Выходны рэлей Tor супраць выхаднога сервера VPN: што ведае кожны
Выходны рэлей Tor і выхадны сервер VPN паказваюць адзін публічны адрас, але па-рознаму размяркоўваюць веды. Параўнайце бачнасць, пакрыццё і палітыку партоў.
Абедзве схемы хаваюць ваш адрас за адным публічным IP, і сайт, які друкуе адрас, што ён бачыць, не можа іх адрозніць. Розніца ў тым, хто што даведваецца па дарозе, якая частка трафіку ахоплена і якія парты дазволены. Выходны рэлей Tor — апошні крок ланцуга з трох рэлеяў; выхадны сервер VPN завяршае ваш тунель і сам устанаўлівае зыходнае злучэнне. Вось як я вырашаю, якая схема патрэбна задачы, і што правяраю, перш чым меркаваць, што адна паводзіць сябе як другая.
Два шляхі, якія заканчваюцца на адным адрасе
Tor будуе ланцуг праз вартавы рэлей, сярэдні рэлей і выхад і шыфруе нагрузку слаямі, так што кожны рэлей здымае толькі свой пласт. Выхад устанаўлівае звычайнае TCP-злучэнне з пунктам прызначэння, таму пункт прызначэння бачыць адрас выхаду. Ваш кліент ніколі не гаворыць з пунктам прызначэння напрамую, і вартавы рэлей таксама яго не бачыць.
VPN — гэта адзін тунель да аднаго канцавога пункта. Сервер аператара здымае тунель і адкрывае зыходнае злучэнне, таму пункт прызначэння таксама бачыць адзін адрас, на гэты раз адрас аператара. Назіраны вынік аднолькавы; веды — не. Тэст, які друкуе IP, адказвае, у якой сістэме вы знаходзіцеся, і нічога не кажа пра размеркаванне даверу, якое сапраўды адрозніваецца.
Хто ў рэшце рэшт што ведае
Канцавы пункт VPN бачыць адрас крыніцы, пункт прызначэння, час і аб'ём у адным месцы. Гэтая канцэнтрацыя і ёсць задума: адзін аператар, адна паверхня журналаў, адно месца для запыту або дрэннай налады. Усё, што вы атрымліваеце, паходзіць ад даверу да гэтага боку і ад палітыкі зыходу канцавога пункта.
Tor раздзяляе гэтыя веды. Вартавы рэлей ведае ваш адрас, але не пункт прызначэння; выхад ведае пункт прызначэння, але не ваш адрас. Рэлей не павінен даведвацца абодва. Гэта структурная ўласцівасць, а не абяцанне супраць глабальнага назіральніка, рэлея, які супастаўляе час, або скампраметаванага канцавога пункта, таму стаўцеся да яе як да іншага размеркавання той жа рызыкі, а не як да ананімнасці, якая не можа адмовіць.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Пакрыццё — гэта рашэнне браўзера або рашэнне маршруту
Tor Browser накіроўвае свой трафік і дадае аховы, якія звычайны кліент VPN не ўзнаўляе: супраціў адбіткам, ізаляцыя першага боку, фіксаваны памер акна і дзеянне «Новая асоба», якое скідвае стан сеансу. Іншыя праграмы не выкарыстоўваюць гэты ланцуг, калі не наладжаны на гэта, а сістэмная ўстаноўка Tor — асобны праект ад усталявання браўзера.
VPN мае процілеглую форму. Пакрыццё ідзе за табліцай маршрутаў, таму профіль WireGuard з AllowedIPs = 0.0.0.0/0 захоплівае ўсё, а спіс split-tunnel — толькі названыя прэфіксы. Менавіта ў гэтым механізме жывуць і ўцечкі: запыты DNS, IPv6 і WebRTC могуць кожны выбраць шлях, якога няма ў палітыцы маршрутаў. Правярайце знутры праграмы, якая не спрацавала, а не з укладкі браўзера, якая можа выкарыстоўваць іншы інтэрфейс.
Палітыка партоў, заблакаваныя пункты прызначэння і HTTPS
Выхадны рэлей можа адмаўляць у зыходных партах, і палітыка па змаўчанні адхіляе спіс партоў, схільных да злоўжыванняў, сярод іх порт SMTP 25. Таму паштовы кліент, наладжаны праз Tor, падае на выхадзе, што выглядае як збой сеткі і ім не з'яўляецца. Аператары, якія трымаюць рэлей, задаюць гэта яўна:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Пункты прызначэння таксама блокуюць, і яны блокуюць дзве сістэмы па-рознаму. Адрасы выхаду Tor публікуюцца, таму сайт можа адхіліць увесь спіс; канцавыя пункты VPN знаходзяцца ў дыяпазонах дата-цэнтраў, якія адхіляюцца гэтак жа лёгка. Калі старонка падае, аддзяліце тры кандыдаты, перш чым нешта змяняць: палітыку выхаду або зыходу, пункт прызначэння, які адмаўляе крыніцу, або captive portal, які перахапляе першы запыт.
Ні адна з сістэм не замяняе шыфраванне транспарту. Звычайны HTTP чытэльны і на выходным рэлеі, і на канцавым пункце VPN, таму трымайце HTTPS уключаным і чытайце папярэджанне пра сертыфікат, а не адмахвайцеся ад яго. Дзве праверкі хутка вырашаюць пытанне маршруту: curl -s https://check.torproject.org/api/ip вяртае IsTor, калі запыт прайшоў праз ланцуг, а curl -s https://ifconfig.me паказвае адрас зыходу, які прадставіў бы VPN. Запуск абедзвюх падскажа, які шлях насамрэч выкарыстоўвае абалонка.
Не выкарыстоўвайце адно як другое
Адрас выходнага рэлея — не профіль VPN. Направіць кліент OpenVPN або WireGuard на рэлей на парце 443 не стварае тунель, бо там не слухае ніякая служба VPN; рэлей — гэта крок у чужым ланцугу. У адваротным кірунку канцавы пункт VPN не з'яўляецца пунктам уваходу для Tor, а налады мастоў Tor Browser — не месца, каб уставіць імя хоста камерцыйнага VPN. Калі вы запускаеце Tor праз VPN, вартавы рэлей бачыць адрас VPN замест вашага, што змяняе размеркаванне, не зліваючы дзве ролі.
Перад выбарам адкажыце на чатыры пытанні па парадку: хто кіруе канцавым пунктам і што ён захоўвае, што пакрывае інструмент на гэтай прыладзе, якія парты і пункты прызначэння дазваляе палітыка зыходу, і што дадае праграма звыш сеткавага шляху. Задачы, якой патрэбны звычайны сеткавы доступ для многіх праграм, патрэбен VPN. Задачы, якой патрэбны аховы ўзроўню браўзера і мадэль ланцуга, патрэбны Tor Browser, падтрыманы ў актуальным стане. Калі адказ «абодва», запускайце іх у свядома выбраным парадку і запішыце, які адрас бачыць кожны бок.