ForestVPN nasıl çalışır

Kısa özet

• Trafiğiniz cihazınızda mühürlenir ve bizim işlettiğimiz bir sunucudan, exit'ten çıkar. ForestVPN'in parçaları arasında trafiğinizin nereye gittiğini gören tek parça exit'tir.
• Bağlanmadan önce cihazınız imzalı bir bilet alır. Bilet hangi planınız olduğunu söyler ve onu denetleyen hizmet, hesabınızı tutan hizmetten ayrı çalışır.
• Uygulama verinin gerçekten akıp akmadığını izler ve akmayı bıraktığında kendiliğinden yol değiştirir. Siz yalnızca sonucu görürsünüz.
• Bir satır, ölçüm için cihazınızı ve bağlı hesabı ödediği her oturumla ilişkilendirir. Oturum kapandıktan bir saat sonra, hiç kullanılmamış bir bilet için ise 17 güne kadar sonra silinir. Bu sayfa onu geri kalan her şeyin yanında gösterir.

Bir VPN neyi değiştirir, neyi değiştirmez

VPN bir güven aktarımıdır. VPN olmadan, trafiğinizin nereye gittiğini görme yetkisini ağınıza ve internet sağlayıcınıza verirsiniz. VPN ile bu güveni VPN'e verirsiniz. Bu yüzden her VPN için sorulacak sorular aynıdır: trafiğiniz nerede sona eriyor, önündeki hizmetler ne biliyor ve uygulama cihazınızda ne yapıyor? Bu sayfa soruları bu sırayla, her yanıtın ardındaki ayrıntılarla yanıtlar.

VPN olmadan Wi-Fi ağınız ve internet sağlayıcınız cihazınızın hangi sunucularla konuştuğunu görebilir, eriştiğiniz her site de ağınızın size verdiği adresi görür. ForestVPN ile bunun yerine sunucularımıza giden şifreli trafiği görürler. O sunucu, yani exit, trafiğinizin internete çıktığı yerdir.

Bu, güveni taşır; ortadan kaldırmaz. Exit, ziyaret ettiğiniz siteleri ve bağlandığınız adresi görür; ziyaret ettiğiniz siteler ise sizin adresiniz yerine exit'in adresini görür. VPN sizi anonim yapmaz: trafiğinizi kimin görebileceğini değiştirir.

VPN'in dokunmadığı şey, exit'ten sonra olan her şeydir. Oturum açtığınız siteler hangi hesapla girdiğinizi yine bilir, çerezlerle sizi izleyen bir site de izlemeye devam eder. Tünel yolu korur, varış noktasını değil.

Bağlan'a dokunduğunuzda ne olur

Bağlan'a dokunursunuz. Cihazınız bir sunucuyu kullanmak için izin ister, iki bilgi taşıyan bir bilet sunar (hangi planın anahtarıyla imzalandığı ve o anahtarın hangi iki haftalık döneme ait olduğu), bir sunucuya yönlendirilir ve onunla şifreli bir tünel kurar. Ardından, korunduğunuzu söylemeden önce verinin gerçekten iki yönde aktığını denetler.

İlginç olan kısım biletin kendisidir. Saatler önce, ayrı bir istekte, cihazınız oturum açma hizmetimizden bilet ister. Hizmet her birini kör olarak imzalar: imza, hizmetin hiç görmediği bir değerin üzerinden atılır; bu yüzden sonradan sunduğunuz biletteki imza, onu oluşturan isteği göstermez. Tek istisna, aşağıda anlatılan ve cihazınızı ödediği her oturuma bağlayan ölçüm satırıdır.

Sizin tek bir baytınız hareket etmeden önce neler olduğuna dikkat edin. Önce izin gelir: saniyenin küçük bir kesrinde denetlenen bilet. Sonra yerleştirme gelir: cihazınızın kendisinin doğruladığı imzalı bir sunucu listesi ve exit'i seçen bir oturum hizmeti. En son kanıt gelir: uygulama, el sıkışma bittiğinde değil, test paketleri tünelden geçip geri döndüğünde korunduğunuzu söyler.

İki ayrıntıyı bilmekte fayda var. Biletler alttaki ağdan, hiçbir zaman bir exit üzerinden değil, yenilenir; bu yüzden oturum açma hizmetine, kurulmasına yardım ettiği tünelden asla ulaşılmaz. Ayrıca uygulama hizmetlerimize birkaç yoldan ulaşabilir ve ilk yanıt vereni kullanır; bu yüzden bunlardan birine giden kötü bir yol bağlanmanızı engellemek zorunda değildir.

Tünelin içi

Gönderdiğiniz her şey cihazınızda, yalnızca cihazınızın ve exit'in bildiği anahtarlarla mühürlenir. Ağınız değişirse aynı tünel devam eder.

Şekli dıştan içe doğru okuyun. Ağınız yalnızca dıştaki datagramı görür: sunucularımızdan birine giden, ilk baytları maskelenmiş ve boyutu değişen şifreli bir bayt paketi. Onun içindeki mühürlü çerçeve, yalnızca cihazınızın ve exit'in elinde olan, el sıkışmada üretilmiş anahtarlarla açılabilir. Çerçevenin içinde kendi paketiniz var, uygulamanızın gönderdiği haliyle.

Tünel protokolünün adı Quantum. El sıkışması X25519, ChaCha20-Poly1305 ve BLAKE2s ile değiştirilmemiş Noise_IKpsk2'dir. Ona bilerek dokunmadık: o el sıkışma hakkında yayımlanmış analiz hâlâ geçerlidir. Eklediğimiz şeyler onun çevresinde durur. Paket boyutları ve başlık baytları her bağlantıda değişir; tünel dolaşımla ve altındaki yolun değişmesiyle başa çıkar.

Tünel, içinde bulunduğunuz ağa değil oturuma aittir. Wi-Fi'dan hücresele geçtiğinizde oturum anahtarı aynı kalır ve paketler yeni bir adresten gelmeye başlar; böylece aynı tünel devam eder. Hiçbir şeyin düşmeyeceğini vaat etmiyoruz: bir geçiş bir an sürebilir ve durum ekranı hangi durumda olduğunuzu gösterir.

Trafiğiniz bir bulut işlevinde değil, bizim işlettiğimiz sunucularda sona erer. Bir bulut hizmeti tünel taşıyamaz; bu yüzden bilet ve sunucu listesi dağıtan hizmetler sizin hiçbir paketinizi taşımaz.

Bir tünel, birçok yol

Sunucuya giden bir yol yavaşlarsa ya da veri taşımayı bırakırsa ForestVPN kendiliğinden başkasını dener ve gerçekten veri taşıyanı tutar. Seçmeniz gerekmez.

Neden birden fazla yol? Ağlar farklıdır. Bazıları UDP'yi iyi taşır, bazıları kötü; saatlerce sorunsuz bir ağ da değişebilir. Sabit bir seçim bir yerde yanlış olur, bu yüzden uygulama ölçer. Bağlandığı her ağ için cihazınızda, karmalanmış bir ad altında, orada yedek rotaya gerek olup olmadığını söyleyen küçük bir not tutar. Yedek rotaya yalnızca doğrudan bağlanmanın şimdi ya da son bir gün içinde başarısız olduğu bir ağda başvurur. Free'de yedek rota aylık bir kotayla gelir, Premium daha fazlasını içerir.

Yol dediğimiz şey, aynı şifreli paketleri aynı exit'e taşımanın bir yoludur. Uygulama her zaman önce doğrudan yolu, UDP üzerinden dener ve sağlıklı bir ağda başka hiçbir şeye başvurulmaz. Doğrudan yol veri taşımayı bırakırsa uygulama, aynı oturum içinde elindeki diğer yolları da dener: TCP, bazen otomatik seçilen ek bir sunucumuz ve aynı paketleri sıradan web trafiği olarak bir içerik dağıtım ağı üzerinden taşıyan yedek rota. Yedek rota daha hızlı bir yol değil, bir yedektir; daha pahalıya geldiği için de ölçülür.

Yol değiştirmek oturumu değiştirmez: bilet, anahtarlar ve exit aynı kalır.

Uygulama el sıkışmalara göre değil, veriye göre karar verir. Bir yol yalnızca veri ilettiği sürece sağlıklı sayılır ve durum ekranı Working'i ancak veri iki yönde aktığında gösterir.

Bağlantı durumu ve yedek rota hakkında daha fazlası.

Smart rotalar

Smart, ağınıza uygun bir rota seçer, siz kullanırken ölçmeyi sürdürür ve daha iyisi çıktığında kendiliğinden ona geçer. Kendi seçtiğiniz bir konum, koyduğunuz yerde kalır.

Yol, paketlerinizi exit'e taşımanın bir yoludur: doğrudan, TCP, ek bir sunucumuz üzerinden ya da yedek rota. Smart, istediğiniz yer için sunulan yolları karşılaştırır ve zaten sahip olduğunuz oturumun içinde, yeni bilet ve yeni el sıkışma olmadan aralarında geçiş yapar.

Smart'ın yapmadığı üç şey. Kendi seçtiğiniz bir konumu taşımaz. Daha hızlı bağlantı vaat etmez: denetlemeyi sürdüreceğini ve yalnızca başka bir rota ağınız için daha iyi olduğunda geçeceğini vaat eder. Ve size ihtiyaç duymaz: açılacak ya da seçilecek bir şey yoktur; yine de dilerseniz ağa duyarlı yönlendirme ayarı bu kararları kapatır.

Smart rotalar bugün Windows'ta, Linux'ta, web sitemizdeki Mac uygulamasında, komut satırında ve OpenWrt yönlendiricilerde var. iPhone, iPad, Apple TV, Android ve Mac App Store sürümü bir uygulama güncellemesiyle alır.

İki program, tek imzalı bilet

İşi neden bölüyoruz? Çünkü iki iş farklı bilgi gerektirir. Bir planınız olduğunu denetlemek cihazınızı bilmeyi gerektirir. Bir oturum seçip açmak bir yer ve bir adres bilmeyi gerektirir. Tek program ikisini birden yapsaydı, iki tür bilgiyi bir arada tutardı. Bu yüzden ayrı dağıtılan iki programdır. Bilet bağlanırken aralarından geçer; bir oturumun kullandığı veri ise oturum kapanınca, ücretlendirilebilmesi için geri döner: sonraki bölümde anlatılan ölçüm satırı budur.

Cihazınızı ve planınızı bilen kısım ile sunucunuzu bilen kısım ayrı programlardır. Oturum hizmeti, hesap veritabanımıza hiçbir bağ olmadan dağıtılır ve aralarındaki bilet kör imzalıdır. Bir satır, veriyi ölçmek ve iptal edilmiş bir cihazı kesmek için cihazınızı ve bağlı hesabı, ödediği her oturumla ilişkilendirir. Oturum kapandıktan bir saat sonra, hiç kullanılmamış bir bilet için ise 17 güne kadar sonra silinir.

Oturum açma hizmeti hesabınızı, cihazlarınızı ve planınızı tutar ve her bilet isteğinin geldiği adresi görür. Size hangi exit'in verildiğini ya da nereye gittiğinizi asla öğrenmez. Oturum hizmeti bağlandığınız adresi, seçtiğiniz konumu ve tek kullanımlık bir oturum anahtarını görür. Oturum kaydı oturum sona erince kendiliğinden silinir ve kaynak adresiniz ona hiçbir zaman yazılmaz.

Tablo, her parçaya bağlanma anında verilenleri listeler; bu, kayıtlar birleştirilerek nelerin çıkarılabileceğine dair bir söz değildir. Ölçüm satırının sözle anlatılıp şekilde çizilmesinin, dışarıda bırakılmamasının nedeni budur.

Neyi, ne kadar süre saklıyoruz

Sistemlerimizin hiçbir yerinde ziyaret ettiğiniz siteler veya sorguladığınız adlar için bir sütun yoktur. Bir oturumun hangi exit'i kullandığı, oturum bittiğinde silinir. Ödemeyi App Store, Google Play ya da seçtiğiniz işlemci yürütür; kart numarasını biz hiç görmeyiz.

Ana kayıtlar ve her birinin ne kadar yaşadığı, tek bir resimde; gizlilik politikası hepsini listeler. Bir ağdaki herkes için daha iyi rotalar seçmemize yardım eden rota raporları; içlerinde cihaz, hesap, oturum ya da exit bulunmayan toplamlardır ve yalnızca en az 10 cihazlı günler için yayımlanır.

Aynı resme iki şey daha ait. Uygulamada analiz SDK'sı, atıf SDK'sı ve reklam kimliği yoktur. Ayrıca bir tanılama raporu göndermeyi seçerseniz önce içeriğini size gösterir, cihazınızın kimliği olmadan sonraki saat içinde rastgele bir anda yüklenir, tarif ettiği bağlantı üzerinden asla gitmez ve 72 saat sonra silinir.

Her kayıt gizlilik politikasında listelenir; kısa özet güvenlik sayfasında.

Cihazlarınız, yönlendiricileriniz ve TV'leriniz

Bir hesap numarası en fazla on cihazda çalışır. Hesabınızdaki cihazlar birbirine adla ulaşabilir ve evde duran bir bilgisayar diğerleri için exit olabilir. Bir iPhone exit kullanabilir ama henüz exit olamaz. Yönlendiriciler uygulama çalıştıramayan cihazları kapsar; TV'ler ve yönlendiriciler klavyesiz oturum açar.

Kullandığınız ev exit'i çevrimdışı olursa uygulama sizi kendi exit'lerinizden birine taşır ve haber verir. Tüm exit'leriniz başarısız olursa trafik engelli kalır ve uygulama dokunmanızı ister.

Yönlendiriciler, oyun konsolu ya da akıllı TV gibi uygulama çalıştıramayan cihazlar içindir. ForestVPN'i yönlendiriciye koyarsanız arkasındaki her şey ya da yalnızca seçtiğiniz cihazlar ve uygulamalar tünelden geçer. Hız sınırı yönlendiricinin işlemcisidir; bu yüzden yönlendirici sayfası neyi ve hangi donanımda ölçtüğümüzü söyler. Yönlendirici, kendi yazdırdığı bir kodla hesabınıza bağlanır; TV'ler klavyesiz oturum açar.

Bu tasarım neyi yapmaz

Bunların hiçbiri tasarımı kusursuz yapmaz; bir diyagramın aksini düşündürmesine izin vermektense nerede bittiğini söylemeyi tercih ederiz. Bunlar başlıcaları; gizlilik politikası hepsini listeler.