less than a minute read
SNI (Server Name Indication) सुरक्षित कनेक्शन के पहले पैकेट का वह फ़ील्ड है जिसमें ब्राउज़र खुले पाठ में बताता है कि वह किस डोमेन तक पहुँच रहा है। एन्क्रिप्शन इसके बाद शुरू होता है, इसलिए सुरक्षा बनने से पहले ही साइट का नाम रास्ते के हर उपकरण को दिख जाता है। ECH (Encrypted Client Hello) वही तंत्र है जो इस फ़ील्ड को छिपाता है। नीचे: SNI से ब्लॉक करना कैसे काम करता है, ECH असल में क्या बदलता है, और इसे चालू करना कभी-कभी हालात क्यों बिगाड़ देता है।
क्योंकि जिस क्षण SNI भेजा जाता है, उसे एन्क्रिप्ट करने के लिए अभी कुछ है ही नहीं। TLS हैंडशेक ClientHello संदेश से शुरू होता है, जिसमें क्लाइंट समर्थित एल्गोरिदम गिनाता है और डोमेन बताता है। सर्वर इसी नाम से सही सर्टिफ़िकेट चुनता है — एक ही IP पते पर हज़ारों साइटें रहती हैं, और SNI के बिना उसे पता ही नहीं चलेगा कि किसका सर्टिफ़िकेट देना है। साझा कुंजी अगले चरण में ही बनती है।
इससे व्यावहारिक नतीजा: पेज का पता, पासवर्ड और अनुरोध की सामग्री वाक़ई छिपी रहती है, डोमेन का नाम नहीं। यही वह बात है जो «DoH चालू कीजिए और अदृश्य हो जाइए» वाली गाइडें छोड़ देती हैं: निजी DNS DNS अनुरोध को बंद करता है, पर SNI उसके पीछे-पीछे खुले पाठ में चला जाता है।
उपकरण ClientHello पढ़ता है, डोमेन की सूची से तुलना करता है और कनेक्शन बनने से पहले ही उसे तोड़ देता है। तकनीकी रूप से यह बाक़ी सभी तरीक़ों से सस्ता है: न डिक्रिप्शन चाहिए, न व्यवहार का विश्लेषण — एक स्ट्रिंग की तुलना काफ़ी है।
| तरीक़ा | क्या पढ़ता है | किससे बचा जाता है | |---|---|---| | IP पते से | गंतव्य पता | पता बदलकर, CDN से | | DNS से | नाम का अनुरोध | DoH/DoT | | SNI से | ClientHello में डोमेन | ECH, टनल | | प्रोटोकॉल हस्ताक्षर से | पैकेट का आकार | बिना हस्ताक्षर वाला प्रोटोकॉल |
पिछली पंक्तियों की व्यवस्था अलग से समझाई गई है: DPI क्या है।
ECH पूरे ClientHello को एन्क्रिप्ट करता है, SNI समेत। खुला रह जाता है सिर्फ़ एक बाहरी नाम, जो एक ही प्रोवाइडर के पीछे मौजूद सभी साइटों में साझा होता है — अक्सर ख़ुद CDN का नाम। देखने वाले को «क्लाउड» से एक कनेक्शन दिखता है, पर यह नहीं कि वहाँ रखी किस साइट का अनुरोध हुआ।
इस एन्क्रिप्शन की कुंजी क्लाइंट DNS से लेता है: डोमेन पर HTTPS प्रकार का रिकॉर्ड प्रकाशित होता है जिसमें ech पैरामीटर होता है। यहीं से दो शर्तें निकलती हैं, जिनके बिना ECH चालू ही नहीं होगा:
रिलीज़ नोट्स के अनुसार, समर्थन Firefox में संस्करण 118 से और Chrome में 117 से आया — दोनों 2023 की शरद ऋतु में जारी हुए।
क्योंकि दुर्लभ चीज़ ध्यान खींचती है। जब तक ECH का इस्तेमाल कनेक्शनों के छोटे हिस्से में होता है, उसकी मौजूदगी ही एक पहचान-चिह्न है, और फ़िल्टरिंग सिस्टम उस पर वैसे ही काम कर सकता है जैसे वह डोमेन पर करता था: भीतर क्या है यह देखे बिना, जो कुछ ECH जैसा लगे उसे काट देना।
इसके पूर्ववर्ती के साथ ऐसा हो चुका है। ESNI, इस तंत्र का शुरुआती रूप, सेंसरशिप पर काम करने वाले शोध समूहों की रिपोर्टों के अनुसार 2020 में चीन में पूरी श्रेणी के रूप में काट दिया गया था। बाद में दूसरे देशों में ECH कनेक्शनों को लेकर भी ऐसी ही रिपोर्टें आईं।
इससे एक ऐसा निष्कर्ष निकलता है जो छोटी सलाहों में असुविधाजनक है: ECH सही तंत्र है, पर वह प्रोवाइडर से निजता की समस्या हल करता है, ब्लॉक से बचने की नहीं। जिस नेटवर्क में उसे काटा जाता है, वहाँ ब्राउज़र का वह टिक उल्टा असर करता है।
टनल के भीतर SNI का सवाल ही ख़त्म हो जाता है: साइट के साथ हैंडशेक निकास सर्वर पर होता है, और प्रोवाइडर को सिर्फ़ एक पते से कनेक्शन दिखता है। पर तब बाहर दूसरा संकेत जाता है — ख़ुद टनल का प्रोटोकॉल, और सब इस पर निर्भर करता है कि उसका आकार पहचाना जा सकता है या नहीं।
यहीं दो रास्ते अलग होते हैं। क्लासिक VPN डोमेन छिपा देता है, पर पैकेट के पैटर्न से ख़ुद को ज़ाहिर कर देता है। Reality मास्किंग वाला VLESS एक असली लोकप्रिय साइट के साथ हैंडशेक करता है और उसी का SNI दिखाता है — वह नाम छिपाता नहीं, भरोसेमंद नाम प्रस्तुत करता है। फ़िल्टर के लिए यह सामान्य साइट पर सामान्य विज़िट जैसा दिखता है, और डोमेन-सूची से तुलना सामान्य रूप से पास हो जाती है। व्यवस्था: Reality और VLESS आसान शब्दों में; कठिन क्षेत्रों में इसका नतीजा: ईरान, रूस और चीन में BessyConnect।
SNI आसान शब्दों में क्या है? यह सुरक्षित कनेक्शन के पहले पैकेट का वह फ़ील्ड है जिसमें ब्राउज़र खुले पाठ में उस डोमेन का नाम लिखता है जिससे वह जुड़ रहा है। सर्वर को सही सर्टिफ़िकेट चुनने के लिए यह चाहिए, और रास्ते के सबको दिखता है क्योंकि यह एन्क्रिप्शन बनने से पहले भेजा जाता है।
क्या HTTPS साइट का नाम छिपाता है? नहीं। HTTPS पेज का पता, अनुरोध के पैरामीटर और सामग्री छिपाता है, पर डोमेन का नाम ख़ुद SNI में खुले पाठ में जाता है। उसे केवल ECH या टनल छिपा सकते हैं।
ECH और ESNI में क्या फ़र्क़ है? ESNI सिर्फ़ नाम वाला फ़ील्ड एन्क्रिप्ट करता था और तंत्र का शुरुआती रूप था; ECH पूरा ClientHello एन्क्रिप्ट करता है और उसकी जगह ले चुका है। ESNI अप्रचलित माना जाता है।
क्या ब्लॉक से बचने के लिए ECH चालू करना काफ़ी है? नहीं। ECH प्रोवाइडर को दिखने वाली चीज़ें घटाता है, पर कड़ी फ़िल्टरिंग वाले नेटवर्कों में ECH वाले कनेक्शन पूरी तरह काटे जा सकते हैं — ठीक इसलिए कि वे कम हैं और ध्यान खींचते हैं।
VPN चालू रहते हुए SNI दिखता है? आपके प्रोवाइडर को नहीं: साइट के साथ हैंडशेक निकास सर्वर पर होता है। प्रोवाइडर को सिर्फ़ सर्वर के पते से कनेक्शन दिखता है और वह ख़ुद टनल प्रोटोकॉल के संकेतों के आधार पर फ़ैसला करता है।
वीडियो कॉल के लिए शीर्ष 10 WhatsApp और Telegram विकल्प: Zoom, Google Meet, Signal, Discord। सुविधा तुलना + BessyVPN से ब्लॉक बायपास कैसे करें (bessy.my) आगे
BessyConnect टेलीग्राम के लिए वीपीएन है: Telegram न चले तो चैट और कॉल वापस पाएँ। VLESS+Reality प्रोटोकॉल हर डिवाइस पर ब्लॉक और DPI बायपास करता है। आगे
Instagram नहीं खुल रहा या बार-बार धीमा है? BessyConnect VPN, VLESS+Reality पर, एक्सेस लौटाता है—फ़ीड, स्टोरीज़ और Reels बिना ब्लॉक लोड होते हैं। आगे
