VPN праз Tor, Tor праз VPN: чаму ланцуг рвецца
Калі VPN, Tor і проксі ўзведзеныя адно на другое, парадак вырашае, што будзе вырашана і што будзе перанесена. Знайдзіце першую парушаную мяжу, перш чым змяняць усе тры.
Узводзіць VPN, Tor і проксі праграмы адно на другое выглядае як памнажэнне прыватнасці, а насамрэч памнажае колькасць месцаў, дзе злучэнне можа памерці. Звычайны вынік — браўзер, які круціцца, пакуль усе тры інструменты паведамляюць, што ў іх усё добра. Калі змяніць усе тры налады адразу, знікае адзіная падказка пра тое, хто з іх хлусіць.
Спачатку намалюйце меркаваны шлях па парадку, назваўшы, якая праграма адкрывае кожнае злучэнне і якое імя вырашаецца на кожным кроку.
Узроўні не дадаюцца, яны ўзаемадзейнічаюць
VPN перад Tor азначае, што уваходнае злучэнне кліента Tor ідзе ўнутры тунеля. VPN, прапушчаны праз Tor, азначае, што ўласная канцавая кропка кліента VPN павінна быць дасягальнай праз Tor, а гэта зусім іншае патрабаванне. Проксі браўзера дадае яшчэ адзін пераход, пра які аперацыйная сістэма нічога не ведае. Тры кампаноўкі, тры асобныя спісы залежнасцей.
Кожная кампаноўка мяняе тое, што можна вырашыць, што можна перанесці і хто бачыць першы пакет. Толькі адна з іх можа быць той канфігурацыяй, якую вы мелі на ўвазе.
Дадайце на схему і прамы шлях. Рэзервовы маршрут, выключэнне для падзеленага тунеля або абыход проксі могуць дазволіць старонцы загрузіцца, ціха прапускаючы ланцуг, які вы хацелі праверыць, і такі поспех ашуквае мацней за няўдачу.
Парадак вызначае, што можна перанесці
Tor пераносіць патокі TCP праз інтэрфейс SOCKS, і кліент, які просіць проксі вырашыць імя хаста, пакідае запыт унутры ланцуга. UDP у звычайных канфігурацыях так не ходзіць, таму тунель WireGuard нельга ўкласці ў Tor без дадатковага TCP-рэлеа пасярэдзіне.
OpenVPN можна прымусіць працаваць праз TCP, таму такая кампаноўка хаця б апісальная. Яна таксама павольнейшая і крохчэйшая, а выгляд адмовы пры яе паломцы ідэнтычны заблакаванаму порту. Чакайце, што на адрозненне гэтых двух сыдзе больш часу, чым на рамонт любога з іх.
Вырашэнне — другая палова. З --socks5-hostname проксі вырашае прызначэнне, а звычайны --socks5 спачатку пытаецца ў лакальнага рэзалвера і выдае імя за межы ланцуга. Менавіта гэты адзін сцяжок вырашае, ці належыць пошук імя ланцугу, ці вашаму правайдару.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Як знайсці першую парушаную мяжу
Правярайце этапы ў тым парадку, у якім ідуць пакеты, бяскрыўднымі запытамі і спыніцеся на першым, што праваліцца. Запішыце, якая каманда выканалася першай, бо парадак — частка доказаў. Дзве каманды аддзяляюць мёртвы ланцуг ад мёртвага выхаду:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Першая паведамляе, ці завяршаецца запыт праз проксі SOCKS наогул, а другая паказвае адрас, які сетка прадстаўляе зараз. Калі першая не ўдалася, а другая ўдалася, праблема на кліенце Tor або перад ім. Калі абедзве ўдаліся, а браўзер усё роўна не працуе, праграма выкарыстоўвае іншы шлях, чым абалонка.
Старонка публічнага IP таксама апісвае толькі апошні бачны выхад. Яна не можа сказаць, колькі пераходаў было перад ім, таму спалучайце яе з падтрыманым вывадам стану кожнага інструмента, а не стаўцеся да аднаго ліку як да схемы.
Калі спыніць дадаванне ўзроўняў
Калі вы не можаце сказаць у адным сказе, што дадае ўзровень, прыбярыце яго. Ланцуг, мэта якога незразумелая, — гэта ланцуг, які ніхто не зможа адладзіць у трэцяй гадзіне ночы, а прырост прыватнасці ад непатлумачанага пераходу звычайна меншы за страчаную даступнасць.
Калі ўзровень сапраўды варты свайго месца, спачатку праверце яго асобна, потым дадайце наступны і зноў пацвердзіце шлях тымі ж двума камандамі. Аднавіце поўны ланцуг перад звычайным выкарыстаннем і пакіньце праверку TLS і аўтэнтыфікацыю ўключанымі; папярэджанне пра сертыфікат, прынятае дзеля загрузкі старонкі, — гэта абыход маршрутызацыі, а не рамонт. Запішыце парадак, на якім вы спыніліся, пакуль ён свежы.
Запішыце гэты парадак, уключна з рэзалверам, які адказвае на кожным этапе. Працоўны ланцуг, які вы можаце апісаць, перажыве наступнае абнаўленне, а працоўны ланцуг, сабраны метадам спроб, знікне разам з ім. Дадайце дату і версіі, каб пазнейшую адмову можна было параўнаць з вядомым добрым станам, а не спрачацца па памяці. Дзесяць радкоў у тэкставым файле зэканомяць вечар здагадак.