आपको कौन-सा VPN प्रोटोकॉल चुनना चाहिए?
पाँच सवाल, फिर सीधा जवाब — इसमें यह भी कि “आपको स्टेल्थ वाला नहीं चाहिए”।
इस्तेमाल करें
tool.proto.p.wireguard.name
आजकल का डिफ़ॉल्ट। छोटा, ऑडिट किया हुआ कोडबेस, तय आधुनिक क्रिप्टोग्राफ़ी, और इतना तेज़ कि यह शायद ही कभी अड़चन बनता है।
- आपके नेटवर्क पर कुछ भी VPN ट्रैफ़िक नहीं रोक रहा, इसलिए छिपाव की क़ीमत चुकाने की कोई वजह नहीं। WireGuard आजकल का डिफ़ॉल्ट है और आम तौर पर आपकी अड़चन नहीं बनेगा।
दूसरा विकल्प · tool.proto.p.openvpn.name
होटलों और सम्मेलनों के उन नेटवर्कों के लिए TCP/443 पर OpenVPN बचाकर रखें जो सिर्फ़ वेब ट्रैफ़िक चलने देते हैं। यह धीमा है, पर ऐसे नेटवर्कों पर अक्सर यही अकेला जुड़ पाता है।
JaguarVPN पर
Umbra JaguarVPN का डिफ़ॉल्ट है और यहाँ सही जवाब भी — पूरी लाइन रफ़्तार के हिसाब से बना, हर सत्र में नई कुंजियाँ, और ऐसा किल स्विच जो गड़बड़ी में बंद हो जाता है। स्टेल्थ विकल्प MIRAGE भी तेज़ है, पर जो नेटवर्क आपको छान नहीं रहा वहाँ सीधा रास्ता ही छोटा है, और जिस कनेक्शन को कोई देख ही नहीं रहा उसे भेस पहनाना ऐसी समस्या सुलझाना है जो आपको है ही नहीं।
Umbra कैसे काम करता है →सबकी आमने-सामने तुलना करें
tool.proto.p.wireguard.name
आजकल का डिफ़ॉल्ट। छोटा, ऑडिट किया हुआ कोडबेस, तय आधुनिक क्रिप्टोग्राफ़ी, और इतना तेज़ कि यह शायद ही कभी अड़चन बनता है।
- मुख्यधारा के विकल्पों में लगातार सबसे तेज़, और लिंक टूटने के बाद फुर्ती से दोबारा जुड़ता है
- क़रीब 4,000 लाइन कोड — इतना छोटा कि उसकी ढंग से समीक्षा हो सकी है
- फ़ोन की बैटरी के साथ शानदार व्यवहार — जब आप ख़ाली हैं, तब यह भी ख़ाली रहता है
- डीप-पैकेट इंस्पेक्शन के लिए पहचानना बेहद आसान: इसकी हैंडशेक अलग है और कोई भेस भी नहीं
- सिर्फ़ UDP, इसलिए जो नेटवर्क सिर्फ़ TCP/443 चलने देता है वह इसे पूरी तरह रोक देता है
- हर क्लाइंट को एक स्थिर आंतरिक पता देता है, जिसे प्रदाताओं को नज़रअंदाज़ करने के बजाय ध्यान में रखकर डिज़ाइन करना पड़ता है
इसे तब छोड़ दें जब आप जिस नेटवर्क पर हैं वह सक्रिय रूप से VPN ट्रैफ़िक ढूँढ़कर रोकता है.
tool.proto.p.openvpn.name
बीस साल पुराना जमा-जमाया विकल्प। WireGuard से धीमा और भारी, पर यह TCP पर चलता है — और कभी-कभी बस यही मायने रखता है।
- दुनिया के लगभग हर प्लैटफ़ॉर्म, राउटर फ़र्मवेयर और उपकरण पर चलता है
- TCP पोर्ट 443 पर यह उन नेटवर्कों को पार कर लेता है जो सिर्फ़ वेब ट्रैफ़िक चलने देते हैं
- ख़ूब ऑडिट किया गया, और हर नेटवर्क प्रशासक इसे समझता है
- WireGuard से साफ़-साफ़ धीमा, ख़ासकर मामूली हार्डवेयर पर
- TCP मोड में «मेल्टडाउन» होता है: एक भरोसेमंद प्रोटोकॉल के भीतर दूसरा भरोसेमंद प्रोटोकॉल दो-दो बार दोबारा भेजता है, और नुक़सान वाली लिंक पर थ्रूपुट ढह जाता है
- जाँच में अब भी पहचाना जाता है — पोर्ट 443 पर चलना और HTTPS जैसा दिखना एक बात नहीं है
इसे तब छोड़ दें जब आपके पास WireGuard चलाने वाला क्लाइंट है और UDP कुछ भी नहीं रोक रहा.
tool.proto.p.ikev2.name
मोबाइल का विशेषज्ञ। इसकी सबसे बड़ी ख़ूबी यह है कि नेटवर्क बदलने पर भी सुरंग टूटती नहीं।
- वाई-फ़ाई से मोबाइल डेटा पर जाते समय MOBIKE सत्र को ज़िंदा रखता है
- iOS, macOS और Windows में पहले से मौजूद, इसलिए किसी बाहरी क्लाइंट की ज़रूरत नहीं
- तेज़, और सुरंग टूटने के बाद लगभग तुरंत दोबारा जुड़ जाता है
- तय और जाने-पहचाने UDP पोर्ट (500 और 4500) इस्तेमाल करता है, जिन्हें सख़्त नेटवर्क सबसे पहले रोकते हैं
- कोई छिपाव नहीं, बिल्कुल नहीं
- अलग-अलग विक्रेताओं में लागू करने की गुणवत्ता बहुत अलग-अलग है
इसे तब छोड़ दें जब आपको ऐसे नेटवर्क से गुज़रना है जो पोर्ट के आधार पर छानता है.
tool.proto.p.stealth.name
यह एक प्रोटोकॉल से ज़्यादा एक श्रेणी है: ऐसे डिज़ाइन जिनका मक़सद यही है कि ट्रैफ़िक विश्लेषण को रोकने लायक़ कुछ मिले ही नहीं। जहाँ ख़ुद VPN ही छाने जा रहे हों, वहाँ यही चाहिए।
- उन नेटवर्कों से पार निकल जाता है जो पारंपरिक VPN ट्रैफ़िक पहचानकर गिरा देते हैं
- बेहतर डिज़ाइन सक्रिय जाँच में भी टिकते हैं, जहाँ सेंसर ख़ुद संदिग्ध सर्वर से जुड़कर देखता है कि वह क्या जवाब देता है
- देश-स्तर की छानबीन में आमतौर पर यही अकेला चलता है
- परंपरागत रूप से धीमा, कभी-कभी बहुत ज़्यादा — पुराने डिज़ाइन छिपाव की क़ीमत चक्करों और ओवरहेड में चुकाते हैं, हालाँकि आज के बेहतर डिज़ाइन यह फ़ासला काफ़ी हद तक पाट चुके हैं
- जितने ज़्यादा पुर्ज़े, उतना ही ज़्यादा कुछ बिगड़ने को
- जो नेटवर्क छान ही नहीं रहा वहाँ बेकार है, वहाँ यह सिर्फ़ लागत है
इसे तब छोड़ दें जब आपके नेटवर्क पर कुछ भी VPN नहीं रोक रहा — तब यह अतिरिक्त तामझाम कुछ नहीं देता.
tool.proto.p.legacy.name
पुराना पड़ चुका। यहाँ इसलिए है कि «क्या मुझे PPTP इस्तेमाल करना चाहिए?» का जवाब दो-टूक रहे।
- बहुत पुराने उपकरणों में मिलता है
- PPTP की एन्क्रिप्शन 2012 से व्यावहारिक रूप से तोड़ी जा सकती है और कोई सार्थक सुरक्षा नहीं देती
- L2TP/IPsec धीमा है, दोहरा एनकैप्सुलेशन करता है और लगभग हर जगह रोका जाता है
- मौजूदा ऑपरेटिंग सिस्टमों में दोनों बड़े पैमाने पर बंद कर दिए गए हैं या हटा दिए गए हैं
इसे तब छोड़ दें जब हमेशा — सिवाय तब जब कोई पुराना उपकरण कोई विकल्प ही न छोड़े; और तब यह मान कर चलिए कि आपका ट्रैफ़िक पढ़ा जा सकता है.
सवाल के पीछे का सवाल
«सबसे अच्छा VPN प्रोटोकॉल» वाला क़रीब हर लेख चार प्रोटोकॉल को एक चार्ट में रैंक करता है और एक विजेता घोषित कर देता है। यह ढाँचा एक ख़ास तरीक़े से ग़लत है: ये प्रोटोकॉल एक ही धुरी पर होड़ ही नहीं कर रहे। WireGuard, OpenVPN से तेज़ है और हमेशा रहेगा। OpenVPN उस होटल नेटवर्क से पार निकल जाता है जो UDP गिरा देता है, और WireGuard नहीं निकलता। इनमें से कोई तथ्य दूसरे को नहीं हराता, क्योंकि वे अलग-अलग सवालों के जवाब हैं।
इसलिए ऊपर वाला सुझावकर्ता सबसे पहले यह पूछता है कि आप किस नेटवर्क पर हैं, और बाक़ी सब को समायोजन मानता है। व्यवहार में एक ही फ़र्क़ ज़्यादातर बात तय कर देता है: आप जहाँ हैं वहाँ कुछ VPN ट्रैफ़िक को सक्रिय रूप से रोक रहा है या नहीं? अगर नहीं, तो तेज़ वाला लीजिए और आगे मत सोचिए। अगर हाँ, तो कितनी भी रफ़्तार काम नहीं आएगी, क्योंकि कनेक्शन बनेगा ही नहीं।
ये चार विकल्प असल में किस काम के हैं
WireGuard — ज़्यादातर लोगों का डिफ़ॉल्ट
छोटा, आधुनिक और तेज़। OpenVPN की लाखों पंक्तियों के मुक़ाबले क़रीब चार हज़ार पंक्तियों का कोड — और यह मायने रखता है, क्योंकि यह ऐसा कोडबेस है जिसे एक इंसान सचमुच जाँच सकता है। यह साइफ़र सूट पर मोल-भाव नहीं करता; यह आधुनिक प्रिमिटिव का एक ही सेट इस्तेमाल करता है और इसमें डाउनग्रेड का कोई रास्ता नहीं, जिससे हमलों की एक पूरी श्रेणी ही मिट जाती है।
इसकी कमज़ोरी यह है कि इसे पहचानना बहुत आसान है। इसके हैंडशेक की बनावट तय है और उसके पास कोई बहाना नहीं, इसलिए डीप-पैकेट इंस्पेक्शन करने वाला नेटवर्क इसे तुरंत पहचान लेता है। WireGuard कभी अदृश्य होने की कोशिश कर ही नहीं रहा था — वह तेज़ और सही होने की कोशिश कर रहा था, और वह है।
OpenVPN — जो आज भी निकल जाता है
धीमा, पुराना, और कहीं ज़्यादा व्यापक रूप से तैनात। इसे हाथ में रखने की वजह पोर्ट 443 पर उसका TCP मोड है, जो उसे ऐसे नेटवर्कों से पार करा देता है जो वेब ट्रैफ़िक की इजाज़त देते हैं और बाक़ी किसी की नहीं — यानी ज़्यादातर होटल और सम्मेलनों का वाई-फ़ाई।
यह समझना ज़रूरी है कि वह मोड आख़िरी चारा क्यों है, डिफ़ॉल्ट क्यों नहीं। TCP खोए हुए पैकेट दोबारा भेजकर डिलीवरी की गारंटी देता है। TCP के भीतर TCP चलाइए तो दोनों परतें एक ही नुक़सान को दोबारा भेजती हैं, और हर एक दूसरे का कंजेशन कंट्रोल बिगाड़ देती है। साफ़ लिंक पर आपको मुश्किल से पता चलता है; नुक़सान वाले लिंक पर थ्रूपुट ढह जाता है। इसे TCP मेल्टडाउन कहते हैं, और इसीलिए जब भी UDP उपलब्ध हो, सही विकल्प UDP ही है।
IKEv2/IPsec — फ़ोन के लिए वाला
इसकी ख़ास बात MOBIKE है, जो टनल को क्लाइंट का नेटवर्क पता बदलने के बाद भी ज़िंदा रहने देता है। आप किसी इमारत से बाहर निकलिए, वाई-फ़ाई से मोबाइल डेटा पर आइए, और सत्र टूटकर दोबारा बनने के बजाय चलता रहेगा। iOS पर यह नेटिव भी है, इसलिए रास्ते में कोई तीसरे पक्ष की चीज़ नहीं बैठती।
यह तय और सुपरिचित पोर्ट इस्तेमाल करता है — UDP 500 और 4500 — और यही वे चीज़ें हैं जिन्हें कोई पाबंदी वाला नेटवर्क सबसे पहले बंद करता है। जहाँ चलता है वहाँ शानदार; जहाँ नहीं चलता वहाँ ज़रा भी काम का नहीं।
ऑब्फ़स्केटेड प्रोटोकॉल — छाने हुए नेटवर्कों के लिए
यह एक श्रेणी है, कोई उत्पाद नहीं। इन डिज़ाइनों में साझा एक लक्ष्य है: ट्रैफ़िक विश्लेषण को ऐसा कुछ न मिले जिस पर कार्रवाई करने लायक़ हो। और जो बेहतर हैं वे सक्रिय जाँच से भी बच निकलते हैं — जहाँ सेंसर उस सर्वर से ख़ुद जुड़ता है जिस पर उसे शक है और देखता है कि वह कैसे जवाब देता है; जो सर्वर जाँच के दौरान अजीब जवाब देता है वह पकड़ में आ जाता है, चाहे उसका ट्रैफ़िक कैसा भी दिखे।
यह साफ़ कहना ज़रूरी है कि यह ज़्यादा मज़बूत एन्क्रिप्शन नहीं है। गोपनीयता उतनी ही है। ऑब्फ़सकेशन जो ख़रीदता है वह यह है कि कनेक्शन अपना ऐलान नहीं करता। इस श्रेणी की यह बदनामी वाजिब रही है कि इसकी क़ीमत रफ़्तार में चुकानी पड़ती है — पर वह ख़ास डिज़ाइनों का गुण है, कोई नियम नहीं; किसी भी एक के बारे में पूछने लायक़ सवाल यह है कि क्या वह अब भी एक वीडियो कॉल और एक बड़ा डाउनलोड साथ-साथ ढो लेता है, और दोनों में से कोई बिखरता नहीं।
प्रोटोकॉल का चुनाव किसे ठीक नहीं करता
तीन चीज़ें, जिनकी उम्मीद लोग प्रोटोकॉल के फ़ैसले से करते हैं और जो कोई भी प्रोटोकॉल फ़ैसला नहीं देता:
- आपका प्रदाता क्या देख सकता है। इनमें से हर एक प्रदाता के सर्वर पर ही ख़त्म होता है। यह उस कंपनी की लॉगिंग नीति और ऑडिट का सवाल है, क्रिप्टोग्राफ़ी का नहीं।
- आपका ब्राउज़र फ़िंगरप्रिंट। इनमें से कोई इसे नहीं बदलता — वह आपके डिवाइस से आता है, आपके कनेक्शन से नहीं। देखिए आपका कैसा दिखता है।
- टनल के इर्द-गिर्द से DNS का रिसना। यह कॉन्फ़िगरेशन की चूक है, प्रोटोकॉल का गुण नहीं, और यह सबके साथ होती है। मान लेने के बजाय जाँच लेना बेहतर है।
जो सेटिंग प्रोटोकॉल के चुनाव से भी ज़्यादा मायने रखती है और जिसकी चर्चा कहीं कम होती है, वह है किल स्विच। उसके बिना गिरने वाली टनल आपको सत्र के बीचोबीच, चुपचाप, वापस नंगे नेटवर्क पर छोड़ देती है — ठीक उस पल में जब आपके जाँचने की संभावना सबसे कम होती है।
प्रोटोकॉल को लेकर लोगों के असली सवाल
सबसे तेज़ VPN प्रोटोकॉल कौन-सा है?
WireGuard — लगभग हर प्रकाशित तुलना में और लगभग हर तरह के डिवाइस पर। यह किसी सूट पर मोल-भाव करने के बजाय तय आधुनिक क्रिप्टोग्राफ़ी इस्तेमाल करता है, जहाँ प्लेटफ़ॉर्म इजाज़त दे वहाँ कर्नेल स्पेस में चलता है, और OpenVPN के मुक़ाबले हर पैकेट पर कहीं कम अतिरिक्त बोझ ढोता है। तेज़ कनेक्शन पर यह फ़र्क़ उस VPN और इस VPN के बीच का है जिसका होना आपको महसूस होता है और जिसका नहीं होता। शर्त यह है कि जैसे ही आपका सर्वर दूर होता है, कच्ची प्रोटोकॉल गति सीमित करने वाला कारक नहीं रह जाती — तब अड़चन दूरी है, प्रोटोकॉल नहीं।
क्या WireGuard, OpenVPN से कम निजी है?
यह आलोचना असली है पर सँकरी, और यह प्रोटोकॉल के बारे में नहीं, उसे तैनात करने के तरीक़े के बारे में है। WireGuard हर क्लाइंट को एक तय आंतरिक IP पता देता है और सत्र भर वही रखता है, जिससे कोई प्रदाता गतिविधि को खाते से इस तरह जोड़ सकता है जैसा OpenVPN का गतिशील आवंटन नहीं होने देता। यह हल हो चुकी समस्या है — प्रदाता डबल-NAT से या आवंटन घुमाकर इसे सँभालते हैं — पर जानने लायक़ है कि इसे हल करना पड़ता है, यह अपने आप हल नहीं मान लिया जा सकता। क्रिप्टोग्राफ़ी के लिहाज़ से दोनों में WireGuard ज़्यादा आधुनिक और ज़्यादा जाँचने योग्य है।
क्या मुझे ऑब्फ़स्केटेड या स्टेल्थ प्रोटोकॉल चाहिए?
शायद नहीं, और इसे साफ़ कह देना चाहिए क्योंकि यही वह विकल्प है जिसे सबसे ज़्यादा बढ़ा-चढ़ाकर बेचा जाता है। ऑब्फ़सकेशन एक ही समस्या हल करने के लिए है: ऐसा नेटवर्क जो VPN ट्रैफ़िक पहचानकर उसे रोक देता है। अगर आपका कनेक्शन चल रहा है तो आपके सामने वह समस्या है ही नहीं, और जो नेटवर्क आपकी जाँच नहीं कर रहा वहाँ सीधा रास्ता बस छोटा रास्ता है। जहाँ यह सचमुच चाहिए — राष्ट्रीय स्तर की फ़िल्टरिंग, या ऐसा दफ़्तर या कैंपस जो टनल सक्रिय रूप से काटता हो — वहाँ और कुछ भरोसे से नहीं चलता, क्योंकि मसला यह नहीं कि पारंपरिक प्रोटोकॉल कमज़ोर हैं, बल्कि यह कि वे पहचाने जा सकते हैं। और यह पुरानी मान्यता कि इसकी क़ीमत रफ़्तार में चुकानी ही पड़ेगी — उसे मान लेने के बजाय परखिए: कुछ डिज़ाइनों के लिए वह सच है, कुछ के लिए नहीं।
क्या मुझे कभी PPTP इस्तेमाल करना चाहिए?
नहीं। इसका एन्क्रिप्शन 2012 से व्यावहारिक रूप से तोड़ा जा सकता है, और वह हमला कोई शोध-निष्कर्ष भर नहीं, किराए पर मिलने वाली सेवा है। Windows, macOS और iOS के आधुनिक संस्करण इसे हटा चुके हैं या बंद कर चुके हैं। अगर कोई उपकरण आपको इसके सिवा कुछ नहीं देता, तो उस कनेक्शन को बिना एन्क्रिप्शन वाला मानिए और उसी हिसाब से योजना बनाइए।
क्या प्रोटोकॉल बदलने से यह बदलता है कि मेरा VPN प्रदाता क्या देख सकता है?
उल्लेखनीय रूप से नहीं। यहाँ का हर प्रोटोकॉल टनल को प्रदाता के सर्वर पर ही ख़त्म करता है, यानी आपने कोई भी चुना हो, प्रदाता ऐसी जगह पर है जहाँ से वह आपके ट्रैफ़िक को बाहर निकलते हुए देख सकता है। वहाँ आपका जोखिम प्रदाता की लॉगिंग नीति से तय होता है और इससे कि उसका स्वतंत्र ऑडिट हुआ है या नहीं — यह कंपनी के बारे में सवाल है, क्रिप्टोग्राफ़ी के बारे में नहीं। प्रोटोकॉल का चुनाव यह तय करता है कि आपके और सर्वर के बीच के नेटवर्क क्या भाँप सकते हैं, और वह अलग सवाल है।
मेरा VPN ऐप मुझे प्रोटोकॉल चुनने क्यों नहीं देता?
अक्सर इसलिए कि देने लायक़ एक ही होता है, और कभी-कभी इसलिए कि ऐप ख़ुद ही, नेटवर्क जो इजाज़त दे उसके हिसाब से, बदलता रहता है। स्वचालित चुनाव आम तौर पर सही डिफ़ॉल्ट है — वह तेज़ प्रोटोकॉल से हटकर ऐसे प्रोटोकॉल पर आ जाएगा जो पाबंदी वाले नेटवर्क में टिक सके, और आपको ख़राबी की जाँच नहीं करनी पड़ेगी। फिर भी उसे मनमाफ़िक बदल पाना काम का है — उस स्थिति के लिए जब आप जानते हों कि आपका नेटवर्क फ़िल्टर करता है और पहले दो नाकामियों का इंतज़ार करने के बजाय सीधे उसी विकल्प से शुरू करना चाहते हों जो चलता है।
Both answers exist in the same app.
Umbra is the fast default and what the recommender picks for most people. MIRAGE is the option for networks that filter — it leaves nothing on the wire that reads as a VPN, and it carries games, calls and 4K at the speed of your line rather than asking you to trade one for the other. You do not choose once and live with it: switch in the app when a network stops cooperating, and switch back when it does.
अंतिम समीक्षा । कुछ पुराना पड़ा हुआ मिला? हमें बताइए.