Tor през VPN: кой вижда вашия IP и кой вижда използването на Tor?

Свързвате VPN клиента, изчаквате тунела, след което отваряте Tor Browser и го оставяте да изгради верига. Именно тази обикновена последователност решава кой какво вижда. В този ред входният релей на Tor посреща адреса на вашия VPN изход, а вашият VPN доставчик посреща публичен охранителен релей. Направете го в обратния ред и двамата наблюдатели се променят. И двата реда си струва да бъдат прегледани, защото настройките на клиента тихо чупят последователността, която хората смятат, че е налице, а проверката, която го хваща, е една и съща и в двата случая.

Започнете с реда, а не с продукта

Две подредби се наричат „VPN с Tor“ и само първата е обичайна. При Tor през VPN тунелът вече е вдигнат, когато Tor стартира, затова процесът tor изпраща връзката си към охранителя в тунела като всеки друг изходящ трафик. При VPN през Tor първо се вдига Tor и самата VPN сесия пътува през веригата, пристигайки при доставчика от изход на Tor.

Това, което се променя между тях, е кой адрес стои в далечния край на най-външната връзка. Всеки наблюдател вижда само предишния хоп, никога целия път: охранителят вижда кой се е свързал с него, а VPN сървърът вижда кой се е свързал с него. Tor не изнася навън локалния адрес на тунела ви и в протокола няма поле, където да го направи.

И при двата реда сайтът на дестинацията все още вижда изход на Tor и нито един ред не променя това, което този сайт научава от влизането ви. Разликата е ограничена до двата края.

Какво вижда входният релей на Tor

Входът, или охранителят, приема обикновена TCP връзка на релей порт и започва TLS ръкостискане с клиента. При схема Tor-през-VPN източникът на тази връзка е вашият VPN изход. При схема Tor-първи това е адресът, който машината ви е използвала, за да достигне мрежата Tor, обикновено домашната ви връзка.

Това отговаря на IP половината от въпроса, но само ако тунелът действително е пренесъл връзката. Процесът Tor достига до охранителя със свой собствен сокет и този сокет не се управлява от прокси настройките на Tor Browser. Браузърът говори с вградения процес tor през SOCKS на 9150, а след това tor отваря собствена връзка чрез таблицата за маршрутизация на ядрото. Ред Socks5Proxy в torrc или клиентски транспорт променя този път. Нищо друго.

На Linux можете да прочетете отговора от машината. Попитайте ядрото кой интерфейс би използвало за произволен публичен адрес, след което погледнете локалния адрес на установената връзка:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ако маршрутът казва dev wg0 или dev tun0 и локалният адрес на установената връзка е адресът на тунела, Tor е вътре във VPN. Ако маршрутът назовава физическия ви интерфейс, той е отвън, каквото и да твърди собственият индикатор на клиента.

Какво може да види вашият VPN доставчик

Доставчикът прекратява VPN сесията ви, затова вижда адресите, на които се свързвате. Адресите на охранителните релеи се публикуват в публичния консенсус и портовете им са добре известни, затова съпоставянето е търсене в списък, а не дълбока инспекция на пакети. Доставчикът не се нуждае от разбиване на Tor, за да знае, че дадена сесия е Tor.

Това, което не вижда, е останалата част от веригата. Средният релей и изходът се избират вътре в Tor и доставчикът обработва само връзката към охранителя. Съдържанието на страницата остава в TLS, който завършва на изхода, и разрешаването на имена за трафика на Tor също става на изхода, затова няма DNS заявка при доставчика, която да се свърже с дестинация.

Мостовете с obfs4 променят търсенето, не топологията. Адресът на мост липсва в публичния списък на релеите и трафикът се оформя така, че да не изглежда като Tor, затова оператор, който само сравнява адреси, няма да го отбележи. Сесията все още идва от вашия VPN клиент и доставчикът все още вижда една крайна точка, един обем и един график.

Възможността не е политика за запазване

Оператор, който може да наблюдава връзка, не е обещал да я пази. Журналирането е отделно решение, записано в политика, ограничено от юрисдикция и проверимо само чрез доказателства, на които вече се доверявате. Етикетът „без журнали“ не променя описаната по-горе мрежова роля.

Идентичността на акаунта обикновено е по-важна от адреса на изхода. Ако сте влезли с имейл адрес или сте платили с карта, доставчикът може да свърже сесията с вас, без да журналира нито една дестинация. Ротирането на изходни IP адреси не прави нищо по въпроса.

Проверете покритието, преди да се доверите на който и да е от двата отговора

Повечето хора, които вярват, че пускат Tor през VPN, пускат само част от него. Разделеното тунелиране, което изключва Tor Browser, превключвателят за спиране, който покрива браузъра, но не и услугата tor, стартова единица, която се изпълнява преди вдигането на тунела, и път по IPv6 около тунела са обичайните четири.

Четенето на екрана за състоянието на клиента не проверява нито едно от тях. Проверката, която го прави: оставете Tor Browser да работи, свалете тунела и наблюдавайте дали връзката към охранителя оцелява на физическия интерфейс.

Редът, в който проверявам, спирайки при първия провал:

• ip route get 203.0.113.10 връща устройството на тунела.
• ss -tnp | grep -i tor показва връзката към охранителя с локален адрес на тунела.
• ip -6 route няма маршрут по подразбиране извън тунела или IPv6 е изключен в клиента.
• Спирането на VPN прекратява или пренасочва връзката на tor, вместо да я остави на физическата връзка.

Кой ред пасва на това, което защитавате

И двата реда крият нещо и разкриват нещо, затова отговорът е избор за наблюдателя, който ви интересува.

Четете по колони, докато ред не съвпадне с това, което се опитвате да предотвратите. Ако притеснението е локална мрежа или доставчик, който записва или блокира Tor, Tor през VPN се справя с него. Ако притеснението е, че VPN операторът научава домашния ви адрес, VPN през Tor се справя с това и плаща цената, като излага използването на Tor на собствената ви мрежа, а домашния ви адрес — на охранителя.

Нито една подредба не оставя двата края слепи. Добавянето на наблюдател не премахва друг. Бележката на Tor Project за пускане на VPN с Tor казва същото от другата страна: тунелът променя на кого се доверяваме и какви пътища за отказ съществуват, затова не е подобрение, което се добавя, без да решите какво искате скрито.

Решете първо наблюдателя, изберете второ реда и проверявайте с ip route get и ss, а не с индикатора на клиента. Ако наблюдателят е някой, който може да принуди самия VPN доставчик, никакъв избор на ред не поправя това.