VPN deur Tor: die transporttoets kom eerste

Tor-eerste beteken dat die VPN-kliënt agter 'n SOCKS-volmagproxy sit, so die tonnel word deur Tor gebou en toepassingverkeer verlaat die VPN-eindpunt. Dit is een bepaalde ordening, en dit is nie wat die meeste mense bou nie. Om Tor Browser langs 'n gewone VPN-kliënt oop te maak, dwing nie een van die twee programme om die ander se pad te gebruik nie.

Werk die toetse in volgorde deur. Elkeen bepaal of die volgende die moeite werd is om te begin.

Watter ordening bou jy eintlik

Twee ordenings word in dieselfde gesprek verwar. Tor eerste beteken die VPN-kliënt bereik sy bediener deur 'n SOCKS-volmagproxy, so die tonnel word oor Tor gebou. VPN eerste beteken Tor-verkeer verlaat deur die tonnel, wat die meeste mense per ongeluk bou en dan as die ander een beskryf. Die eerste konsentreer die deurvoergrens by die VPN-operateur, die tweede konsentreer dit by die Tor-ingang en -uitgang. Nie een is wat jy kry deur albei toepassings gelyktydig oop te hê nie.

Skryf neer watter een die taak nodig het voordat jy enigiets opstel, want die twee vereis verskillende sagteware-instellings en misluk op verskillende plekke. 'n Verkeerd benoemde ordening stuur jou vir 'n uur lank na die verkeerde laag om foute op te spoor. Alles hieronder aanvaar Tor eerste.

Toets die vervoer voor enigiets anders

Tor se SOCKS-koppelvlak dra TCP-strome en bied nie 'n algemene UDP-verbinding nie. 'n VPN wie se vervoer UDP is, kan daardie volmagproxy nie as 'n gewone netwerkkoppelvlak behandel nie, en geen kliëntinstelling verander wat die volmagproxy bereid is om deur te stuur nie. WireGuard in sy gewone vorm is die ooglopende slagoffer. 'n OpenVPN-profiel in TCP-modus is die algemene oplossing, en dit moet steeds eksplisiet aangesê word om die volmagproxy te gebruik.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Bevestig dat die volmagproxy luister en een gewone HTTPS-versoek kan dra voordat jy 'n tonnel daardeur ontfout. As die gewone versoek misluk, sal die VPN-kliënt nooit slaag nie en sy logboeke sal jou nie sê hoekom nie.

Herskryf die waarnemerkaart

Die Tor-ingang kan die bron sien wat na Tor toe verbind tensy iets vroeër dit verander het, so daardie sprong leer jou adres. Die VPN-verskaffer ontvang 'n verbinding wat van die Tor-kant af kom, maar mag steeds 'n rekening, 'n betalingsrekord of 'n geloofsbrief ken wat jy binne die tonnel gestuur het. Bestemmings wat deur die VPN bereik word, sien sy uitgang eerder as die Tor-uitgang, en dit konsentreer die finale deurvoergrens by een operateur.

Dit herskep ook nie 'n verspreide pad na elke bestemming nie. Tor Browser bou 'n vars kringloop per werf; 'n VPN wat oor Tor gedra word, bou een tonnel, en elke werf agter dit deel daardie eindpunt. Behandel die verskil as 'n ontwerpfeit eerder as 'n beperking wat weggestel moet word.

Tel die foutlae wanneer dit breek

'n Stukkende opstelling het minstens vier onafhanklike lae: die SOCKS-verbinding, die TLS-handdruk met die VPN-bediener, die VPN-handdruk self, en dan roetering of naamresolusie binne die tonnel. Elkeen misluk met 'n ander simptoom en elkeen het 'n ander herstelling nodig. Om sertifikaattoetse te verslap omdat die tonnel nie opkom nie, is die klassieke verkeerde diagnose, en dit verander 'n vervoerprobleem in 'n sekuriteitsprobleem.

Teken die eerste laag aan wat misluk en stop daar. 'n Volmagproxy-weiering en 'n verwerpte sleutel is nie variasies van dieselfde gebeurtenis nie.

Stop as die dreigmodel Tor Browser se verdedigings nodig het

Om willekeurige toepassings deur 'n VPN te roeteer wat deur Tor gedra word, gee daardie toepassings nie die vingerafdruk- en isolasiekenmerke van Tor Browser nie. Hulle rekeninge, identifiseerders en eie netwerkgedrag bly relevant, en 'n tonnel normaliseer niks daarvan nie. As die doel 'n blaaier is wat by ander gebruikers inpas, lewer hierdie ordening dit nie.

Die Tor Project self waarsku teen kombinasies wat gebruikers nie reg kan opstel nie, en hierdie een kwalifiseer vir die meeste mense. Dit is 'n doelbewuste ontwerp vir 'n smal dreigmodel, nie 'n kortpad na anonieme verkeer op die hele toestel nie.