Tor праз VPN: хто бачыць ваш IP, а хто — выкарыстанне Tor?

Вы падключаеце VPN-кліент, чакаеце тунель, а затым адкрываеце Tor Browser і дазваляеце яму пабудаваць ланцуг. Менавіта гэтая звычайная паслядоўнасць вырашае, хто што бачыць. Пры такім парадку ўваходны рэлей Tor бачыць адрас вашага VPN-выхаду, а ваш VPN-правайдэр бачыць публічны ахоўны рэлей. Зрабіце наадварот — і абодва назіральнікі зменяцца. Варта разгледзець абодва парадкі, бо налады кліента ціха ламаюць тую паслядоўнасць, якую людзі лічылі ўстоянай, а праверка, якая гэта выяўляе, у абодвух выпадках адна і тая ж.

Пачніце з парадку, а не з прадукту

Дзве кампаноўкі называюць «VPN з Tor», і толькі першая распаўсюджаная. У Tor праз VPN тунель ужо ўзняты, калі стартуе Tor, таму працэс tor накіроўвае сваё злучэнне з вартавым у тунель, як і любы іншы зыходны трафік. У VPN праз Tor спачатку ўзнімаецца Tor, і сама сесія VPN ідзе праз ланцуг, прыходзячы да правайдэра з выхаду Tor.

Паміж імі мяняецца тое, які адрас стаіць на далёкім канцы самага знешняга звяна. Кожны назіральнік бачыць толькі папярэдні крок, ніколі ўвесь шлях: вартавы бачыць таго, хто да яго падключыўся, а VPN-сервер бачыць таго, хто да яго падключыўся. Tor не выносіць ваш лакальны адрас тунеля вонкі, і ў пратаколе няма поля, дзе ён мог бы гэта зрабіць.

У абодвух парадках сайт прызначэння ўсё яшчэ бачыць выхад Tor, і ніводзін парадак не змяняе тое, што гэты сайт даведаецца з вашага ўваходу. Розніца абмяжоўваецца двума краямі.

Што бачыць уваходны рэлей Tor

Уваход, або вартавы, прымае звычайнае TCP-злучэнне на порце рэлея і пачынае TLS-рукапоціск з кліентам. У схеме Tor-праз-VPN крыніцай гэтага злучэння з'яўляецца ваш VPN-выхад. У схеме Tor-першым гэта той адрас, які ваша машына выкарыстала для доступу да сеткі Tor, звычайна ваша хатняе злучэнне.

Гэта адказвае на палову пытання пра IP, але толькі калі тунель сапраўды пранёс злучэнне. Працэс Tor дасягае вартавога праз уласны сокет, і гэты сокет не падпарадкоўваецца наладам проксі Tor Browser. Браўзер размаўляе з убудаваным працэсам tor праз SOCKS на 9150, а затым tor адкрывае ўласнае злучэнне, выкарыстоўваючы табліцу маршрутызацыі ядра. Радок Socks5Proxy у torrc або кліенцкі транспарт змяняе гэты шлях. Больш нішто.

У Linux адказ можна прачытаць з машыны. Спытайце ядро, які інтэрфейс яно выкарыстала б для адвольнага публічнага адраса, а затым паглядзіце на лакальны адрас усталяванага злучэння:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Калі маршрут паказвае dev wg0 або dev tun0, а лакальны адрас усталяванага злучэння — гэта адрас тунеля, то Tor знаходзіцца ўнутры VPN. Калі маршрут называе ваш фізічны інтэрфейс, ён звонку, што б ні сцвярджаў уласны індыкатар кліента.

Што можа бачыць ваш VPN-правайдэр

Правайдэр завяршае вашу сесію VPN, таму бачыць адрасы, да якіх вы падключаецеся. Адрасы вартавых рэлеяў публікуюцца ў публічным кансэнсусе, а іх парты добра вядомыя, таму супастаўленне — гэта пошук у спісе, а не глыбокая інспекцыя пакетаў. Правайдэру не трэба ламаць Tor, каб ведаць, што сесія — гэта Tor.

Чаго ён не бачыць, дык гэта рэшты ланцуга. Сярэдні рэлей і выхад выбіраюцца ўнутры Tor, і правайдэр апрацоўвае толькі звяно да вартавога. Змесціва старонкі застаецца ўнутры TLS, які завяршаецца на выхадзе, і развязанне імёнаў для трафіку Tor таксама адбываецца на выхадзе, таму няма DNS-запыту ў правайдэра, які можна суаднесці з прызначэннем.

Масты з obfs4 змяняюць пошук, а не тапалогію. Адрас моста адсутнічае ў публічным спісе рэлеяў, а трафік фармуецца так, каб не выглядаць як Tor, таму аператар, які толькі параўноўвае адрасы, не пазначыць яго. Сесія ўсё яшчэ ідзе ад вашага VPN-кліента, і правайдэр па-ранейшаму бачыць адну канчатковую кропку, адзін аб'ём і адзін графік.

Магчымасць — не палітыка захавання

Аператар, які можа назіраць за злучэннем, не абяцаў яго захоўваць. Журнаванне — асобнае рашэнне, запісанае ў палітыцы, абмежаванае юрысдыкцыяй і правяральнае толькі праз доказы, якім вы ўжо давяраеце. Этыкетка «без журналаў» не змяняе сеткавую ролю, апісаную вышэй.

Ідэнтычнасць уліковага запісу звычайна важнейшая за адрас выхаду. Калі вы ўвайшлі з адрасам электроннай пошты або заплацілі карткай, правайдэр можа звязаць сесію з вамі, не запісваючы ніводнага прызначэння. Ратацыя IP-адрасоў выхаду нічога з гэтым не робіць.

Праверце пакрыццё, перш чым давяраць любому з двух адказаў

Большасць тых, хто лічыць, што трымае Tor праз VPN, трымае толькі яго частку. Падзеленае тунеляванне, якое выключае Tor Browser, выключальнік, які ахоплівае браўзер, але не службу tor, блок запуску, які працуе да ўзняцця тунеля, і шлях IPv6 вакол тунеля — звычайныя чатыры.

Чытанне экрана стану кліента не правярае ніводнага з іх. Правярае вось што: пакіньце Tor Browser працаваць, апусціце тунель і паглядзіце, ці застанецца злучэнне з вартавым на фізічным інтэрфейсе.

Парадак, у якім я правяраю, спыняючыся на першай няўдачы:

• ip route get 203.0.113.10 вяртае прыладу тунеля.
• ss -tnp | grep -i tor паказвае злучэнне з вартавым з лакальным адрасам тунеля.
• ip -6 route не мае маршруту па змаўчанні па-за тунелем, або IPv6 выключаны ў кліенце.
• Адключэнне VPN спыняе або перанакіроўвае злучэнне tor замест таго, каб пакінуць яго на фізічным звяне.

Які парадак адпавядае таму, што вы абараняеце

Абодва парадкі нешта хаваюць і нешта паказваюць, таму адказ — гэта выбар назіральніка, які вам важны.

Чытайце па слупку, пакуль радок не супадзе з тым, што вы хочаце прадухіліць. Калі турбота — лакальная сетка або інтэрнэт-правайдэр, які запісвае або блакуе Tor, Tor праз VPN справіцца з гэтым. Калі турбота ў тым, што аператар VPN даведаецца ваш хатні адрас, з гэтым справіцца VPN праз Tor, і заплаціць за гэта, паказаўшы выкарыстанне Tor вашай уласнай сетцы, а хатні адрас — вартавому.

Ніводная кампаноўка не пакідае абодва краі сляпымі. Даданне назіральніка не выдаляе іншага. Заўвага Tor Project пра запуск VPN разам з Tor кажа тое ж самае з іншага боку: тунель змяняе тое, каму давяраюць, і якія шляхі збояў існуюць, таму гэта не паляпшэнне, якое дадаюць, не вырашыўшы, што вы хацелі схаваць.

Спачатку вырашыце назіральніка, потым выберыце парадак і правярайце з дапамогай ip route get і ss, а не індыкатара кліента. Калі назіральнік — той, хто можа прымусіць самога VPN-правайдэра, ніводны выбар парадку гэтага не выправіць.