Tor relayi və VPN serveri: niyə onları bir-biri ilə əvəz etmək olmaz

Bir ünvanınız var, port cavab verir və müştəri heç bir şikayət etmədən onu qəbul edir. Bunların heç biri Tor relayini VPN son nöqtəsi etmir və səhv baha başa gəlir, çünki profil təmiz şəkildə idxal olunur və sonra əl sıxma mərhələsində uğursuz olur. Aşağıdakı dörd yoxlamanı ardıcıllıqla istifadə edirəm; hər birinin dayanma şərti var və erkən dayanmaq məqsədin özüdür. Birinci yoxlama uğursuz olarsa, qalanları sizə kömək edə bilməz.

Portun əslində nəyə xidmət etdiyini yoxlayın

Açıq port yalnız dinləyicinin olduğunu sübut edir, başqa heç nə. Relayin ORPortu TLS əl sıxmasından sonra Torun öz hüceyrələri ilə danışır, buna görə uğurlu TLS yoxlaması orada VPN protokolunun qəbul edilib-edilmədiyi barədə demək olar ki, heç nə demir:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Sertifikatın mövcudluğuna deyil, sertifikatın özünə baxın. Relaylər qəsdən diqqəti çəkməyən adla özü-imzalanmış sertifikat təqdim edir, çünki relay trafiki adi HTTPS-ə bənzəməlidir; VPN serverinin sertifikatı isə profilinizin gözlədiyi adı daşıyır. Qarşı tərəf VPN protokolunun ilk paketini heç vaxt cavablandırmırsa, profil redaktəsinin heç bir miqdarı nəticəni dəyişməyəcək.

Əgər ünvan müştərinizin göndərdiyi əl sıxmanı tamamlamırsa, burada dayanın. Bu, konfiqurasiya problemi deyil, protokol cavabıdır və idxal edilmiş profilin əbədi olaraq 'connecting' vəziyyətində qalmasının ən çox rast gəlinən səbəbi məhz budur.

Şəbəkənin ölçüsünü deyil, relayin rolunu yoxlayın

Relay rolları müxtəlif işlər görür. Guard müştərilər üçün ilk atlama nöqtəsidir, orta relay dövrələri digər relaylər arasında ötürür, exit hədəflərə toxunan roldur və körpü BridgeDB vasitəsilə paylanan qeyri-public giriş nöqtəsidir. Torun ləğəti bu tərifləri ayrı saxlayır və əlçatanlıq hər rolun hissəsidir, halbuki ixtiyari müştərilərə xidmət icazəsi heç birinin hissəsi deyil.

Exit siyasəti oxumağa dəyər, çünki yönləndirmə qaydasına bənzəyən yeganə hissədir və exitin hansı hədəflərə çıxmağa icazə verdiyini idarə edir, hansı müştərilərin içəri buraxıldığını yox. 25-ci portu bloklayan məhdudlaşdırıcı exit siyasəti giden istifadədə sui-istifadə nəzarəti haqqında bir şey deyir, OpenVPN müştərini maşına yönəldə biləcəyiniz barədə yox.

Reputasiyadan çıxış edirsinizsə dayanın: relaylər trafiki ötürdüyü üçün ünvan sizin trafikinizi qəbul etməlidir. Tor yolları konsensus və öz protokolu ilə seçir; VPN müştəri iştirakçı deyil və qoşulacaq dövrəsi yoxdur.

SOCKS dinləyicisinin lokal və ya açıq olduğunu yoxlayın

Torun müştərisi eyni maşındakı tətbiqlər üçün SOCKS interfeysi təqdim edir, standart olaraq loopback üzərində. Bu dinləyici lokal rahatlıqdır, relayin internetə təklif etdiyi xidmət deyil və ona açıq proksi kimi yanaşmaq insanların nəticədə nəzərdə tutmadıqları açıq relay işlətməsinə gətirib çıxarır:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Bind ünvanı göstəricidir. 127.0.0.1:9050 üzərindəki SocksPort öz işini görür; 0.0.0.0 üzərində dinləyən və xaricdən əlçatan olan isə açıq proksidir və Torun öz giriş siyasəti nəzarətləri məhz bu ifşanın xüsusiyyət deyil, problem olması üçün mövcuddur.

Tor tələb edən tətbiq üçün onu loopback portuna yönəldin və adları Tor həll etsin; yuxarıdakı socks5h forması bunu edir. O port üçün relay ünvanını qoymayın; relay tətbiqinizin istədiyi interfeysi təklif etmir.

VPN profilinin real son nöqtəyə uyğun olduğunu yoxlayın

VPN profili gözləntilər toplusudur: OpenVPN server sertifikatı və ya CA, müştəri sertifikatı və açarı, adətən də TLS açarı tələb edir, WireGuard isə qarşı tərəfin açıq açarını, son nöqtəni və icazə verilmiş IP-ləri tələb edir. Bunların heç biri ünvandan və açıq portdan çıxarıla bilməz, buna görə bu cür qurulmuş profil qoşulmada deyil, ilk mübadilədə uğursuz olur.

Bir profil əlinizə verildikdə, onu nəzarət etdiyiniz son nöqtəyə və ya müəyyən edə bildiyiniz provayderə qarşı yoxlayın:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN jurnalında TLS danışıq xətası uyğunsuzluğu birbaşa göstərir; wg show çıxışında əl sıxma sətri olmayan qarşı tərəf heç vaxt əl sıxmanı tamamlamamışdır. Hər ikisi müştərinin fırlanan göstəricisindən daha məlumatlıdır və hər ikisi Toru deyil, açar materialını və ya protokolu göstərir.

Həqiqətən hansı müdafiəyə ehtiyacınız olduğunu yoxlayın

Memarlığı müəyyən edən yoxlama budur. Tor Browser sizə VPN-in vermədiyi dövrə izolyasiyası və barmaq izi müdafiəsi verir; VPN isə hədəfin gördüyü ünvanı dəyişir və sizi provayderə autentifikasiya edir. Onların arasında seçim uyğunluq deyil, təhdid modeli məsələsidir və onları qarışdırmaq şəxsi görünən, amma olmayan bir quruluş yaradır.

Zəncirin sırası var. Tor trafikini daşıyan VPN dəstəklənən bir tənzimdir, çünki Torun müştərisi yalnız giden TCP-yə ehtiyac duyur. Torun içində tunellənmiş VPN müştəri eyni şey deyil və Tor müştərisinin tətbiq etdiyi şey deyil, buna görə də buna əsaslanaraq plan qurmayın.

Bir şey idxal etməzdən əvvəl dördünü də təsdiqləyin:

• Port protokolunuzun əl sıxmasını tamamlayır, sadəcə TCP bağlantısını deyil.
• Hostun rolunu bilirsiniz və yönləndirməni icazə kimi qəbul etmirsiniz.
• İstifadə etdiyiniz SOCKS dinləyicisi loopback və sizindir, başqasının relayində açıq port deyil.
• Profilin açarları və ya sertifikatları bağlandığınız son nöqtəyə aiddir.