VPN преди Tor: какво всъщност променя редът

Свързването първо с VPN създава конкретна верига: устройство, крайна точка на VPN, вход на Tor, верига на Tor, дестинация. Локалната ви мрежа вижда една криптирана връзка към VPN, а входният възел на Tor вижда изхода на VPN като непосредствен източник вместо адреса на доставчика ви. VPN операторът от своя страна вижда връзки към входната инфраструктура на Tor и може да заключи, че се използва Tor, по дестинациите. Всеки наблюдател губи нещо и печели нещо, затова редът е размяна, а не надграждане.

Нищо в тази верига не променя какво научава сайтът от вашия акаунт, бисквитки или въведени данни.

Какво променя редът

Локалната мрежа и доставчикът губят пряка видимост на трафика ви на Tor, защото първата стъпка вече е криптиран тунел към доставчик. Входният страж на Tor губи домашния ви адрес и вижда изхода на VPN. Доставчикът на VPN придобива метаданните, които доставчикът ви е държал: кои адреси посещавате, по кое време и колко данни се движат.

След входния страж веригата работи както преди. Релетата все още разделят ролите на вход, среда и изход и VPN не вижда крайното съдържание повече, отколкото го е виждал доставчикът ви.

Потвърдете пътя, който действително се използва

Разделното тунелиране е обичайната причина планираната верига да не е истинската.Ако Tor Browser е изключен от тунела, или втори профил маршрутизира различно, входният страж отново вижда адреса на доставчика, докато интерфейсът все още изглежда свързан. Проверете маршрута и наблюдавания изход, а не иконата.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Заявката SOCKS през порт 9150 се отговаря от собствения клиент на Tor Browser, затова отговор IsTor true потвърждава веригата на браузъра, а не че всяко друго приложение я използва. Изходът на резолвера си заслужава да се запише, защото DNS може да излезе по път, който тунелът не покрива. Пазете и двата изхода с времева марка. Те са базовата линия за следващото сравнение.

Сравнете с директна заявка от нормален терминал: ако и тя съобщава Tor, нещо друго пренасочва трафика и веригата не е това, което дизайнът е предполагал.

Наблюдавайте какво се случва, когато тунелът падне

Клиент, който тихо се връща към локалния интерфейс, променя източника, който входният страж вижда, и потребителят обикновено не знае, защото страницата все още се зарежда. Точно този отказ заслужава тестване, а не щастливият път. Изключете тунела нарочно и наблюдавайте дали трафикът на Tor спира или продължава незащитен.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Правилата на защитната стена, които блокират изходящия трафик извън тунела, са единственият надежден контрол за резервен вариант и трябва да покриват както SOCKS клиента на браузъра, така и всяко друго приложение, което ви интересува. Разширение за браузър не е VPN за устройството и не засяга други програми или външни наблюдатели.

Решете дали допълнителният слой заслужава доверието си

Проектът Tor съветва да не се подрежда VPN под Tor, освен ако не можете сами да оцените настройката. Посочената от тях причина е добавената зависимост: още една страна, още един акаунт и още един режим на отказ. Ако целта е доставчикът ви да не вижда, че използвате Tor, VPN адресира точно този наблюдател. Ако целта е по-силна анонимност срещу глобален наблюдател, VPN не я осигурява.

Съществува и обратният ред и имената не са взаимозаменяеми:Tor над VPN и VPN над Tor описват различни отношения на доверие и различно поведение при отказ. Прочетете сравнението, преди да ги смесвате.

Запишете кой наблюдател се опитвате да изместите, после проверете дали реалният път съвпада с дизайна, после проверете поведението при отказ. Ако тези три отговора не оправдават допълнителния акаунт и конфигурация, документираната настройка на Tor Browser има по-малко части, които да се объркат.