Рэлей Tor супраць сервера VPN: чаму іх нельга замяніць адзін адным

Адкрыты порт на рэлеі Tor — не канцавы пункт VPN. Спачатку праверце, што абслугоўвае порт, ролю рэлея, ахоп слухача SOCKS і профіль.

У вас ёсць адрас, порт адказвае, і кліент прымае яго без скаргаў. Нішто з гэтага не робіць рэлей Tor канцавым пунктам VPN, і памылка дарагая, бо профіль імпартуецца чыста і пазней правальваецца на рукапацісканні. Я выкарыстоўваю чатыры праверкі ніжэй па парадку; кожная мае ўмову спынення, і ранняе спыненне — гэта і ёсць мэта. Калі першая праверка правальваецца, астатнія вам не дапамогуць.

Праверце, што насамрэч абслугоўвае порт

Адкрыты порт даказвае наяўнасць слухача, не больш. ORPort рэлея гаворыць уласнымі сотавымі блокамі Tor пасля рукапаціскання TLS, таму паспяховая праверка TLS амаль нічога не кажа пра тое, ці прымаецца там пратакол VPN:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Чытайце сертыфікат, а не проста факт яго наяўнасці. Рэлеі прад'яўляюць самападпісаны сертыфікат з наўмысна непрыкметным імем, бо трафік рэлея павінен выглядаць як звычайны HTTPS; сертыфікат сервера VPN нясе імя, якога чакае ваш профіль. Калі суразмоўца ніколі не адказвае на першы пакет пратаколу VPN, ніякая колькасць праўкі профілю не зменіць вынік.

Спыніцеся тут, калі адрас не завяршае рукапацісканне, якое адпраўляе ваш кліент. Гэта адказ пратаколу, а не праблема канфігурацыі, і гэта самая частая прычына, чаму імпартаваны профіль назаўжды застаецца ў стане 'connecting'.

Праверце ролю рэлея, а не памер сеткі

Ролі рэлея выконваюць розныя задачы. Guard — гэта першы крок для кліентаў, сярэдні рэлей перадае ланцугі паміж іншымі рэлеямі, exit — той, што дакранаецца пунктаў прызначэння, а мост — гэта непублічны пункт уваходу, які выдаецца праз BridgeDB. Гласарый Tor трымае гэтыя азначэнні асобна, і дасяжнасць з'яўляецца часткай кожнай ролі, тады як дазвол абслугоўваць адвольных кліентаў не ўваходзіць ні ў адну з іх.

Палітыка exit вартая чытання, бо гэта адзіная частка, якая нагадвае правіла перасылкі, і яна кіруе тымі пунктамі прызначэння, куды exit дазволіць выхад, а не тымі кліентамі, якіх пускаюць унутр. Абмежавальная палітыка exit, якая блакуе порт 25, кажа нешта пра кантроль злоўжыванняў на выхадзе, а не пра тое, ці можна накіраваць кліент OpenVPN на гэтую машыну.

Спыніцеся, калі вы разважаеце ад рэпутацыі: паколькі рэлеі перасылаюць трафік, адрас павінен прымаць ваш. Tor выбірае шляхі праз кансенсус і ўласны пратакол; кліент VPN не з'яўляецца ўдзельнікам і не мае ланцуга, да якога можна далучыцца.

Праверце, ці слухач SOCKS лакальны або публічны

Кліент Tor падае інтэрфейс SOCKS для праграм на той жа машыне, па змаўчанні на loopback. Гэты слухач — лакальная зручнасць, а не паслуга, якую рэлей прапануе інтэрнэту, і стаўленне да яго як да публічнага проксі — гэта шлях да таго, каб людзі пачалі запускаць адкрыты рэлей, якога не мелі на ўвазе:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Адрас прывязкі — гэта падказка. SocksPort на 127.0.0.1:9050 робіць сваю працу; той, што слухае на 0.0.0.0 і дасяжны звонку, — гэта адкрыты проксі, і ўласныя кантролі палітыкі доступу Tor існуюць менавіта таму, што такое выкрыццё — праблема, а не магчымасць.

Для праграмы, якой патрэбны Tor, накіруйце яе на порт loopback і дайце Tor развязаць імёны, што і робіць форма socks5h вышэй. Не падмяняйце адрас рэлея гэтым портам; рэлей не прапануе інтэрфейс, які просіць ваша праграма.

Праверце, што профіль VPN адпавядае рэальнаму канцавому пункту

Профіль VPN — гэта набор чаканняў: OpenVPN патрабуе сертыфікат сервера або CA, сертыфікат кліента і ключ, а звычайна і ключ TLS, тады як WireGuard патрабуе публічны ключ суразмоўцы, канцавы пункт і дазволеныя IP. Нішто з гэтага нельга вывесці з адраса і адкрытага порта, таму профіль, пабудаваны такім чынам, правальваецца на першым абмене, а не пры падключэнні.

Калі вам перадаюць профіль, праверце яго супраць канцавога пункта, які вы кантралюеце, або пастаўшчыка, якога можаце ідэнтыфікаваць:

wg show
openvpn --config client.ovpn --verb 4

У журнале OpenVPN памылка ўзгаднення TLS непасрэдна называе неадпаведнасць; у wg show суразмоўца без радка рукапаціскання ніколі яго не завяршаў. Абодва больш інфарматыўныя, чым кружок чакання ў кліенце, і абодва паказваюць на ключавы матэрыял або пратакол, а не на Tor.

Праверце, якая абарона вам насамрэч патрэбна

Гэта праверка, якая вызначае архітэктуру. Tor Browser дае вам ізаляцыю ланцугоў і абарону ад адбіткаў пальцаў, якой не дае VPN; VPN змяняе адрас, які бачыць пункт прызначэння, і аўтэнтыфікуе вас у пастаўшчыка. Выбар паміж імі — пытанне мадэлі пагроз, а не пытанне сумяшчальнасці, і змешванне іх дае наладу, якая выглядае прыватнай і нею не з'яўляецца.

Ланцуговае злучэнне мае парадак. VPN, які нясе трафік Tor, — падтрымліваемая схема, бо кліенту Tor патрэбны толькі зыходны TCP. Кліент VPN, тунеляваны ўнутры Tor, — гэта не тое ж самае і не тое, што рэалізуе кліент Tor, таму не плануйце зыходзячы з гэтага.

Перш чым нешта імпартаваць, пацвердзіце ўсе чатыры:

  • Порт завяршае рукапацісканне вашага пратаколу, а не проста TCP-злучэнне.
  • Вы ведаеце ролю хоста і не ўспрымаеце перасылку як дазвол.
  • Слухач SOCKS, які вы выкарыстоўваеце, лакальны і ваш, а не публічны порт на чужым рэлеі.
  • Ключы або сертыфікаты профілю належаць канцавому пункту, да якога вы падключаецеся.

Падобныя артыкулы