«بدون‌لاگ» در VPN یعنی دقیقا چی ثبت نمی‌شود؟

یک‌بار توی کافه، قبل از اینکه وارد اپ بانک بشوم، عادت دارم DNS و مسیر ترافیک را چک کنم. نه از سر وسواس؛ از تجربه. وای‌فای عمومی بعضی‌وقت‌ها «شفاف» نیست و وسط راه چیزهایی می‌بیند که نباید. همان‌جا بود که دوباره یادم افتاد چقدر راحت روی صفحهٔ خرید یک VPN می‌نویسند «No-Logs» و خیال همه را راحت می‌کنند.

من همیشه بدبینم.

«بدون‌لاگ» دقیقا یعنی چی؟

بدون‌لاگ یک واژهٔ فنی دقیق نیست.

وقتی یک سرویس می‌گوید «بدون‌لاگ»، معمولا منظورش این است که تاریخچهٔ وب‌گردی شما (اینکه چه سایتی رفتید، چه چیزی سرچ کردید، چه فایلی دانلود کردید) را ذخیره نمی‌کند. اما مشکل اینجاست که «لاگ» یک کلمهٔ چتری است و زیرش چند نوع دادهٔ مختلف جا می‌گیرد؛ بعضی‌شان حتی اگر نیت بدی هم نباشد، برای عملیات روزمرهٔ سرویس وسوسه‌برانگیزند.

اگر بخواهم لاگ‌ها را مثل چیزی که در دیتاسنترها واقعا می‌بینیم دسته‌بندی کنم، معمولا با این‌ها طرفید:

• لاگ فعالیت (Activity logs): مقصدها، دامنه‌ها، URL، درخواست‌های DNS، یا امضای ترافیک. این همان چیزی است که «بدون‌لاگ» معمولا به آن اشاره می‌کند.
• لاگ اتصال (Connection logs): زمان وصل‌شدن و قطع‌شدن، مقدار دادهٔ ردوبدل‌شده، IP ورودی شما، سروری که انتخاب کردید، و گاهی خطاها.
• لاگ‌های عملیاتی/عیب‌یابی: کرش‌ها، ارورهای احراز هویت، نسخهٔ اپلیکیشن، نوع دستگاه، و جزئیات شبکه (مثل MTU یا نوع NAT) که برای پشتیبانی فنی واقعا کاربردی‌اند.
• لاگ‌های پرداخت و حساب کاربری: ایمیل، شناسهٔ پرداخت، تاریخ تمدید، و هر چیزی که برای مدیریت اشتراک لازم است.

نکته این است: خیلی از سرویس‌ها «لاگ فعالیت» را نگه نمی‌دارند، ولی «لاگ اتصال» را به شکل محدود یا موقت ذخیره می‌کنند. از بیرون هر دو را با یک عبارت می‌فروشند.

داده‌هایی که حتی با نیت خوب هم لو می‌روند

لاگ فقط تاریخچهٔ وب نیست.

از دید فنی، حتی اگر هیچ URL یا DNS ذخیره نشود، چند جای دیگر هم هست که ردپا تولید می‌شود:

IP شما و زمان‌بندی‌ها

اگر سرویسی IP واقعی شما را کنار زمان اتصال نگه دارد، لازم نیست بداند کجا رفتید؛ گاهی همین دو تا برای ربط‌دادن یک فعالیت به یک فرد کافی می‌شود. مخصوصا وقتی دیتای دیگری هم وجود داشته باشد: مثلاً تیکت پشتیبانی که تویش نوشته‌اید «من دیشب ساعت ۹ وصل نمی‌شدم». این‌ها تکه‌های پازل‌اند.

DNS و نشت‌های ریز

روی موبایل زیاد می‌بینم که کاربر فکر می‌کند «VPN روشن است»، اما DNS از مسیر دیگری می‌رود. یا IPv6 بیرون می‌زند. یا اپلیکیشنی بیرون از تونل، یک اتصال مستقیم می‌زند (خصوصا وقتی باتری‌سیور فعال است). این‌ها دیگر «لاگ» نیستند؛ نشت‌اند. نتیجه اما همان است: سرویس‌دهندهٔ اینترنت یا شبکهٔ محل، بخش‌هایی از رفتار شما را می‌بیند.

اگر سرویس‌تان گزینهٔ DNS امن، Kill Switch و بستن IPv6 را درست پیاده کرده باشد، این ریسک کمتر می‌شود. برای اینکه ببینید یک سرویس چه ابزارهایی برای همین موضوع‌ها دارد، بهتر است یک نگاه به ویژگی‌های DuduVPN یا هر سرویس دیگری که استفاده می‌کنید بیندازید و دنبال چیزهای قابل‌راستی‌آزمایی بگردید، نه فقط شعار.

خودِ کلاینت و تجربهٔ واقعی

خیلی‌ها به‌جای VPN کلاسیک، سراغ کلاینت‌هایی مثل V2RayNG، NekoBox، Shadowrocket یا Hiddify می‌روند، چون پروتکل‌هایی مثل VLESS+REALITY یا Shadowsocks-2022 در بعضی شبکه‌ها بهتر دوام می‌آورند. این انتخاب‌ها روی حریم خصوصی هم اثر دارند: بعضی کلاینت‌ها برای عیب‌یابی log محلی تولید می‌کنند، یا اگر تنظیمات را دست‌کاری کنید، ممکن است DNS را طبق انتظار شما تونل نکنند.

روی iOS یک نکتهٔ ریز ولی مهم هست: اگر از یک کانفیگ سفارشی استفاده می‌کنید، مطمئن شوید DNS و مسیر ترافیک همهٔ اپ‌ها داخل تونل می‌رود، نه فقط مرورگر. این‌جا آن چیزی که شما فکر می‌کنید «بدون‌لاگ» است، با یک تنظیم اشتباه بی‌معنی می‌شود.

«بدون‌لاگ» در متن سیاست حریم خصوصی چه شکلی است؟

دروغ گفتن آسان است.

من هر وقت واقعا می‌خواهم به یک سرویس اعتماد کنم، می‌روم سراغ بخش‌هایی از سیاست حریم خصوصی که کمتر خوش‌خوان‌اند. این قسمت آزاردهنده است، ولی ارزشش را دارد. دنبال این نشانه‌ها می‌گردم:

• آیا واضح گفته‌اند «لاگ فعالیت» نگه نمی‌دارند، یا مبهم نوشته‌اند «we do not monitor»؟ (واژه‌های مبهم معمولا یعنی جا برای تفسیر گذاشته‌اند.)
• دربارهٔ «لاگ اتصال» چه گفته‌اند؟ نگهداری موقت برای جلوگیری از سوءاستفاده، یک چیز است؛ نگهداری چندماهه چیز دیگر.
• اگر ادعای «RAM-only» یا «diskless» دارند، توضیح فنی داده‌اند یا فقط یک جملهٔ تبلیغاتی است؟
• دربارهٔ اشتراک‌گذاری داده با «ارائه‌دهندگان سرویس» (پرداخت، آنالیتیکس، پیامک) شفاف‌اند یا نه؟

یک دام رایج هم این است که سرویس می‌گوید «هیچ لاگی نداریم»، ولی در جای دیگر می‌نویسد «برای بهبود کیفیت، اطلاعات دستگاه و تشخیص خطا را جمع می‌کنیم». این بد نیست، اما باید مشخص باشد این اطلاعات چقدر جزئی است و چه مدت می‌ماند.

اگر قرار است از یک سرویس اشتراکی استفاده کنید، قیمت هم به‌طور غیرمستقیم به این داستان ربط دارد: نگهداری زیرساخت سالم، پشتیبانی پاسخ‌گو، و کنترل دسترسی داخلی هزینه دارد. سرویس خیلی ارزان یا رایگان، معمولا یک جای دیگری هزینه‌اش را درمی‌آورد. برای مقایسهٔ پلن‌ها و اینکه چه چیزی می‌گیرید، صفحهٔ قیمت‌گذاری می‌تواند نقطهٔ شروع باشد، حتی اگر بعدا تصمیم‌تان عوض شود.

پروتکل‌ها، لاگ‌ها، و چیزهایی که کمتر درباره‌شان حرف می‌زنیم

بعضی‌ها فکر می‌کنند اگر پروتکل‌شان WireGuard باشد، پرونده بسته است. نه دقیقا.

WireGuard از UDP استفاده می‌کند و طراحی‌اش مینیمال است؛ این خوب است، هم برای سرعت هم برای سطح حمله. اما پیاده‌سازی سرور و سیاست نگهداری داده هنوز دست سرویس‌دهنده است. اگر روی سرور، لاگ سیستم‌عامل یا فایروال با جزئیات زیاد فعال باشد، باز هم می‌شود از کنارشان چیزهایی برداشت.

از آن طرف، پروتکل‌هایی مثل VLESS+REALITY یا Shadowsocks-2022 بیشتر در فضای «عبور از فیلترینگ» شناخته می‌شوند تا «حریم خصوصی». آن‌ها می‌توانند ترافیک را شبیه‌تر کنند یا مسیر را سخت‌تر کنند، ولی باز هم سوال اصلی پابرجاست: سروری که ترافیک از آن رد می‌شود چه چیزی را ثبت می‌کند، و دسترسی داخلی تیم به آن لاگ‌ها چطور کنترل می‌شود؟

یک بخش دیگر که کاربران کمتر می‌بینند، توازن بین پایداری و مصرف باتری است. روی Android وقتی اتصال مدام قطع و وصل می‌شود (به‌خاطر جابه‌جایی بین 4G و Wi‑Fi یا به‌خاطر packet loss)، بعضی کلاینت‌ها برای «reconnect» تهاجمی‌تر عمل می‌کنند. این یعنی باتری بیشتر مصرف می‌شود و در عوض ممکن است در لحظه‌های کوتاه، ترافیک از تونل بیرون بپرد. اگر گزینهٔ Always‑on VPN و «Block connections without VPN» را فعال کنید، این سوراخ‌ها کمتر می‌شود.

چند سوال ساده که قبل از خرید می‌پرسم

من دنبال جواب‌های فلسفی نیستم. دنبال جزئیات قابل‌بررسی‌ام.

دو تا سوال، معمولا سریع سرویس‌ها را از هم جدا می‌کند:

• اگر امروز یک کاربر با شکایت «کندی و قطعی» سراغ پشتیبانی بیاید، شما برای بررسی دقیقا چه داده‌ای لازم دارید؟
• اگر یک حساب کاربری به سوءاستفاده متهم شود (اسپم، حمله، نقض قوانین)، بدون «لاگ فعالیت» چطور مدیریت می‌کنید؟

جواب درست لزوما «هیچ‌چیزی نداریم» نیست. جواب درست یعنی شفافیت دربارهٔ حداقل دادهٔ لازم، مدت نگهداری، و اینکه چه‌چیزهایی اصولا جمع نمی‌شود.

برای بعضی سؤال‌های عملی هم معمولا بخش پرسش‌وپاسخ کمک می‌کند. اگر می‌خواهید بدانید روی چه دستگاه‌هایی می‌شود استفاده کرد، هم‌زمان چند اتصال دارید، یا تنظیمات رایج مثل DNS و Kill Switch کجاست، یک سر به سؤالات متداول بزنید تا وسط کار گیر نکنید.

یک توصیهٔ کاربردی برای انتخاب سرویس «بدون‌لاگ»

اگر حریم خصوصی برایتان جدی است، فقط دنبال جملهٔ «No‑Logs» نگردید؛ دنبال سازوکاری بگردید که در عمل، لاگ‌دار شدن را سخت کند. مثلا محدودکردن دسترسی داخلی، تعریف دورهٔ نگهداری کوتاه برای لاگ‌های عملیاتی، یا شفافیت دربارهٔ اینکه چه چیزی روی دیسک نوشته می‌شود.

اگر می‌خواهید همین مسیر را با یک سرویس آماده جلو ببرید، من معمولا پیشنهاد می‌کنم اول از خود سرویس مستندات و شفافیتش را بسنجید و بعد تصمیم بگیرید. برای شروع می‌توانید DuduVPN را ببینید و اگر حوصلهٔ رفت‌وآمد داخل سایت را ندارید، از بات تلگرام برای راهنمایی و تهیهٔ اکانت استفاده کنید.

آخرین نکتهٔ عملی: روی Android حتما Always‑on VPN و «Block connections without VPN» را روشن کنید تا لحظه‌های قطع‌ووصلی، ترافیک‌تان بیرون از تونل نرود.