VPN u Tor, Tor u VPN: zašto se lanac kida

Slaganje VPN-a, Tor-a i aplikacijskog proxyja izgleda kao umnožavanje privatnosti, a zapravo umnožava broj mjesta na kojima veza može umrijeti. Uobičajen rezultat je preglednik koji se vrti dok sva tri alata sebe prijavljuju zdravima. Promjena sve tri postavke odjednom zatim uklanja jedini trag o tome koji od njih laže.

Prvo nacrtajte predviđeni put po redu, navodeći koji program otvara svaku vezu i koje se ime razrješava na svakom koraku.

Slojevi se ne zbrajaju, oni djeluju jedan na drugi

VPN prije Tor-a znači da ulazna veza Tor klijenta putuje unutar tunela. VPN prenesen kroz Tor znači da vlastita završna točka VPN klijenta mora biti dostupna preko Tor-a, što je sasvim drugi zahtjev. Preglednikov proxy dodaje još jedan skok o kojem operacijski sustav ne zna ništa. Tri rasporeda, tri odvojene liste ovisnosti.

Svaki raspored mijenja šta se može razriješiti, šta se može prenijeti i ko vidi prvi paket. Samo jedan od njih može biti konfiguracija koju ste mislili.

Dodajte na dijagram i izravni put. Rezervna ruta, izuzetak za podijeljeni tunel ili zaobilaženje proxyja mogu učitati stranicu dok tiho preskaču lanac koji ste htjeli testirati, a takav uspjeh obmanjuje više od neuspjeha.

Redoslijed odlučuje šta se može prenijeti

Tor prenosi TCP tokove kroz svoje SOCKS sučelje, a klijent koji zamoli proxy da razriješi ime hosta zadržava pretragu unutar kruga. UDP tako ne putuje u uobičajenim konfiguracijama, zato se WireGuard tunel ne može ugraditi u Tor bez dodatnog TCP releja u sredini.

OpenVPN se može prisiliti na TCP, pa je takav raspored barem opisiv. On je i sporiji i krhkiji, a način kvara kad se pokvari izgleda jednako kao blokiran port. Očekujte da ćete na razlikovanje tih dvaju potrošiti više vremena nego na popravku bilo kojeg.

Razrješavanje je druga polovina. S --socks5-hostname proxy razrješava odredište, dok obični --socks5 prvo pita lokalni razrješivač i procuri ime izvan kruga. Upravo taj jedan parametar odlučuje pripada li pretraga imena lancu ili vašem ISP-u.

Pronalaženje prve prekinute granice

Testirajte etape redom kojim paketi putuju, bezopasnim zahtjevima, i zaustavite se na prvoj koja ne uspije. Zabilježite koja je naredba izvršena prva, jer je redoslijed dio dokaza. Dvije naredbe razdvajaju mrtav krug od mrtvog izlaza:

curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip
curl -4 -s https://api.ipify.org; echo

Prva javlja završava li se zahtjev kroz SOCKS proxy uopće, a druga pokazuje adresu koju mreža trenutno predstavlja. Ako prva ne uspije a druga uspije, problem je kod Tor klijenta ili prije njega. Ako obje uspiju a preglednik i dalje ne radi, aplikacija koristi drugi put od ljuske.

Stranica javne IP adrese također opisuje samo posljednji vidljivi izlaz. Ne može vam reći koliko je skokova prethodilo, zato je uparite s podržanim statusnim izlazom svakog alata umjesto da jedan broj tretirate kao dijagram.

Kada prestati dodavati slojeve

Ako ne možete jednom rečenicom reći šta sloj doprinosi, uklonite ga. Lanac čija svrha nije jasna lanac je koji nitko ne može otkloniti u tri ujutro, a dobitak privatnosti od neobjašnjenog skoka obično je manji od dostupnosti koju gubite.

Ako sloj doista zaslužuje svoje mjesto, prvo ga testirajte samog, zatim dodajte sljedeći i ponovno potvrdite put istim dvjema naredbama. Vratite cijeli lanac prije uobičajene upotrebe i ostavite TLS provjeru i autentifikaciju uključenima; upozorenje o certifikatu prihvaćeno da bi se stranica učitala je zaobilaženje usmjeravanja, ne popravak. Zapišite redoslijed na kojem ste se zaustavili dok je još svjež.

Zapišite taj redoslijed, uključujući razrješivač koji odgovara na svakoj etapi. Radni lanac koji možete opisati preživljava sljedeću nadogradnju, dok radni lanac sastavljen pokušajima nestaje s njom. Dodajte datum i verzije, da se kasniji kvar može usporediti s poznatim dobrim stanjem umjesto da se o njemu raspravlja po sjećanju. Deset redaka u tekstualnoj datoteci štedi večer nagađanja.