VPN prije Tor-a: šta redoslijed zapravo mijenja

Prvo povezivanje VPN-a stvara određeni lanac: uređaj, VPN krajnja tačka, Tor ulaz, Tor krug, odredište. Vaša lokalna mreža vidi jednu šifrovanu vezu prema VPN-u, a Tor ulazni čvor vidi VPN izlaz kao neposredni izvor umjesto adrese vašeg provajdera. VPN operater zauzvrat vidi veze prema Tor ulaznoj infrastrukturi i može zaključiti o korištenju Tor-a iz odredišta. Svaki posmatrač gubi nešto i dobija nešto, zato je redoslijed razmjena, a ne nadogradnja.

Ništa u tom lancu ne mijenja ono što web stranica sazna iz vašeg računa, kolačića ili otkucanih podataka.

Šta redoslijed mijenja

Lokalna mreža i ISP gube direktnu vidljivost vašeg Tor saobraćaja, jer je prvi skok sada šifrovani tunel do provajdera. Tor ulazni čuvar gubi vašu kućnu adresu i vidi VPN izlaz. VPN provajder dobija metapodatke koje je vaš ISP držao: koje adrese kontaktirate, u koje vrijeme i koliko podataka se kreće.

Nakon ulaznog čuvara krug se ponaša kao prije. Releji i dalje razdvajaju uloge ulaza, sredine i izlaza, a VPN ne vidi konačni sadržaj ništa više nego što ga je vidio vaš ISP.

Potvrdite put koji se stvarno koristi

Podijeljeno tuneliranje je uobičajen razlog zašto planirani lanac nije stvarni.Ako je Tor Browser isključen iz tunela, ili se drugi profil usmjerava drugačije, ulazni čuvar ponovo vidi adresu provajdera dok interfejs još izgleda povezan. Provjerite rutu i zapaženi izlaz, a ne ikonu.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Na SOCKS zahtjev kroz port 9150 odgovara vlastiti klijent Tor Browsera, pa odgovor IsTor true potvrđuje krug preglednika, a ne da ga svaka druga aplikacija koristi. Rezultat resolvera vrijedi zabilježiti jer DNS može izaći putem koji tunel ne pokriva. Čuvajte oba izlaza s vremenskom oznakom. Oni su osnova za sljedeće poređenje.

Uporedite s direktnim zahtjevom iz običnog terminala: ako i on prijavljuje Tor, nešto drugo preusmjerava saobraćaj i lanac nije onakav kakav je dizajn pretpostavio.

Gledajte šta se dogodi kada tunel padne

Klijent koji tiho pređe na lokalni interfejs mijenja izvor koji ulazni čuvar vidi, a korisnik to obično ne zna jer se stranica još učitava. Upravo taj kvar vrijedi testirati, a ne sretni put. Namjerno prekinite tunel i gledajte da li se Tor saobraćaj zaustavlja ili nastavlja nezaštićen.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Firewall pravila koja blokiraju odlazni saobraćaj izvan tunela jedina su pouzdana rezervna kontrola i moraju pokrivati i SOCKS klijent preglednika i svaku drugu aplikaciju koja vam je važna. Proširenje preglednika nije VPN na nivou uređaja i ne utiče na druge programe ni vanjske posmatrače.

Odlučite da li dodatni sloj zaslužuje povjerenje

Tor Project ne preporučuje slaganje VPN-a ispod Tor-a osim ako sami možete procijeniti postavku. Navedeni razlog je dodatna zavisnost: još jedna strana, još jedan račun i još jedan način kvara. Ako je cilj spriječiti ISP da vidi da koristite Tor, VPN se bavi upravo tim posmatračem. Ako je cilj jača anonimnost protiv globalnog posmatrača, VPN je ne pruža.

Postoji i obrnuti redoslijed i imena nisu zamjenjiva:Tor preko VPN-a i VPN preko Tor-a opisuju različite odnose povjerenja i različito ponašanje pri kvaru. Pročitajte poređenje prije nego ih pomiješate.

Zapišite kojeg posmatrača pokušavate pomjeriti, zatim provjerite da stvarni put odgovara dizajnu, zatim provjerite ponašanje pri kvaru. Ako ta tri odgovora ne opravdavaju dodatni račun i konfiguraciju, dokumentovana postavka Tor Browsera ima manje dijelova koje možete pogrešiti.