Изходен релей на Tor срещу изходен сървър на VPN: какво знае всеки
Изходният релей на Tor и изходният сървър на VPN показват един публичен адрес, но разпределят знанието по различен начин. Сравнете видимостта, обхвата и политиката за портове.
И двата дизайна скриват адреса ви зад един публичен IP и сайт, който отпечатва адреса, който вижда, не може да ги различи. Разликата е кой какво научава по пътя, колко трафик е обхванат и кои портове е разрешено да работят. Изходният релей на Tor е последната стъпка от верига с три релея; изходният сървър на VPN прекратява тунела ви и сам осъществява изходящата връзка. Ето как решавам кой от двата е нужен за дадена задача и какво проверявам, преди да приема, че единият се държи като другия.
Два пътя, които завършват на един адрес
Tor изгражда верига през охранителен релей, среден релей и изход и криптира полезния товар на слоеве, така че всеки релей отстранява само своя слой. Изходът осъществява обикновената TCP връзка към дестинацията, затова дестинацията вижда адреса на изхода. Клиентът ви никога не говори директно с дестинацията и охранителният релей също не я вижда.
VPN е един тунел към една крайна точка. Сървърът на оператора премахва тунела и отваря изходящата връзка, така че дестинацията също вижда един адрес, този път на оператора. Наблюдаваният резултат е същият; знанието не е. Тест, който отпечатва IP, отговаря в коя система сте и нищо за разпределението на доверието, което всъщност се различава.
Кой в крайна сметка какво знае
Крайната точка на VPN вижда адреса на източника, дестинацията, времето и обема на едно място. Тази концентрация е дизайнът: един оператор, една повърхност за логове, едно място за призовка или за лоша конфигурация. Всичко, което печелите, идва от доверието в тази страна и от изходящата политика на крайната точка.
Tor разделя това знание. Охранителният релей знае адреса ви, но не дестинацията; изходът знае дестинацията, но не адреса ви. Релеят не бива да научава и двете. Това е структурно свойство, а не обещание срещу глобален наблюдател, релей, който съпоставя времена, или компрометирана крайна точка, затова го третирайте като различно разпределение на същия риск, а не като анонимност, която не може да се провали.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Обхватът е решение на браузъра или на маршрута
Tor Browser насочва собствения си трафик и добавя защити, които обикновен VPN клиент не възпроизвежда: устойчивост на отпечатъци, изолация на първа страна, фиксиран размер на прозореца и действие „Нова самоличност“, което изхвърля състоянието на сесията. Други приложения не използват тази верига, освен ако не са конфигурирани за това, а системната инсталация на Tor е отделен проект от инсталирането на браузъра.
VPN е с противоположна форма. Обхватът следва таблицата за маршрутизация, така че профил на WireGuard с AllowedIPs = 0.0.0.0/0 улавя всичко, а списък за разделен тунел улавя само префиксите, които посочва. Именно в този механизъм живеят и течовете: DNS заявки, IPv6 и WebRTC могат да поемат път, който политиката за маршрути не включва. Проверявайте отвътре в приложението, което се е провалило, а не от раздел на браузъра, който може да използва друг интерфейс.
Политика за портове, блокирани дестинации и HTTPS
Изходният релей е свободен да отказва изходящи портове и политиката по подразбиране отхвърля списък от портове, податливи на злоупотреба, сред които е SMTP порт 25. Затова пощенски клиент, конфигуриран през Tor, се проваля на изхода, което изглежда като мрежова повреда и не е. Операторите, които поддържат релей, задават това изрично:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Дестинациите също блокират и блокират двете системи по различен начин. Адресите на изходите на Tor са публикувани, така че сайт може да откаже целия списък; крайните точки на VPN се намират в диапазони на датацентрове, които се отказват също толкова лекомислено. Когато страница се провали, отделете трите кандидата, преди да промените нещо: политика за изход или изходящ трафик, дестинация, която отказва източника, или captive portal, който отвлича първата заявка.
Нито една от системите не замества транспортното криптиране. Обикновеният HTTP е четим и на изходния релей, и на крайната точка на VPN, затова оставете HTTPS включен и прочетете предупреждението за сертификата, вместо да го отхвърлите. Две проверки решават въпроса за маршрута бързо: curl -s https://check.torproject.org/api/ip връща IsTor, когато заявката е минала през верига, а curl -s https://ifconfig.me показва изходящия адрес, който VPN би представил. Стартирането на двете ви казва кой път всъщност използва обвивката.
Не използвайте едното като другото
Адресът на изходен релей не е VPN профил. Насочването на клиент на OpenVPN или WireGuard към релей на порт 443 не създава тунел, защото там не слуша VPN услуга; релеят е стъпка във веригата на някой друг. В обратната посока крайната точка на VPN не е входна точка за Tor, а настройките за мостове на Tor Browser не са място за поставяне на име на хост на търговски VPN. Ако пускате Tor през VPN, охранителният релей вижда адреса на VPN вместо вашия, което променя разпределението, без да слива двете роли.
Преди да изберете, отговорете на четири въпроса по ред: кой управлява крайната точка и какво запазва, какво покрива инструментът на това устройство, кои портове и дестинации позволява изходящата политика и какво добавя приложението отвъд мрежовия път. Задача, която се нуждае от обикновен мрежов достъп за много програми, иска VPN. Задача, която се нуждае от защитите на ниво браузър и модела на веригата, иска Tor Browser, поддържан актуален. Ако отговорът е „и двете“, пускайте ги в съзнателно избран ред и запишете кой адрес вижда всяка страна.