Tor izlazni relej nasuprot VPN izlaznom serveru: šta svaki zna
Tor izlazni relej i VPN izlazni server oba prikazuju jednu javnu adresu, ali znanje dijele drugačije. Uporedite vidljivost, pokrivenost i politiku portova.
Oba dizajna skrivaju vašu adresu iza jedne javne IP adrese, a web stranica koja ispiše adresu koju vidi ne može ih razlikovati. Razlika je ko šta sazna na putu, koliko je prometa pokriveno i koji portovi smiju raditi. Tor izlazni relej je zadnji skok kruga od tri releja; VPN izlazni server prekida vaš tunel i sam uspostavlja odlaznu vezu. Evo kako odlučujem koji je potreban za zadatak i šta provjeravam prije nego pretpostavim da se jedan ponaša kao drugi.
Dva puta koji završavaju na jednoj adresi
Tor gradi krug kroz čuvara, srednji relej i izlaz i šifrira teret u slojevima, tako da svaki relej ljušti samo svoj sloj. Izlaz uspostavlja običnu TCP vezu s odredištem, zato odredište vidi izlaznu adresu. Vaš klijent nikada ne razgovara izravno s odredištem, a ni čuvar ga ne vidi.
VPN je jedan tunel do jedne krajnje točke. Server operatera uklanja tunel i otvara odlaznu vezu, pa i odredište vidi jednu adresu, ovaj put operaterovu. Vidljiv rezultat je isti; znanje nije. Test koji ispiše IP odgovara na kojoj ste stavci sustava i ništa o podjeli povjerenja koja se stvarno razlikuje.
Ko na kraju šta zna
VPN krajnja točka vidi izvornu adresu, odredište, vrijeme i obujam na jednom mjestu. Ta koncentracija jest dizajn: jedan operater, jedna površina zapisa, jedno mjesto za poziv ili lošu konfiguraciju. Sve što dobijete dolazi iz povjerenja u tu stranu i iz odlazne politike krajnje točke.
Tor dijeli to znanje. Čuvar zna vašu adresu, ali ne odredište; izlaz zna odredište, ali ne vašu adresu. Relej ne bi trebao naučiti oboje. To je strukturno svojstvo, a ne obećanje protiv globalnog promatrača, releja koji povezuje vremena ili kompromitirane krajnje točke, pa ga tretirajte kao drugačiju raspodjelu istog rizika, a ne kao anonimnost koja ne može zakazati.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Pokrivenost je odluka preglednika ili odluka rute
Tor Browser usmjerava vlastiti promet i dodaje zaštite koje generički VPN klijent ne reproducira: otpor otiscima, izolaciju prve strane, fiksnu veličinu prozora i radnju Novi identitet koja odbacuje stanje sesije. Druge aplikacije ne koriste taj krug ako nisu tako konfigurirane, a sistemska Tor postavka je zaseban projekt od instalacije preglednika.
VPN je suprotnog oblika. Pokrivenost slijedi tablicu ruta, pa WireGuard profil s AllowedIPs = 0.0.0.0/0 hvata sve, a popis za podijeljeni tunel hvata samo prefikse koje navodi. Upravo u tom mehanizmu žive i curenja: DNS upiti, IPv6 i WebRTC mogu svaki uzeti put koji politika ruta nije obuhvatila. Provjeravajte iznutra aplikacije koja nije uspjela, a ne iz kartice preglednika koja možda koristi drugo sučelje.
Politika portova, blokirana odredišta i HTTPS
Izlazni relej slobodno odbija odlazne portove, a zadana politika odbacuje popis portova sklonih zlouporabi, među njima SMTP port 25. Zato poštanski klijent konfiguriran kroz Tor pada na izlazu, što izgleda kao mrežni kvar i nije. Operateri koji drže relej to izričito postavljaju:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Odredišta također blokiraju, i to dva sustava blokiraju različito. Tor izlazne adrese su objavljene, pa stranica može odbiti cijeli popis; VPN krajnje točke sjede u rasponima podatkovnih centara koji se odbijaju jednako ležerno. Kad stranica ne uspije, razdvojite tri kandidata prije nego bilo što promijenite: izlaznu ili odlaznu politiku, odredište koje odbija izvor ili captive portal koji otima prvi zahtjev.
Nijedan sustav ne zamjenjuje transportno šifriranje. Obični HTTP čitljiv je i na izlaznom releju i na VPN krajnjoj točki, pa držite HTTPS uključen i pročitajte upozorenje o certifikatu umjesto da ga odbacite. Dvije provjere brzo rješavaju pitanje usmjeravanja: curl -s https://check.torproject.org/api/ip vraća IsTor kad je zahtjev prošao kroz krug, a curl -s https://ifconfig.me pokazuje odlaznu adresu koju bi VPN predstavio. Pokretanje obiju kaže vam kojim putem ljuska stvarno ide.
Ne koristite jedno kao drugo
Adresa izlaznog releja nije VPN profil. Usmjeravanje OpenVPN ili WireGuard klijenta na relej na portu 443 ne stvara tunel, jer ondje ne sluša VPN usluga; relej je skok u tuđem krugu. U drugom smjeru, VPN krajnja točka nije ulazna točka za Tor, a postavke mostova u Tor Browseru nisu mjesto za lijepljenje hostnamea komercijalnog VPN-a. Ako Tor vozite preko VPN-a, čuvar vidi VPN adresu umjesto vaše, što mijenja podjelu bez spajanja dviju uloga.
Prije odabira odgovorite na četiri pitanja po redu: ko upravlja krajnjom točkom i što zadržava, što alat pokriva na ovom uređaju, koje portove i odredišta politika odlaska dopušta i što aplikacija dodaje iznad mrežnog puta. Zadatak kojem treba običan mrežni pristup za mnoge programe traži VPN. Zadatak kojem trebaju zaštite na razini preglednika i model kruga traži Tor Browser, održavan ažurnim. Ako je odgovor „oba“, vozite ih u namjernom redu i zapišite koju adresu vidi svaka strana.