Tor عبر VPN: من يرى عنوان IP الخاص بك، ومن يرى استخدامك لـ Tor؟

أنت تتصل بعميل VPN، وتنتظر النفق، ثم تفتح Tor Browser وتدعه يبني دائرة. هذا التسلسل العادي هو ما يحدد من يرى ماذا. بهذا الترتيب يستقبل مرحّل الدخول في Tor عنوان خروج VPN الخاص بك، ويستقبل مزوّد VPN الخاص بك مرحّل حارس عام. افعلها بالترتيب المعاكس فيتغيّر كلا المراقبين. يستحق كل ترتيب أن يُفحص خطوة بخطوة، لأن إعدادات العميل تكسر بهدوء التسلسل الذي ظنّ الناس أنه قائم، والاختبار الذي يكشف ذلك هو نفسه في كلتا الحالتين.

ابدأ بالترتيب، لا بالمنتج

يُطلق على ترتيبين اسم «VPN مع Tor»، والأول فقط هو الشائع. في Tor عبر VPN يكون النفق قائمًا بالفعل عند بدء Tor، فيرسل عملية tor اتصالها بالحارس داخل النفق كأي حركة صادرة أخرى. في VPN عبر Tor يبدأ Tor أولًا، وتمر جلسة VPN نفسها عبر الدائرة وتصل إلى المزوّد من مخرج Tor.

ما يتغيّر بينهما هو أي عنوان يقف عند الطرف البعيد من الحلقة الخارجية. كل مراقب يرى القفزة السابقة فقط، لا المسار كله: يرى الحارس من اتصل به، ويرى خادم VPN من اتصل به. لا ينقل Tor عنوان نفقك المحلي إلى الخارج، ولا يوجد حقل في البروتوكول يستطيع ذلك.

في كلا الترتيبين يرى موقع الوجهة مخرج Tor، ولا يغيّر أي ترتيب ما يتعلمه ذلك الموقع من تسجيل دخولك. الفرق محصور في الحافتين.

ما يراه مرحّل الدخول في Tor

يقبل الدخول، أو الحارس، اتصال TCP عاديًا على منفذ مرحّل ويبدأ مصافحة TLS مع العميل. في إعداد Tor عبر VPN يكون مصدر ذلك الاتصال مخرج VPN الخاص بك. في إعداد Tor أولًا يكون المصدر هو العنوان الذي استخدمه جهازك للوصول إلى شبكة Tor، وهو عادة اتصالك المنزلي.

هذا يجيب عن نصف السؤال المتعلق بعنوان IP، لكن فقط إذا كان النفق قد حمل الاتصال فعلًا. تصل عملية Tor إلى الحارس عبر مقبس خاص بها، وهذا المقبس لا يخضع لإعدادات الوكيل في Tor Browser. يتحدث المتصفح إلى عملية tor المضمّنة عبر SOCKS على المنفذ 9150، ثم يفتح tor اتصاله الخاص مستخدمًا جدول التوجيه في النواة. سطر Socks5Proxy في torrc، أو نقل عميل، يغيّر ذلك المسار. لا شيء غير ذلك.

على Linux يمكنك قراءة الجواب من الجهاز. اسأل النواة عن الواجهة التي ستستخدمها لعنوان عام عشوائي، ثم انظر إلى العنوان المحلي للاتصال القائم:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

إذا قال المسار dev wg0 أو dev tun0، وكان العنوان المحلي على الاتصال القائم هو عنوان النفق، فإن Tor داخل VPN. وإذا سمّى المسار واجهتك الفعلية، فهو خارجها، مهما ادّعى مؤشر العميل.

ما يستطيع مزوّد VPN الخاص بك رؤيته

ينهي المزوّد جلسة VPN الخاصة بك، لذا يرى العناوين التي تتصل بها. عناوين مرحّلات الحارس منشورة في الإجماع العام ومنافذها معروفة، لذا مطابقة أحدها عملية بحث في قائمة لا فحص عميق للحزم. لا يحتاج المزوّد إلى كسر Tor ليعرف أن جلسة ما هي Tor.

ما لا يراه هو بقية الدائرة. يُختار المرحّل الأوسط والمخرج داخل Tor، ولا يتعامل المزوّد إلا مع الحلقة المؤدية إلى الحارس. يبقى محتوى الصفحة داخل TLS ينتهي عند المخرج، ويحدث تحليل الأسماء لحركة Tor عند المخرج أيضًا، لذا لا يوجد أي استعلام DNS عند المزوّد يمكن ربطه بوجهة.

تغيّر الجسور مع obfs4 البحث، لا الطوبولوجيا. عنوان الجسر غائب عن قائمة المرحّلات العامة وتُشكّل الحركة لتبدو غير شبيهة بـ Tor، لذا لن يميّزها مشغّل يقارن العناوين فقط. لا تزال الجلسة تأتي من عميل VPN الخاص بك، ولا يزال المزوّد يرى نقطة نهاية واحدة وحجمًا واحدًا وجدولًا زمنيًا واحدًا.

القدرة ليست سياسة احتفاظ

المشغّل الذي يستطيع ملاحظة اتصال لم يتعهد بالاحتفاظ به. التسجيل قرار منفصل، مكتوب في سياسة، ومقيّد بالولاية القضائية، ولا يمكن التحقق منه إلا بأدلة تثق بها أصلًا. لا تغيّر عبارة انعدام السجلات الدور الشبكي الموصوف أعلاه.

هوية الحساب تهم أكثر من عنوان المخرج عادة. إذا سجّلت الدخول بعنوان بريد إلكتروني، أو دفعت ببطاقة، فيمكن للمزوّد ربط الجلسة بك دون تسجيل وجهة واحدة. تدوير عناوين IP للمخرج لا يفعل شيئًا حيال ذلك.

تحقق من التغطية قبل أن تثق بأي من الجوابين

معظم من يعتقدون أنهم يشغّلون Tor عبر VPN يشغّلون جزءًا منه فقط. النفق المنقسم الذي يستثني Tor Browser، ومفتاح الإيقاف الذي يغطي المتصفح لا خدمة tor، ووحدة التشغيل التي تعمل قبل قيام النفق، ومسار IPv6 حول النفق هي الأربعة المعتادة.

قراءة شاشة حالة العميل لا تختبر أيًا منها. الاختبار الذي يفعل ذلك: اترك Tor Browser يعمل، وأوقف النفق، وراقب ما إذا كان اتصال الحارس يبقى على الواجهة الفعلية.

الترتيب الذي أتحقق به، وأتوقف عند أول إخفاق:

• ip route get 203.0.113.10 يعيد جهاز النفق.
• ss -tnp | grep -i tor يُظهر اتصال الحارس بعنوان محلي للنفق.
• ip -6 route لا يحتوي على مسار افتراضي خارج النفق، أو أن IPv6 معطّل في العميل.
• إسقاط VPN ينهي اتصال tor أو يعيد توجيهه بدلًا من تركه على الرابط الفعلي.

أي ترتيب يناسب ما تدافع عنه

كلا الترتيبين يخفي شيئًا ويكشف شيئًا، لذا الجواب اختيار بشأن المراقب الذي يهمك.

اقرأه عمودًا بعمود حتى يطابق صف ما تحاول منعه. إذا كان القلق شبكة محلية أو مزوّد خدمة إنترنت يسجّل Tor أو يحجبه، فإن Tor عبر VPN يعالج ذلك. وإذا كان القلق أن يتعرّف مشغّل VPN على عنوان منزلك، فإن VPN عبر Tor يعالج ذلك، ويدفع ثمنه بكشف استخدام Tor لشبكتك وعنوان منزلك للحارس.

لا يترك أي ترتيب الحافتين عمياء. إضافة مراقب لا تزيل آخر. ملاحظة مشروع Tor عن تشغيل VPN مع Tor تقول الشيء نفسه من الاتجاه الآخر: يغيّر النفق من يُوثق به وأي مسارات فشل توجد، لذا ليس ترقية تُضاف دون تحديد ما أردت إخفاءه.

قرّر المراقب أولًا، واختر الترتيب ثانيًا، وتحقق بـ ip route get و ss بدلًا من مؤشر العميل. إذا كان المراقب شخصًا يستطيع إجبار مزوّد VPN نفسه، فلا ترتيب يصلح ذلك.