Tor çıxış relayi və VPN çıxış serveri: hər biri nə bilir
Tor çıxış relayi və VPN çıxış serveri hər ikisi bir ictimai ünvan göstərir, lakin biliyi fərqli bölürlər. Görünürlük, əhatə və port siyasətini müqayisə edin.
Hər iki dizayn ünvanınızı bir ictimai IP arxasında gizlədir və gördüyü ünvanı çap edən sayt onları ayırd edə bilmir. Fərq yolda kimin nə öyrənməsində, nə qədər trafikin əhatə olunmasında və hansı portların işləməsinə icazə verildiyindədir. Tor çıxış relayi üç relayli dövrənin son addımıdır; VPN çıxış serveri tunelinizi bitirir və gedən bağlantını özü qurur. Budur hansı sistemin bir tapşırığa lazım olduğunu necə qərar verdiyim və birinin digəri kimi davrandığını fərz etməzdən əvvəl nəyi yoxladığım.
Bir ünvanda bitən iki yol
Tor qoruyucu, orta relay və çıxış vasitəsilə dövrə qurur və yükü qat-qat şifrələyir ki, hər relay yalnız öz qatını açsın. Çıxış təyinatla adi TCP bağlantısını qurur, buna görə təyinat çıxış ünvanını görür. Müştəriniz təyinatla heç vaxt birbaşa danışmır və qoruyucu da onu heç vaxt görmür.
VPN bir son nöqtəyə bir tuneldir. Operatorun serveri tuneli sökür və gedən bağlantını açır, buna görə təyinat yenə bir ünvan görür, bu dəfə operatorun ünvanını. Müşahidə olunan nəticə eynidir; bilik deyil. IP çap edən test hansı sistemdə olduğunuzu cavablandırır və həqiqətən fərqlənən etimad bölgüsü barədə heç nə demir.
Axırda kim nə bilir
VPN son nöqtəsi mənbə ünvanını, təyinatı, vaxtı və həcmi bir yerdə görür. Bu cəmləşmə dizaynın özüdür: bir operator, bir log səthi, istintaq üçün və ya səhv konfiqurasiya üçün bir yer. Qazandığınız hər şey həmin tərəfə etimaddan və son nöqtənin çıxış siyasətindən gəlir.
Tor bu biliyi bölür. Qoruyucu ünvanınızı bilir, təyinatı yox; çıxış təyinatı bilir, ünvanınızı yox. Relay hər ikisini öyrənməməlidir. Bu, struktur xassədir, qlobal müşahidəçiyə, vaxtları korrelyasiya edən relayə və ya kompromisə uğramış son nöqtəyə qarşı vəd deyil; ona görə də onu uğursuz ola bilməyən anonimlik kimi deyil, eyni riskin fərqli bölgüsü kimi qəbul edin.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Əhatə brauzer qərarı və ya marşrut qərarıdır
Tor Browser öz trafikini yönləndirir və adi VPN müştərisinin təkrarlamadığı qorumalar əlavə edir: barmaq izinə qarşı müqavimət, birinci tərəf izolyasiyası, sabit pəncərə ölçüsü və sessiya vəziyyətini atan Yeni Şəxsiyyət əməliyyatı. Digər tətbiqlər bu dövrədən istifadə etmir, əgər bunun üçün konfiqurasiya olunmayıbsa, və sistem səviyyəsində Tor qurulumu brauzerin quraşdırılmasından ayrı bir layihədir.
VPN əks formadır. Əhatə marşrut cədvəlinə uyğundur, buna görə AllowedIPs = 0.0.0.0/0 olan WireGuard profili hər şeyi əhatə edir, split-tunnel siyahısı isə yalnız adını çəkdiyi prefiksləri. Sızmalar da məhz bu mexanizmdə yaşayır: DNS sorğuları, IPv6 və WebRTC hər biri marşrut siyasətinin daxil etmədiyi yola gedə bilər. Uğursuz olan tətbiqin içindən yoxlayın, fərqli interfeys istifadə edə bilən brauzer tabından deyil.
Port siyasəti, bloklanan təyinatlar və HTTPS
Çıxış relayi gedən portları rədd etməkdə sərbəstdir və standart siyasət sui-istifadəyə meyilli portların siyahısını rədd edir, onların arasında SMTP port 25 də var. Buna görə Tor üzərindən konfiqurasiya edilmiş poçt müştərisi çıxışda uğursuz olur, bu isə şəbəkə nasazlığı kimi görünür və deyil. Relay işlədən operatorlar bunu açıq şəkildə təyin edir:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Təyinatlar da bloklayır və iki sistemi fərqli bloklayır. Tor çıxış ünvanları dərc olunur, buna görə sayt bütün siyahını rədd edə bilər; VPN son nöqtələri isə eyni dərəcədə rahat rədd edilən data mərkəzi aralıqlarında yerləşir. Səhifə uğursuz olduqda heç nəyi dəyişməzdən əvvəl üç namizədi ayırın: çıxış və ya egress siyasəti, mənbəni rədd edən təyinat və ya ilk sorğunu qaçıran captive portal.
Heç bir sistem nəqliyyat şifrələməsini əvəz etmir. Adi HTTP həm çıxış relayində, həm VPN son nöqtəsində oxunaqlıdır, buna görə HTTPS-i açıq saxlayın və sertifikat xəbərdarlığını rədd etmək əvəzinə oxuyun. İki yoxlama marşrut sualını tez həll edir: curl -s https://check.torproject.org/api/ip sorğu dövrədən keçdikdə IsTor qaytarır, curl -s https://ifconfig.me isə VPN-in təqdim edəcəyi egress ünvanını göstərir. İkisini də işlətmək shell-in həqiqətən hansı yoldan istifadə etdiyini deyir.
Birini digəri kimi istifadə etməyin
Çıxış relayinin ünvanı VPN profili deyil. OpenVPN və ya WireGuard müştərisini 443 portundakı relayə yönəltmək tunel yaratmır, çünki orada heç bir VPN xidməti dinləmir; relay başqasının dövrəsində bir addımdır. Əks istiqamətdə, VPN son nöqtəsi Tor üçün giriş nöqtəsi deyil və Tor Browser-in körpü ayarları kommersiya VPN host adını yapışdırmaq üçün yer deyil. Əgər Tor-u VPN üzərindən işlədirsinizsə, qoruyucu sizin yerinizə VPN ünvanını görür, bu isə iki rolu birləşdirmədən bölgünü dəyişir.
Seçim etməzdən əvvəl dörd suala ardıcıl cavab verin: son nöqtəni kim idarə edir və nə saxlayır, alət bu cihazda nəyi əhatə edir, egress siyasəti hansı portlara və təyinat nöqtələrinə icazə verir, və tətbiq şəbəkə yolundan başqa nə əlavə edir. Bir çox proqram üçün adi şəbəkə çıxışına ehtiyacı olan tapşırıq VPN istəyir. Brauzer səviyyəsində qorumalar və dövrə modeli lazım olan tapşırıq isə Tor Browser istəyir, güncəl saxlanılan. Cavab «hər ikisi»dirsə, onları qəsdən seçilmiş ardıcıllıqla işlədin və hər tərəfin hansı ünvanı gördüyünü yazın.