VPN na Tor, Tor na VPN: waarom die ketting breek
Wanneer 'n VPN, Tor en 'n proxy gestapel word, bepaal die volgorde wat opgelos word en wat gedra word. Vind die eerste gebreekte grens voordat jy al drie verander.
Om 'n VPN, Tor en 'n toepassingsproxy te stapel voel soos om privaatheid te vermenigvuldig, en dit vermenigvuldig die aantal plekke waar 'n verbinding kan doodgaan. Die gewone uitslag is 'n blaaier wat draai terwyl drie gereedskap elkeen homself gesond rapporteer. Om al drie instellings gelyk te verander verwyder dan die enigste leidraad oor wie lieg.
Teken eers die beoogde pad in volgorde, en noem watter program elke verbinding oopmaak en watter naam by elke stap opgelos word.
Lae tel nie op nie, hulle werk op mekaar in
Om 'n VPN voor Tor te plaas beteken die Tor-kliënt se ingangsverbinding reis binne die tonnel. Om 'n VPN deur Tor te dra beteken die VPN-kliënt se eie eindpunt moet oor Tor bereikbaar wees, wat 'n heel ander vereiste is. 'n Blaaierproxy voeg nog 'n hop by waarvan die bedryfstelsel niks weet nie. Drie reëlings, drie aparte afhanklikheidslyste.
Elke reëling verander wat opgelos kan word, wat gedra kan word, en wie die eerste pakket sien. Net een van hulle kan die opset wees wat jy bedoel het.
Voeg ook die direkte pad by die diagram. 'n Terugvalroete, 'n split-tunnel-uitsluiting of 'n proxy-ompad kan 'n bladsy laat laai terwyl dit die ketting wat jy wou toets stilweg oorslaan, en daardie sukses is meer misleidend as die fout.
Volgorde bepaal wat gedra kan word
Tor dra TCP-strome deur sy SOCKS-koppelvlak, en 'n kliënt wat die proxy vra om die hostnaam op te los hou die opsoektog binne die stroombaan. UDP reis nie so in gewone opsette nie, daarom kan 'n WireGuard-tonnel nie in Tor genest word sonder 'n ekstra TCP-aflos in die middel nie.
OpenVPN kan gedwing word om TCP te gebruik, so daardie reëling is ten minste beskryfbaar. Dit is ook stadiger en broser, en die foutmodus wanneer dit breek lyk identies aan 'n geblokkeerde poort. Verwag om langer te spandeer om daardie twee te onderskei as om enige van hulle reg te maak.
Opsoeking is die ander helfte. Met --socks5-hostname los die proxy die bestemming op, terwyl gewone --socks5 eers die plaaslike oplosser vra en die naam buite die stroombaan lek. Daardie enkele vlag bepaal of die naamopsoektog aan die ketting of aan jou ISP behoort.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Om die eerste gebreekte grens te vind
Toets die stadiums in die volgorde waarin die pakkette reis, met onskadelike versoeke, en stop by die eerste een wat misluk. Let op watter opdrag eerste geloop het, want die volgorde is deel van die bewyse. Twee opdragte skei 'n dooie stroombaan van 'n dooie uitgang:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Die eerste rapporteer of 'n versoek hoegenaamd deur die SOCKS-proxy voltooi word, en die tweede wys die adres wat die netwerk tans aanbied. As die eerste misluk en die tweede slaag, sit die probleem by of voor die Tor-kliënt. As albei slaag en die blaaier steeds misluk, gebruik die toepassing 'n ander pad as die dop.
'n Openbare-IP-bladsy beskryf ook net die laaste sigbare uitgang. Dit kan nie sê hoeveel spronge dit voorafgegaan het nie, so paar dit met die ondersteunde statusuitset van elke gereedskap eerder as om een nommer as 'n diagram te behandel.
Om te besluit wanneer om op te hou lae byvoeg
As jy nie in een sin kan sê wat 'n laag bydra nie, verwyder dit. 'n Ketting wie se doel onduidelik is, is 'n ketting wat niemand om drie in die oggend kan ontfout nie, en die privaatheidswins van 'n onverduidelikte hop is gewoonlik kleiner as die beskikbaarheid wat jy verloor.
As 'n laag wel sy plek verdien, toets dit eers alleen, voeg dan die volgende by en bevestig die pad weer met dieselfde twee opdragte. Herstel die volle ketting voor gewone gebruik, en hou TLS-validering en verifikasie aangeskakel; 'n sertifikaatwaarskuwing wat aanvaar word om 'n bladsy te laat laai is 'n roete-ompad, nie 'n herstel nie. Skryf die volgorde neer wat jy gekies het terwyl dit vars is.
Skryf daardie volgorde neer, insluitend die oplosser wat by elke stadium antwoord. 'n Werkende ketting wat jy kan beskryf oorleef die volgende opdatering, terwyl 'n werkende ketting wat jy deur probeer en foute saamgestel het daarmee verdwyn. Voeg die datum en die weergawes by, sodat 'n latere fout met 'n bekende-goeie toestand vergelyk kan word in plaas van uit die geheue betwis. Tien reëls in 'n tekslêer spaar 'n aand se raai.