VPN üzərindən Tor: IP-nizi kim görür və Tor istifadəsini kim görür?

VPN müştərisini qoşursunuz, tuneli gözləyirsiniz, sonra Tor Browser-i açıb dövrə qurmasına imkan verirsiniz. Bu adi ardıcıllıq kimin nəyi gördüyünü müəyyən edir. Bu sıra ilə Tor giriş relesi VPN çıxış ünvanınızı, VPN provayderiniz isə açıq qoruyucu relesi qarşılayır. Əks qaydada etsəniz, hər iki müşahidəçi dəyişir. Hər iki sıra üzərindən keçməyə dəyər, çünki müştəri parametrləri insanların mövcud olduğuna inandığı sıranı səssizcə pozur və bunu tutan yoxlama hər iki halda eynidir.

Məhsulla deyil, sıra ilə başlayın

İki düzülüş «Tor ilə VPN» adlanır və yalnız birincisi geniş yayılıb. VPN üzərindən Tor-da Tor başlayanda tunel artıq qalxıb, ona görə də tor prosesi öz qoruyucu bağlantısını hər hansı digər çıxan trafik kimi tunelə göndərir. Tor üzərindən VPN-də əvvəl Tor qalxır və VPN sessiyası özü dövrədən keçərək provayderə Tor çıxışından çatır.

Aralarındakı fərq ən xarici halqanın uzaq ucunda hansı ünvanın durmasıdır. Hər müşahidəçi yalnız əvvəlki addımı görür, heç vaxt bütün yolu yox: qoruyucu ona kimin qoşulduğunu, VPN serveri isə ona kimin qoşulduğunu görür. Tor yerli tunel ünvanınızı bayıra daşımır və protokolda bunu edə biləcəyi heç bir sahə yoxdur.

Hər iki sırada təyinat veb-saytı yenə də Tor çıxışı görür və heç bir sıra həmin saytın girişinizdən öyrəndiyini dəyişmir. Fərq yalnız iki kənarla məhdudlaşır.

Tor giriş relesinin gördükləri

Giriş, yəni qoruyucu, rele portunda adi TCP bağlantısı qəbul edir və müştəri ilə TLS əl sıxışmasına başlayır. VPN üzərindən Tor quruluşunda həmin bağlantının mənbəyi VPN çıxışınızdır. Əvvəl Tor quruluşunda mənbə maşınınızın Tor şəbəkəsinə çatmaq üçün istifadə etdiyi ünvandır, adətən ev bağlantınız.

Bu, sualın IP hissəsinə cavab verir, ancaq tunel bağlantını həqiqətən daşıyıbsa. Tor prosesi qoruyucuya öz soketi ilə çatır və bu soket Tor Browser-in proksi parametrləri ilə idarə olunmur. Brauzer paketdə gələn tor prosesi ilə 9150 portunda SOCKS üzərindən danışır, sonra tor öz bağlantısını nüvənin marşrut cədvəlindən istifadə edərək açır. torrc-də Socks5Proxy sətri və ya müştəri nəqli bu yolu dəyişir. Başqa heç nə.

Linux-da cavabı maşından oxuya bilərsiniz. Nüvədən soruşun ki, təsadüfi bir ictimai ünvan üçün hansı interfeysi istifadə edərdi, sonra qurulmuş bağlantının yerli ünvanına baxın:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Marşrut dev wg0 və ya dev tun0 deyirsə və qurulmuş bağlantıdakı yerli ünvan tunel ünvanıdırsa, Tor VPN-in içindədir. Marşrut fiziki interfeysinizi adlandırırsa, o, xaricdədir — müştərinin öz göstəricisi nə deyirsə desin.

VPN provayderinizin görə bildikləri

Provayder VPN sessiyanızı sonlandırır, ona görə də qoşulduğunuz ünvanları görür. Qoruyucu rele ünvanları ictimai konsensusda dərc olunur və portları yaxşı məlumdur, ona görə birini uyğunlaşdırmaq dərin paket yoxlaması deyil, siyahı axtarışıdır. Provayderin sessiyanın Tor olduğunu bilmək üçün Tor-u sındırması lazım deyil.

Görmədiyi dövrənin qalan hissəsidir. Orta rele və çıxış Tor-un içində seçilir və provayder yalnız qoruyucuya gedən halqanı idarə edir. Səhifə məzmunu çıxışda sonlanan TLS-in içində qalır və Tor trafiki üçün ad həlli də çıxışda baş verir, ona görə də provayderdə təyinatla əlaqələndiriləcək heç bir DNS sorğusu yoxdur.

obfs4 ilə körpülər axtarışı dəyişir, topologiyanı yox. Körpü ünvanı ictimai rele siyahısında yoxdur və trafik Tor-a bənzəməmək üçün formalaşdırılır, ona görə yalnız ünvanları müqayisə edən operator onu fərq etməyəcək. Sessiya yenə də VPN müştərisinizdən gəlir və provayder yenə də bir son nöqtə, bir həcm və bir cədvəl görür.

İmkan saxlama siyasəti deyil

Bağlantını müşahidə edə bilən operator onu saxlamağa söz verməyib. Jurnal qeydi ayrı qərardır, siyasətdə yazılır, yurisdiksiya ilə məhdudlaşır və yalnız artıq güvəndiyiniz dəlillərlə yoxlanıla bilər. Jurnal saxlamırıq etiketi yuxarıda təsvir olunan şəbəkə rolunu dəyişmir.

Hesab kimliyi adətən çıxış ünvanından daha vacibdir. E-poçt ünvanı ilə daxil olmusunuzsa və ya kartla ödəmisinizsə, provayder bir təyinat qeyd etmədən sessiyanı sizinlə bağlaya bilər. Çıxış IP-lərini döndərmək buna heç nə etmir.

Hər iki cavaba güvənməzdən əvvəl əhatəni yoxlayın

VPN üzərindən Tor işlətdiyinə inananların çoxu onun yalnız bir hissəsini işlədir. Tor Browser-i istisna edən bölünmüş tunellemə, brauzeri əhatə edib tor xidmətini əhatə etməyən öldürmə açarı, tunel qalxmazdan əvvəl işləyən başlatma vahidi və tuneli yan keçən IPv6 yolu adətən görülən dörddür.

Müştərinin status ekranını oxumaq bunların heç birini yoxlamır. Yoxlayan test budur: Tor Browser-i işlək saxlayın, tuneli aşağı salın və qoruyucu bağlantısının fiziki interfeysdə qalıb-qalmadığını izləyin.

Yoxladığım sıra, ilk uğursuzluqda dayanaraq:

• ip route get 203.0.113.10 tunel cihazını qaytarır.
• ss -tnp | grep -i tor qoruyucu bağlantısını tunel yerli ünvanı ilə göstərir.
• ip -6 route tuneldən kənarda standart marşruta malik deyil və ya müştəridə IPv6 söndürülüb.
• VPN-i söndürmək tor bağlantısını fiziki rabitədə buraxmaq əvəzinə onu bitirir və ya marşrutunu dəyişir.

Hansı sıra müdafiə etdiyiniz şeyə uyğundur

Hər iki sıra nəyisə gizlədir və nəyisə açır, ona görə cavab sizi maraqlandıran müşahidəçi barədə seçimdir.

Qarşısını almaq istədiyiniz şeyə uyğun sətir tapana qədər sütunla oxuyun. Narahatlıq Tor-u qeyd edən və ya bloklayan yerli şəbəkə və ya ISP-dirsə, VPN üzərindən Tor bunu həll edir. Narahatlıq VPN operatorunun ev ünvanınızı öyrənməsidirsə, Tor üzərindən VPN bunu həll edir və bunun əvəzini Tor istifadəsini öz şəbəkənizə, ev ünvanınızı isə qoruyucuya göstərməklə ödəyir.

Heç bir düzülüş hər iki kənarı kor qoymur. Müşahidəçi əlavə etmək digərini aradan qaldırmır. Tor Project-in VPN-i Tor ilə birlikdə işlətmək barədə qeydi eyni fikri əks tərəfdən deyir: tunel kimə güvənildiyini və hansı uğursuzluq yollarının mövcud olduğunu dəyişir, ona görə nəyi gizlətmək istədiyinizə qərar vermədən onu əlavə etmək təkmilləşdirmə deyil.

Əvvəlcə müşahidəçiyə qərar verin, sonra sıranı seçin və müştərinin göstəricisi ilə deyil, ip route get və ss ilə yoxlayın. Müşahidəçi VPN provayderinin özünü məcbur edə bilən kimsədirsə, heç bir sıra seçimi bunu düzəltmir.