जो VPN कल तक काम कर रहा था और आज फेल हो गया है, उसे लगभग कभी हैक नहीं किया गया होता — उसे फिंगरप्रिंट किया गया होता है। 2026 में चीन, ईरान और रूस में डीप पैकेट इंस्पेक्शन ही डिफ़ॉल्ट सेंसरशिप टूल है, और आपको रोकने के लिए इसे कुछ भी डिक्रिप्ट करने की ज़रूरत नहीं पड़ती — इसे बस आपके ट्रैफ़िक का आकार, या आप जिस पते पर उसे भेज रहे हैं, वह पहचानना होता है।
यही फ़र्क़ तय करता है कि समाधान क्या होगा। अगर सेंसर ने आपके प्रोटोकॉल को ब्लॉक किया है, तो कोई दूसरा सर्वर कुछ नहीं बदलेगा। अगर उसने IP को ब्लॉक किया है, तो कोई दूसरा प्रोटोकॉल कुछ नहीं बदलेगा। किसी कमर्शियल VPN पर आमतौर पर दोनों की मार पड़ती है, क्योंकि हज़ारों ग्राहक एक ही एड्रेस रेंज और एक ही हैंडशेक सिग्नेचर साझा करते हैं। आपका अपना एंडपॉइंट ही एकमात्र व्यवस्था है जहाँ दोनों पर आपका नियंत्रण होता है। यह गाइड बताती है कि DPI क्या पहचानता है, 2026 में अब भी काम करने वाले पांच प्रोटोकॉल में से कौन-सा किस ब्लॉक का जवाब है, और एक को कैसे तैनात करें।
डीप पैकेट इंस्पेक्शन असल में क्या देखता है
डीप पैकेट इंस्पेक्शन एक भ्रामक नाम है। कोई आधुनिक सेंसर आपका एन्क्रिप्टेड सेशन पढ़ नहीं रहा होता — वह पढ़ ही नहीं सकता। जब पेलोड दिखाई नहीं देता, तब जो कुछ दिखाई देता रहता है, उसी से वह सेशन को वर्गीकृत करता है: पैकेट का आकार, पैकेट-दर-पैकेट का समय अंतराल, शुरुआती हैंडशेक का बाइट पैटर्न, गंतव्य पता और पोर्ट, और जब कुछ इसे कुरेदता है तो कनेक्शन कैसा व्यवहार करता है।
यह काम चार तकनीकें करती हैं, और हर एक किसी अलग जवाबी उपाय के आगे फेल हो जाती है। यह जानना कि आपको किसने पकड़ा, ही पूरा निदान है:
- प्रोटोकॉल फिंगरप्रिंटिंग। हर VPN प्रोटोकॉल का एक पहचाने जाने योग्य शुरुआती हैंडशेक होता है। OpenVPN के पहले पैकेट में एक तय ऑपकोड होता है; WireGuard का हैंडशेक एक 148-byte मैसेज होता है जिसमें एक तय स्थिति पर स्थिर टाइप फ़ील्ड होती है। एक क्लासिफ़ायर बिना कुछ भी डिक्रिप्ट किए, एक ही पैकेट में इनमें से किसी का भी मिलान कर लेता है।
- एक्टिव प्रोबिंग। ग्रेट फ़ायरवॉल की सबसे विशिष्ट चाल। एक संदिग्ध सेशन देखने के बाद, सेंसर बाद में उसी पते से खुद कनेक्ट करता है और उससे एक प्रॉक्सी प्रोटोकॉल में बात करता है। अगर सर्वर प्रॉक्सी की तरह जवाब देता है, तो उसे ब्लॉक कर दिया जाता है — यानी सिर्फ़ TLS जैसा दिखना काफ़ी नहीं है, सर्वर को पूछताछ में भी टिके रहना होता है।
- IP और रेंज ब्लॉकलिस्टिंग। सबसे मोटा-मोटा तरीका, और सबसे आम भी। कमर्शियल VPN होस्ट करने के लिए जानी जाने वाली रेंज को बिना किसी जांच के थोक में ब्लॉक कर दिया जाता है। यही वह चीज़ है जो एक कंज़्यूमर VPN ऐप को रातोंरात ठप कर देती है।
- ब्लॉक करने की बजाय थ्रॉटल करना। ईरान का पसंदीदा तरीका। कनेक्शन ड्रॉप नहीं किया जाता, बल्कि इतना ख़राब कर दिया जाता है कि बेकार हो जाए — जान-बूझकर पैदा किया गया लॉस और लेटेंसी जो TCP कंजेशन कंट्रोल को तोड़ देते हैं। कुछ भी ब्लॉक हुआ नहीं दिखता, इसलिए उपयोगकर्ता अपने ही हार्डवेयर को दोष देते हैं।
आपका अपना VPS एंडपॉइंट ब्लॉकलिस्ट की लहर से क्यों बचा रहता है
सेंसर वाले देशों में कमर्शियल VPN एक संरचनात्मक कारण से फेल होते हैं, जिसे कोई इंजीनियरिंग ठीक नहीं कर सकती: वे सार्वजनिक होते हैं। उनकी एड्रेस रेंज प्रकाशित, स्क्रैप और सूचीबद्ध होती हैं। कोई भी सब्सक्रिप्शन खरीद सकता है, एग्ज़िट पतों को नोट कर सकता है और उन्हें जमा कर सकता है — और सेंसर ठीक यही करते हैं। एक ब्लॉकलिस्ट एंट्री हज़ारों उपयोगकर्ताओं की पहुंच एक झटके में छीन लेती है।
आपके अपने VPS पर चल रहा प्रॉक्सी इसे उलट देता है। आपका एंडपॉइंट एक अकेला अनजान पता है, जो तब तक किसी सूची में नहीं है जब तक कोई उसे ढूंढ न ले, और उसे ढूंढने का मतलब है या तो आपके प्रोटोकॉल को फिंगरप्रिंट करना, या पहले से यह जानना कि कहां देखना है। आपको वह भी मिलता है जो कोई सब्सक्रिप्शन नहीं देती: root। आप प्रोटोकॉल, पोर्ट, ऑब्फ़स्केशन और छद्म डोमेन खुद चुनते हैं, और एक साथ कई चला सकते हैं।
ईमानदार समझौता यह है कि अब ऑपरेटर आप खुद बन जाते हैं। पता कोई और आपके लिए नहीं बदलता, बॉक्स को कोई और पैच नहीं करता, और रात 3 बजे डीमन के मर जाने पर किसी और की नज़र नहीं पड़ती। अगर आपको एक ऐप और एक सपोर्ट डेस्क चाहिए, तो यह ग़लत आर्किटेक्चर है — सेंसरशिप-प्रतिरोधी होस्टिंग पेज प्रोडक्ट की ओर से भी यही समझौता बताते हैं। इसके बदले आपको जो मिलता है, वह एक ऐसा एंडपॉइंट है जिसकी नियति किसी अजनबी के साथ साझा नहीं होती।
सादा WireGuard और OpenVPN, DPI की पकड़ में क्यों आ जाते हैं
दोनों बेहतरीन प्रोटोकॉल हैं, और दोनों को डिज़ाइन से ही पहचानना बेहद आसान है। WireGuard को छिपाव के लिए नहीं, बल्कि क्रिप्टोग्राफ़िक सादगी और गति के लिए ऑप्टिमाइज़ किया गया था: इसका हैंडशेक इनिशिएशन एक तय-लंबाई का मैसेज होता है जिसमें एक स्थिर टाइप बाइट होती है। OpenVPN अपने डिफ़ॉल्ट कॉन्फ़िगरेशन में उतना ही विशिष्ट है। दोनों में से किसी को भी न पहचाने जाने योग्य बनाने का इरादा नहीं था — यह बस डिज़ाइन का लक्ष्य ही नहीं था।
इससे ये ख़राब विकल्प नहीं बन जाते, जैसा हमारी WireGuard बनाम OpenVPN तुलना साफ़ तौर पर कहती है। अपने ISP से निजता के लिए, अपनी मशीनों को आपस में जोड़ने के लिए, या ऐसे देश में VPN के लिए जहां DPI नहीं होता, वहां WireGuard ही सही जवाब है और हमारी WireGuard सेटअप गाइड पूरी तरह लागू होती है। साफ़ शब्दों में कहें तो: WireGuard निजता की समस्या हल करता है; यह सेंसरशिप की समस्या हल नहीं करता।
दोनों के लिए ऑब्फ़स्केशन लेयर मौजूद हैं — OpenVPN के लिए रैपर, और WireGuard के हैंडशेक को रैंडम बनाने वाले फ़ोर्क। ये काम करते हैं, और ऐसे सेंसर के सामने जो सिर्फ़ फिंगरप्रिंटिंग करता है, ये काफ़ी हो सकते हैं। लेकिन जहां एक्टिव प्रोबिंग होती है, वहां ये कमज़ोर पड़ जाते हैं, क्योंकि हैंडशेक को गड्डमड्ड करने भर से सर्वर को यह नहीं सिखाया जा सकता कि जब कोई सेंसर कनेक्ट होकर सवाल पूछे, तो कैसे विश्वसनीय ढंग से पेश आए। अगले पांच प्रोटोकॉल ठीक इसी काम के लिए बनाए गए थे।
वे पांच प्रोटोकॉल जो 2026 में भी काम करते हैं
कोई एक सबसे अच्छा प्रोटोकॉल नहीं है — सिर्फ़ वही सबसे अच्छा होता है जो आपके सामने मौजूद ब्लॉकिंग तरीके और आपके नेटवर्क के हिसाब से फ़िट बैठे। ये पांच आज तैनात करने लायक हैं, हर एक का अपना सेटअप पेज है।
| प्रोटोकॉल | यह कैसे छिपता है | पोर्ट | RAM | सबसे कारगर किसके लिए |
|---|---|---|---|---|
| VLESS + REALITY | किसी असली साइट का TLS 1.3 हैंडशेक उधार लेता है — न अपना कोई सर्टिफ़िकेट, न अपना कोई डोमेन | 443 TCP | ~50 MB | चीन, ईरान, रूस — 2026 का डिफ़ॉल्ट विकल्प |
| Shadowsocks-2022 | AEAD-2022 सिफर; एक्टिव प्रोबिंग और रीप्ले का प्रतिरोध करता है | कोई भी उच्च TCP/UDP | ~30 MB | चीन; कम-पावर और पुराने डिवाइस |
| Hysteria2 | Salamander ऑब्फ़स्केशन के साथ QUIC/UDP; साधारण HTTP/3 जैसा दिखता है | 443 UDP | ~40 MB | थ्रॉटल की गई, लॉसी लिंक्स — विशेष रूप से ईरानी मोबाइल |
| V2Ray / VMess | TLS पर WebSocket, किसी CDN के पीछे फ़्रंट किया जा सकता है ताकि ओरिजिन कभी नज़र न आए | WS+TLS के ज़रिए 443 | ~60 MB | ओरिजिन IP छिपाना; मौजूदा VMess कॉन्फ़िग |
| MTProto | Fake-TLS सीक्रेट; एक साधारण HTTPS साइट जैसा दिखावा करता है | 443 TCP | ~20 MB | ख़ास तौर पर Telegram के लिए, ईरान और रूस में |
VLESS+REALITY ही सबसे पहले अपनाने लायक है। इसकी चाल सामान्य TLS छद्मवेश से अलग है: अपना कोई सर्टिफ़िकेट पेश करने के बजाय, यह किसी असली, लोकप्रिय वेबसाइट के असली TLS हैंडशेक को रिले करता है। एक एक्टिव प्रोब को एक असली डोमेन के लिए एक प्रामाणिक सर्टिफ़िकेट चेन दिखती है, क्योंकि उसे वही दिखाया जा रहा होता है। न कोई सेल्फ़-साइन्ड सर्टिफ़िकेट फ़्लैग करने को, न कोई अस्पष्ट डोमेन जोड़ने को।
Shadowsocks-2022 सबसे हल्का और सबसे परखा हुआ है; इसके सिफर सूट ने वे रीप्ले और प्रोबिंग कमज़ोरियां बंद कर दीं जिनकी वजह से पुराने वर्ज़न पकड़ में आ जाते थे। Hysteria2 ब्लॉकिंग नहीं बल्कि थ्रॉटलिंग का जवाब है — इसका कंजेशन कंट्रोल जान-बूझकर लॉसी बनाई गई लिंक्स के लिए ही बनाया गया है। CDN के पीछे V2Ray ओरिजिन छिपा देता है: सेंसर को एक बड़े CDN की ओर जाता ट्रैफ़िक दिखता है, आपकी ओर नहीं। एक MTProto प्रॉक्सी ठीक एक ही समस्या हल करता है, लेकिन Telegram एक्सेस को इतनी सफ़ाई से हल करता है कि इसे बाकी जो कुछ भी आप तैनात करें, उसके साथ चलाना उचित है।
जुरिस्डिक्शन और IP चुनना
दो गुण मायने रखते हैं और वे एक-दूसरे के खिलाफ़ खिंचते हैं: एड्रेस रेंज कितनी ताज़ा है, और सर्वर आपसे कितनी दूर है। आमतौर पर ताज़गी जीतती है। ऐसी रेंज पर एक नया पता जो कभी सर्कमवेंशन के लिए इस्तेमाल नहीं हुआ, उस थोक ब्लॉक को पार कर जाता है जो ज़्यादातर लोगों को रोक देता है, और किसी भी प्रोटोकॉल की सफ़ाई पहले से सूचीबद्ध पते को वापस नहीं ला सकती। यही वजह है कि रीसाइकल किए गए "अनामी VPN" पते काम करना बंद कर देते हैं — वे आपके किराए पर लेने से पहले ही जल चुके होते हैं।
लेटेंसी दूसरे नंबर पर मायने रखती है। हम जिन सात जुरिस्डिक्शन में काम करते हैं, उनमें से नीदरलैंड्स, रोमानिया और मोल्दोवा ईरान, रूस और मध्य एशिया के उपयोगकर्ताओं के सबसे नज़दीक बैठते हैं, और नीदरलैंड्स AMS-IX के ज़रिए विश्वस्तरीय पीयरिंग भी जोड़ता है। आइसलैंड, पनामा और स्विट्ज़रलैंड और दूर हैं लेकिन कानूनी रूप से ज़्यादा मज़बूत — पनामा का ज़्यादातर पश्चिमी देशों के साथ कोई पारस्परिक कानूनी सहायता संधि (mutual legal assistance treaty) नहीं है और न ही डेटा रिटेंशन की कोई बाध्यता, और आइसलैंड में तो अनिवार्य रिटेंशन है ही नहीं।
सर्कमवेंशन एंडपॉइंट के लिए सलाह बेलाग है: पहले लेटेंसी और रेंज की ताज़गी देखकर चुनें, जुरिस्डिक्शन बाद में। आप अपना ही ट्रैफ़िक इधर से उधर भेज रहे हैं, ऐसा कंटेंट होस्ट नहीं कर रहे जो टेकडाउन खींचे, इसलिए यहां कानूनी प्रोफ़ाइल उतनी मायने नहीं रखती जितनी पब्लिशिंग के लिए रखती है। लोकेशंस पेज पर सातों की तुलना करें, या जुरिस्डिक्शन सिलेक्टर और हमारी जुरिस्डिक्शन गाइड के साथ ट्रेड-ऑफ़ को समझें। हर सर्वर के साथ एक डेडिकेटेड IPv4 आता है जो सिर्फ़ आपका होता है — साझा पता पूरी बात की तह ही खोद देगा।
सेंसर वाले देश से सर्वर के लिए भुगतान करना
यहीं पर ज़्यादातर गाइड चुपचाप बेकार साबित होने लगती हैं, क्योंकि यही वह कदम है जो असल में फेल होता है। ईरान या रूस में, कार्ड प्रोसेसर होस्ट तक ऑर्डर पहुंचने से पहले ही प्रतिबंधों (sanctions) के आधार पर उसे अस्वीकार कर देते हैं, और मुख्यधारा के प्रोवाइडर ऐसे पहचान दस्तावेज़ मांगते हैं जिन्हें न सौंपने की आपके पास ठोस वजहें हो सकती हैं। अगर चेकआउट पूरा ही न हो सके, तो कोई भी तकनीकी गाइड बेकार है।
क्रिप्टो ही वह रास्ता है जो टिका रहता है, और यही वजह है कि नो-KYC होस्टिंग और सेंसरशिप सर्कमवेंशन आख़िर में एक ही प्रोडक्ट बन जाते हैं: बीच में लेन-देन ठुकराने वाला कोई बैंक नहीं, फेल होने वाली कोई पहचान जांच नहीं। हम Bitcoin, Monero, Ethereum, Litecoin, TRON, Solana और Tether को ERC-20 या TRC-20 नेटवर्क, दोनों में से किसी पर भी स्वीकार करते हैं। Monero कोई सार्वजनिक ट्रांज़ैक्शन ग्राफ़ नहीं छोड़ता जो आपकी फंडिंग को आपके सर्वर से जोड़े, और हमारा Monero वॉकथ्रू इसे चरण-दर-चरण समझाता है; TRC-20 पर USDT एक व्यावहारिक विकल्प है, जिसमें फ़ीस कम है और क्षेत्रीय लिक्विडिटी आसान। एक छोटा VPS $7.50 प्रति माह से शुरू होता है।
अपने VPS पर VLESS + REALITY एंडपॉइंट तैनात करना, चरण-दर-चरण
एक खाली Debian या Ubuntu सर्वर पर यह तैनाती लगभग पंद्रह मिनट लेती है। आगे इसकी रूपरेखा दी गई है; VLESS+REALITY पेज पर पूरे कमांड मिलते हैं।
- पहले सर्वर को सुरक्षित करें। सिर्फ़ की (key) से SSH, पासवर्ड ऑथेंटिकेशन बंद, और एक फ़ायरवॉल जो केवल वही एक्सपोज़ करने दे जिसे आप एक्सपोज़ करना चाहते हैं। प्रॉक्सी लाइव होने से पहले ऐसा करें — हमारी फ़र्स्ट-आवर हार्डनिंग चेकलिस्ट इसका संक्षिप्त संस्करण है, और यहां यह किसी सामान्य सर्वर की तुलना में कहीं ज़्यादा मायने रखती है।
- Xray कोर और एक पैनल इंस्टॉल करें। 3x-ui पैनल Xray को एक वेब इंटरफ़ेस में लपेट देता है और इसे एक ही इंस्टॉलर कमांड से लगाया जा सकता है। इसे localhost से बांधें और इसे एक्सपोज़ करने के बजाय SSH टनल के ज़रिए एक्सेस करें — किसी खुले पोर्ट पर एडमिनिस्ट्रेशन पैनल खुद अपने-आप में एक फिंगरप्रिंट है।
- इनबाउंड बनाएं। पोर्ट 443 पर प्रोटोकॉल VLESS और सिक्योरिटी REALITY के साथ एक इनबाउंड जोड़ें। असली वज़न वाला फ़ैसला छद्म
SNIका होता है: ऐसी लोकप्रिय HTTPS साइट चुनें जो सेंसर वाले नेटवर्क के अंदर से पहुंच योग्य और अनब्लॉक्ड हो। अगर आपका छद्म डोमेन खुद ही ब्लॉक है, तो उसकी ओर जाने वाला आपका ट्रैफ़िक असामान्य लगेगा और आपने चीज़ों को और बिगाड़ दिया होगा। - क्लाइंट लिंक इम्पोर्ट करें। पैनल एक
vless://शेयर लिंक और पूरा कॉन्फ़िगरेशन ले जाने वाला एक QR कोड जारी करता है। इसे Windows पर v2rayN में, Android पर v2rayNG में, iOS पर Streisand या FoXray में, या कहीं भी sing-box में इम्पोर्ट करें — न कोई क्लाइंट सर्टिफ़िकेट, न कोई कॉन्फ़िग फ़ाइल जिसमें कोई सीक्रेट रहे अगर किसी डिवाइस की जांच हो। - बाहर से जांचें। किसी ऐसे नेटवर्क से, जो सर्वर नहीं है, पुष्टि करें कि एंडपॉइंट आपके चुने हुए SNI के लिए एक सामान्य TLS हैंडशेक का जवाब देता है — पते के खिलाफ़ एक
curl -sI, जिसमें SNI उसी पर resolve हो, काफ़ी है। अगर यह आपको एक साधारण HTTPS साइट जैसा लगता है, तो यह किसी प्रोब को भी वैसा ही लगेगा।
ज़रूरत पड़ने से पहले ही एक फ़ॉलबैक जोड़ें। जब सब कुछ ठीक चल रहा हो, तब दूसरे पोर्ट पर दूसरा प्रोटोकॉल लगाने में दस मिनट लगते हैं, लेकिन किसी एक्टिव ब्लॉक के पीछे से यह मुश्किल या नामुमकिन हो जाता है। 443 TCP पर REALITY के साथ 443 UDP पर Hysteria2 एक स्वाभाविक साथी है — अलग ट्रांसपोर्ट, अलग पोर्ट, अलग फ़ेल्योर मोड। दोनों शेयर लिंक अपने डिवाइस पर रखें ताकि रिकवरी सिर्फ़ क्लाइंट-साइड स्विच भर रह जाए।
बॉक्स को इस तरह हार्डन करें कि प्रॉक्सी खुद ही लीक न बन जाए
एक काम करता हुआ प्रॉक्सी और एक सुरक्षित प्रॉक्सी, दो अलग चीज़ें हैं। एंडपॉइंट को अब आपकी हर मंज़िल का पता है, और यह उस पोर्ट पर एक्सपोज़्ड है जिसका पता आपने अपने ही डिवाइसों को दे रखा है।
- सिर्फ़ वही एक्सपोज़ करें जिसे करना ज़रूरी है। प्रॉक्सी पोर्ट, और SSH। पैनल, मेट्रिक्स और डेटाबेस localhost पर ही रहने चाहिए, और सिर्फ़ टनल के ज़रिए ही पहुंच योग्य हों।
- वे लॉग बंद करें जिनकी ज़रूरत नहीं। Xray और ज़्यादातर प्रॉक्सी डीमन डिफ़ॉल्ट रूप से हर कनेक्शन को डिस्क पर दर्ज करते हैं। किसी सर्कमवेंशन एंडपॉइंट पर यही फ़ाइल सर्वर की सबसे संवेदनशील चीज़ होती है।
- को-लोकेट न करें। उसी बॉक्स पर कोई निजी वेबसाइट या मेल सर्वर चलाने से बचें। हर अतिरिक्त सेवा एक और फिंगरप्रिंट है, एक और सर्टिफ़िकेट है, एंडपॉइंट को आपसे जोड़ने का एक और तरीका है।
- सावधानी से एडमिनिस्टर करें। जिस सेंसर वाले नेटवर्क से बचने की कोशिश कर रहे हैं, उसी से SSH के ज़रिए सर्वर तक पहुंचना नेटवर्क लेयर पर आपके असली पते को उससे जोड़ देता है। सर्वर OpSec इस अनुशासन को ठीक से समझाता है, और यही वह हिस्सा है जिसे लोग छोड़ देते हैं।
- इसे पैच्ड और उबाऊ रखें। बिना निगरानी वाले सिक्योरिटी अपडेट, कुछ भी अनोखा इंस्टॉल न करना, कोई छोड़ा हुआ टेस्ट कॉन्फ़िगरेशन सुनते हुए न छूटे।
जब IP जल जाए
मान लीजिए कि ऐसा होगा ही। एक सावधान व्यक्ति के इस्तेमाल किया गया एंडपॉइंट लंबे समय तक चल सकता है; एक ग्रुप चैट में चालीस लोगों के साथ साझा किया गया एंडपॉइंट नहीं चलेगा। जवाब सीधा-सादा है: एक नए सर्वर से वही प्रोटोकॉल टेस्ट करके पुष्टि करें कि ब्लॉक एड्रेस-स्तर पर है, किसी दूसरे जुरिस्डिक्शन में दोबारा तैनात करें, अपने डिवाइस पर नया शेयर लिंक दोबारा इम्पोर्ट करें।
क्योंकि पहले सर्वर से कभी कोई पहचान नहीं जुड़ी थी, इसलिए कुछ भी नए पते को पुराने से नहीं जोड़ता — यही नो-KYC का व्यावहारिक फ़ायदा है, जिसे आमतौर पर एक वैचारिक रुख़ बताया जाता है, पर असल में यह एक ऑपरेशनल फ़ायदा है। साथ ही जो चीज़ बदलने लायक है, वह है वह शेयरिंग आदत जिसने इसे जलाया। पते स्क्रीनशॉट और ग्रुप चैट के ज़रिए फैलते हैं, और सेंसर भी वही चैनल पढ़ते हैं। अगर आप दूसरे लोगों को सपोर्ट करते हैं, तो हर एक को अपनी अलग क्रेडेंशियल दें ताकि एक कॉम्प्रोमाइज़्ड यूज़र को बाकी सब कुछ फिर से बनाए बिना हटाया जा सके।
आठ ग़लतियां जो एक हफ़्ते के भीतर एंडपॉइंट को ब्लॉक करवा देती हैं
- रीसाइकल की गई एड्रेस रेंज इस्तेमाल करना। सबसे सस्ते सर्वर अक्सर उन रेंज पर बैठे होते हैं जो सालों से सर्कमवेंशन ट्रैफ़िक ढो रही होती हैं। ताज़गी ही असल में वह चीज़ है जो आप ख़रीद रहे हैं।
- ऐसा छद्म SNI चुनना जो स्थानीय रूप से ब्लॉक है। REALITY तभी काम करता है जब वह साइट, जिसकी नकल की जा रही है, ऐसी हो जिसकी ओर आपका नेटवर्क सामान्य ट्रैफ़िक देखता हो। पहले से सेंसर की गई किसी चीज़ की नकल करना, बिल्कुल भी छद्मवेश न रखने से भी बुरा है।
- मैनेजमेंट पैनल को किसी सार्वजनिक पोर्ट पर चलाना। किसी खुले पोर्ट पर 3x-ui का लॉगिन पेज, सर्वर को उस किसी भी व्यक्ति के लिए प्रॉक्सी के रूप में पहचान देता है जो उसे स्कैन करे, और स्कैन करना सस्ता है।
- एक एंडपॉइंट को एक बड़े समूह के साथ साझा करना। ट्रैफ़िक की मात्रा असामान्य हो जाती है, और पता जिस भी चैनल से साझा किया गया हो, वहां से लीक हो जाता है।
- वर्बोज़ लॉग चालू रखना। एक शाम की डीबगिंग के लिए उपयोगी, उसके बाद हर दिन एक देनदारी।
- ब्लॉक होने के बाद उसी पते का दोबारा इस्तेमाल करना। एक बार सूचीबद्ध हो जाने पर, कोई पता शायद ही वापस लौटता है। इंतज़ार करने के बजाय दोबारा तैनात करें।
- सिर्फ़ एक ही प्रोटोकॉल चलाना। यह एक ऐसा सिंगल पॉइंट ऑफ़ फ़ेल्योर है जिसे आप सिर्फ़ उसी ब्लॉक के पीछे से ठीक कर सकते हैं जिससे आप बचने की कोशिश कर रहे हैं।
- सर्वर बदलना पर क्रेडेंशियल न बदलना। तैनातियों में वही कीज़, पोर्ट और पहचानकर्ता ढोते रहना, उसी सह-संबंध (correlation) को फिर से बना देता है जिसे आपने अभी-अभी तोड़ा था।
क्या अपनी प्रॉक्सी चलाना कानूनी है, और हम क्या लॉग करते हैं
हमारी तरफ़ से जवाब सीधा है। सर्वर किराए पर लेना और उस पर प्रॉक्सी चलाना, हम जिन सातों जुरिस्डिक्शन में काम करते हैं, उन सभी में कानूनी है। सर्कमवेंशन सॉफ़्टवेयर एक साधारण सॉफ़्टवेयर है, जिसे पत्रकार और शोधकर्ता रोज़ इस्तेमाल करते हैं। हम ट्रैफ़िक, कनेक्शन या DNS को लॉग नहीं करते, हम पेलोड की जांच नहीं करते और प्रोटोकॉल को थ्रॉटल नहीं करते। VPS एक खाली Linux बॉक्स है जिस पर पूरा root है; उस पर क्या चलता है और वह किससे कनेक्ट होता है, यह आपको दिखता है, हमें नहीं।
जिस हिस्से का जवाब हम नहीं दे सकते, वही वह हिस्सा है जो आपके लिए सबसे ज़्यादा मायने रखता है। डीप पैकेट इंस्पेक्शन इस्तेमाल करने वाले कई देश उपयोगकर्ता के पक्ष में भी सर्कमवेंशन को नियंत्रित करते हैं, और कनेक्ट करने वाले व्यक्ति का जोखिम स्थानीय कानून का सवाल है, जिस पर सलाह देने की क्षमता किसी होस्टिंग प्रोवाइडर के पास नहीं होती। हम आपको बता सकते हैं कि सर्वर पर क्या होता है; हम यह नहीं बता सकते कि आप जहां बैठे हैं वहां क्या होगा।
यह भी उतनी ही साफ़गोई से बताना ज़रूरी है कि यह आर्किटेक्चर आपको क्या नहीं देता। एक निजी प्रॉक्सी सेंसरशिप को मात देती है — यह आपको उस विरोधी के सामने गुमनाम नहीं बनाती जो कनेक्शन के दोनों छोर देख सकता हो। आपके एंडपॉइंट में आने-जाने वाले ट्रैफ़िक को सिर्फ़ टाइमिंग के आधार पर भी जोड़ा (correlate) जा सकता है, और सर्वर का पता आपके नेटवर्क को पता होता है। अगर आपका थ्रेट मॉडल कोई ऐसा राज्य है जो आपको ख़ास तौर पर निशाना बनाकर जांच कर रहा है, न कि कोई फ़िल्टर जो सामान्य रूप से आपको ब्लॉक कर रहा है, तो आपको Tor और उसका मल्टी-हॉप डिज़ाइन चाहिए, न कि सिंगल-हॉप प्रॉक्सी। टूल को असली ख़तरे से मिलाना ही निजता और निजता के भ्रम के बीच का फ़र्क़ है।