VPN перад Tor: што насамрэч змяняе парадак

Калі спачатку падключыць VPN, узнікае пэўны ланцуг: прылада, канцавая кропка VPN, уваход Tor, ланцуг Tor, прызначэнне. Ваша лакальная сетка бачыць адно зашыфраванае злучэнне з VPN, а ўваходны вузел Tor бачыць выхад VPN як непасрэдную крыніцу замест адраса вашага правайдэра. Аператар VPN, у сваю чаргу, бачыць злучэнні ў бок інфраструктуры ўваходу Tor і можа вывесці выкарыстанне Tor па прызначэннях. Кожны назіральнік нешта губляе і нешта набывае, таму парадак — гэта абмен, а не паляпшэнне.

Нішто ў гэтым ланцугу не змяняе таго, што сайт даведваецца з вашага ўліковага запісу, кукі або ўведзеных звестак.

Што змяняе парадак

Лакальная сетка і правайдэр губляюць прамы доступ да бачання вашага трафіку Tor, бо першы скачок цяпер — зашыфраваны тунель да правайдэра. Уваходны вартавы Tor губляе ваш дамашні адрас і бачыць выхад VPN. Правайдэр VPN набывае метаданыя, якія раней трымаў ваш правайдэр: якія адрасы вы наведваеце, у які час і колькі даных перадаецца.

Пасля ўваходнага вартавога ланцуг працуе як раней. Рэле па-ранейшаму раздзяляюць ролі ўваходу, сярэдзіны і выхаду, і VPN не бачыць канчатковы змест больш, чым бачыў ваш правайдэр.

Пацвердзіце шлях, які фактычна выкарыстоўваецца

Раздзеленае тунеляванне — звычайная прычына таго, што меркаваны ланцуг не з'яўляецца рэальным.Калі Tor Browser выключаны з тунеля, або другі профіль маршрутызуецца інакш, уваходны вартавы зноў бачыць адрас правайдэра, хаця інтэрфейс па-ранейшаму выглядае падключаным. Правярайце маршрут і назіраны выхад, а не значок.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

На запыт SOCKS праз порт 9150 адказвае ўласны кліент Tor Browser, таму адказ IsTor true пацвярджае ланцуг браўзера, а не тое, што кожная іншая праграма выкарыстоўвае яго. Выхадныя даныя рэзалвера варта запісваць, бо DNS можа выходзіць па шляху, які тунель не пакрывае. Захоўвайце абодва выхады з адзнакай часу. Яны — база для наступнага параўнання.

Параўнайце з прамым запытам з звычайнага тэрмінала: калі ён таксама паведамляе пра Tor, нешта іншае перанакіроўвае трафік, і ланцуг не такі, як меркавала схема.

Сачыце за тым, што адбываецца, калі тунель абрываецца

Кліент, які моўчкі вяртаецца на лакальны інтэрфейс, змяняе крыніцу, якую бачыць уваходны вартавы, і карыстальнік звычайна не ведае пра гэта, бо старонка ўсё яшчэ загружаецца. Менавіта гэты збой варта тэставаць, а не шчаслівы шлях. Наўмысна адключыце тунель і паглядзіце, ці трафік Tor спыніцца або працягнецца без аховы.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Правілы міжсеткавага экрана, якія блокуюць зыходны трафік па-за тунелем, — адзіны надзейны кантроль рэзервовага пераключэння, і яны павінны пакрываць як SOCKS-кліент браўзера, так і любую іншую праграму, якая вам важная. Пашырэнне браўзера не з'яўляецца VPN на ўзроўні прылады і не ўплывае на іншыя праграмы ці знешніх назіральнікаў.

Вырашыце, ці заслугоўвае дадатковы слой даверу

Праект Tor не раіць ставіць VPN пад Tor, калі вы не можаце самі ацаніць наладку. Названая імі прычына — дадатковая залежнасць: яшчэ адзін бок, яшчэ адзін уліковы запіс і яшчэ адзін рэжым збою. Калі мэта — не даць правайдэру ўбачыць, што вы карыстаецеся Tor, VPN уздзейнічае менавіта на гэтага назіральніка. Калі мэта — мацнейшая ананімнасць супраць глабальнага назіральніка, VPN гэтага не дае.

Існуе і зваротны парадак, і назвы не ўзаемазамяняльныя:Tor па-над VPN і VPN па-над Tor апісваюць розныя адносіны даверу і розныя паводзіны пры збоі. Прачытайце параўнанне, перш чым змешваць іх.

Запішыце, якога назіральніка вы хочаце зрушыць, потым праверце, што рэальны шлях адпавядае схеме, потым праверце паводзіны пры збоі. Калі гэтыя тры адказы не апраўдваюць дадатковы ўліковы запіс і наладку, у дакументаванай наладзе Tor Browser менш частак, якія можна зрабіць няправільна.