VPN праз Tor: спачатку праверка транспарту

Tor-першым значыць, што кліент VPN стаіць за проксі SOCKS, так што тунель будуецца праз Tor, а трафік праграм выходзіць з канчатковага пункта VPN. Гэта адзін канкрэтны парадак, і гэта не тое, што будуе большасць людзей. Адкрыццё Tor Browser побач са звычайным кліентам VPN не прымушае ні адну з дзвюх праграм выкарыстоўваць шлях другой.

Праходзьце праверкі па чарзе. Кожная вырашае, ці варта пачынаць наступную.

Які парадак вы насамрэч будуеце

Два парадкі блытаюць у адной размове. Tor спачатку значыць, што кліент VPN дасягае свайго сервера праз проксі SOCKS, так што тунель будуецца па-над Tor. VPN спачатку значыць, што трафік Tor выходзіць праз тунель, што большасць людзей будуе выпадкова і потым апісвае як другі варыянт. Першы засяроджвае мяжу перасылкі ў аператара VPN, другі засяроджвае яе на ўваходзе і выхадзе Tor. Ні адзін не з'яўляецца тым, што вы атрымліваеце, трымаючы абедзве праграмы адкрытымі адначасова.

Запішыце, які парадак патрэбны задачы, перш чым нешта наладжваць, бо абодва патрабуюць розных наладаў праграм і церпяць няўдачу ў розных месцах. Няправільна названы парадак адпраўляе вас гадзіну шукаць памылку не ў тым узроўні. Усё ніжэй мяркуе Tor спачатку.

Праверце транспарт раней за ўсё

Інтэрфейс SOCKS у Tor пераносіць патокі TCP і не дае агульнай асацыяцыі UDP. VPN, транспарт якога — UDP, не можа разглядаць гэты проксі як звычайны сеткавы інтэрфейс, і ніякая налада кліента не зменіць тое, што проксі гатовы перадаць. WireGuard у сваёй звычайнай форме — відавочная ахвяра. Профіль OpenVPN у рэжыме TCP — звычайны выйсцевы шлях, і яму ўсё яшчэ трэба яўна сказаць выкарыстоўваць проксі.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Пераканайцеся, што проксі слухае і можа перанесці адзін звычайны запыт HTTPS, перш чым адладжваць праз яго тунель. Калі звычайны запыт не ўдаецца, кліент VPN ніколі не дасягне поспеху, і ягоныя журналы не скажуць вам чаму.

Перапішыце карту назіральніка

Уваход Tor можа бачыць крыніцу, якая падключаецца да Tor, калі нешта ранейшае яе не змяніла, таму гэты крок даведваецца ваш адрас. Пастаўшчык VPN атрымлівае злучэнне, якое прыходзіць з боку Tor, але ўсё яшчэ можа ведаць уліковы запіс, плацёжны запіс або ўліковыя даныя, якія вы адправілі ўнутры тунеля. Пункты прызначэння, дасягнутыя праз VPN, бачаць яго выхад, а не выхад Tor, і гэта засяроджвае канчатковую мяжу перасылкі ў аднаго аператара.

Ён таксама не стварае размеркаваны шлях да кожнага пункта прызначэння. Tor Browser будуе свежае кола на кожны сайт; VPN, які пераносіцца праз Tor, будуе адзін тунель, і кожны сайт за ім дзеліць гэты канчатковы пункт. Стаўцеся да розніцы як да факту дызайну, а не як да абмежавання, якое трэба звесці да нуля.

Падлічыце ўзроўні збояў, калі ўсё ламаецца

Зламаная ўстаноўка мае як мінімум чатыры незалежныя ўзроўні: злучэнне SOCKS, рукапоціск TLS з серверам VPN, сам рукапоціск VPN і далей маршрутызацыю або развязанне імёнаў унутры тунеля. Кожны збаўляе з розным сімптомам і кожнаму патрэбна розная папраўка. Паслабленне праверкі сертыфікатаў праз тое, што тунель не ўзнімаецца, — класічны няправільны дыягназ, і ён ператварае праблему транспарту ў праблему бяспекі.

Запішыце першы ўзровень, які збаўляе, і спыніцеся там. Адмова проксі і адхілены ключ — не варыяцыі адной падзеі.

Спыніцеся, калі мадэль пагроз патрабуе абароны Tor Browser

Маршрутызацыя адвольных праграм праз VPN, які пераносіцца Tor, не дае гэтым праграмам функцый адбіткаў і ізаляцыі Tor Browser. Іхнія ўліковыя запісы, ідэнтыфікатары і ўласныя сеткавыя паводзіны застаюцца значнымі, і тунель нічога з гэтага не нармалізуе. Калі мэта — браўзер, які змешваецца з іншымі карыстальнікамі, гэты парадак яе не дае.

Сам Tor Project папярэджвае супраць камбінацый, якія карыстальнікі не могуць правільна наладзіць, і гэтая адносіцца да большасці людзей. Гэта наўмысны дызайн для вузкай мадэлі пагроз, а не кароткі шлях да ананімнага трафіку ўсёй прылады.