتاج إلى عنوان خاص بك، وخلف تقنية CGNAT لا يوجد عنوان كهذا. تعمل معظم شبكات الهاتف المحمول وحصة متزايدة من الاتصالات المنزلية بهذه الطريقة.
-
البروكسي مقابل VPN
# -
يرسل البروكسي حركة مرور التطبيقات التي تم توجيهيها لاستخدامه؛ بينما يحمل VPN كل ما يرسله الجهاز.
الفرق العملي هو ما يحدث لحركة المرور التي نسيتها. يترك بروكسي المتصفح تطبيقاتك الأخرى واتصالات نظام التشغيل الخاصة بك وDNS الخاص بك يسافرون بشكل طبيعي، ولن يحذرك أي منهم. كما أن البروكسيات غالبًا لا توفر أي تشفير على الإطلاق، وهو ما يكون جيدًا لتغيير موقع ظاهري واضح وغير مفيد للخصوصية. لا يوجد أفضل من الآخر؛ إنهما يجيبان عن أسئلة مختلفة.
-
DNS الذكي
# -
خدمة تقوم بتغيير خطوة تحليل الأسماء فقط لجعل موقع البث يعتقد أنك في مكان آخر، دون توجيه حركة مرور البيانات الخاصة بك.
سريع، لأن الفيديو الخاص بك لا يمر عبر خادم أي شخص آخر، ولا يوفر أي خصوصية على الإطلاق لنفس السبب: يرى مزود خدمة الإنترنت كل اتصال تمامًا كما كان من قبل، ويصل عنوانك الحقيقي إلى الموقع. إنه أداة جغرافية، وليس أداة أمان، ووصفه بأنه 'مثل VPN ولكن أسرع' يتجاهل الجزء المهم.
-
التشفير مقابل التوجيه
# -
يجعل التشفير حركة المرور غير قابلة للقراءة؛ بينما يغير التوجيه المسار الذي تسلكه. يقوم VPN بكلا الأمرين، وهما يحلان مشكلات مختلفة.
إن فصلهما يحل معظم الارتباك حول ما يمكن أن يفعله VPN. يوقف التشفير مزود الشبكة من قراءة المحتوى - لكن HTTPS يفعل ذلك بالفعل لمواقع الويب. يغير التوجيه نقطة الأصل الظاهرة، وهو ما يهزم الحظر الجغرافي ويخفي الوجهة من مزود خدمة الإنترنت. الشيء الجديد الحقيقي الذي يضيفه VPN فوق HTTPS هو في الغالب الثاني. ولا يخفي أي منهما أي شيء من الموقع الذي قمت بتسجيل الدخول إليه.