Circuit nou de Tor enfront del canvi de servidor VPN: què canvia realment

Canviar un circuit de Tor i canviar un servidor VPN semblen totes dues coses obtenir una ruta nova, però es trenquen en llocs diferents quan les tractes com el mateix botó. Una demana al client de Tor que construeixi un camí diferent per a un lloc; l’altra demana al client VPN que es connecti a un punt final diferent. Cap de les dues no és un reinici, i l’adreça que un lloc web acaba veient depèn de quina de les dues és més a prop de la destinació. Així decideixo quin control fer servir i què comprovo després.

Dues operacions en dues capes diferents

Tor és una capa superposada. El teu client tria un relé guardià, un relé intermedi i un relé de sortida, i després porta els fluxos TCP per aquell circuit; la destinació veu la sortida i res més. Un canvi de circuit és una decisió dins de Tor sobre quins relés porten un flux.

Una VPN és un túnel a sota. El client tria un punt final, embolcalla el trànsit en una capa exterior, i tot el que ve després veu l’adreça del punt final. Un canvi de servidor és una decisió sobre on acaba el camí exterior.

Com que les capes són independents, una operació pot ser invisible a l’extrem llunyà de la connexió. Aquesta asimetria explica la major part de la confusió al voltant d’aquests dos controls.

Què fa «Circuit nou de Tor per a aquest lloc»

«Circuit nou de Tor per a aquest lloc», al panell d’informació del lloc, tanca els fluxos que Tor porta per a aquell lloc i construeix un circuit nou per a la petició següent. Les pestanyes, les galetes, els inicis de sessió i la resta de la sessió queden exactament on eren, i aquest és el punt: conserves la sessió i canvies el camí.

Això el converteix en l’eina adequada per a una fallada concreta: un relé de sortida que la destinació bloqueja, un bucle de captcha que segueix la sortida, o un lloc que s’encalla mentre tots els altres van bé. La visualització del circuit en aquell mateix panell llista els tres relés, així que pots confirmar que la sortida realment ha canviat en lloc de suposar-ho.

Vigila el guardià. Tor manté un conjunt petit de guardians d’entrada, i un canvi de circuit normalment reutilitza el mateix guardià, així que el primer salt a la xarxa no es mou. «Identitat nova» és el reinici més gran, tanca pestanyes i neteja l’estat de navegació abans de construir un circuit nou, i els controls d’identitat estan documentats a part per una raó: és una operació diferent amb un cost diferent.

Què fa un canvi de servidor VPN

El client desmunta el túnel i es connecta a un altre punt final. El salt següent fora del túnel, sigui un guardià de Tor o la mateixa destinació, veu una adreça d’origen diferent. Les connexions dins del túnel es trenquen i s’han de restablir, així que les pàgines es poden quedar penjades fins que caduquin en lloc de recarregar-se netes.

Res per sobre del túnel no es reescriu, però el desmuntatge no és invisible. En una configuració amb VPN primer la sortida encara la tria Tor, però tirar el túnel mata les connexions TCP que Tor manté amb el seu guardià, així que Tor desmunta aquells circuits i en construeix de nous, tornant a triar una sortida. El lloc pot veure, doncs, una adreça de sortida diferent després d’un canvi, tot i que el canvi mateix no n’ha triat cap. El que el canvi decideix és l’adreça que veu el guardià; el circuit reconstruït és el que torna a triar la sortida. Si has canviat servidors només per canviar el que veu un lloc mentre Tor és al davant, has mogut una capa que el lloc no observa mai directament, i qualsevol canvi que el lloc noti ve de la reconstrucció, no del canvi.

Un canvi també afecta només la ruta que posseeix el client. Un navegador que reutilitza una connexió oberta pot semblar encallat al camí antic fins que es reconnecta, i una resposta DNS en memòria cau és l’altra causa habitual. Recarrega primer, després jutja.

L’ordre decideix què veu la destinació

Els dos ordres responen preguntes diferents. Amb la VPN davant de Tor, el guardià i els relés veuen el punt final de la VPN mentre la destinació veu la sortida de Tor. Amb Tor davant de la VPN, la destinació veu el punt final de la VPN, perquè el túnel és l’última cosa per on passa el trànsit.

Així, una consulta d’IP informa del que ha vist la destinació, no del camí que ho ha portat. Un servei que mostra la sortida en una configuració i la VPN en l’altra es comporta correctament, no filtra.

Què no fa cap de les dues operacions

Cap de les dues no esborra la identitat d’un compte. Una sessió iniciada és una galeta més un registre al servidor, i canviar un camí no toca ni l’una ni l’altre. Un perfil de navegador estable, el mateix inici de sessió i la mateixa empremta sobreviuen a totes dues accions.

Cap de les dues no és tampoc una prova. Un lloc web informa d’una adreça que ha observat durant una petició; no pot informar del teu camí de relés ni de si la teva VPN va caure fa deu minuts. Si necessites aquesta cronologia, apunta-la en el moment, perquè després no es pot reconstruir des de l’extrem llunyà.

Aparella el control amb el símptoma

Comença pel que ha fallat, no per quin botó sembla més complet:

• Un lloc et bloqueja, els captchas fan voltes, o un sol lloc va lent: circuit nou per a aquell lloc.
• Una configuració només amb VPN necessita una adreça visible diferent: canvia el servidor.
• Esperaves una sortida però el lloc informa de la teva VPN: comprova l’ordre, Tor és darrere del túnel.
• Pestanyes tancades i tot reiniciat: has fet servir «Identitat nova», no un canvi de circuit.
• La sortida sembla igual després d’un canvi de circuit: els relés es poden repetir legítimament, i el guardià no es mourà gens.

Anota l’acció i el símptoma que havia de corregir abans de canviar res més. Dos canvis seguits produeixen una comparació que no es pot interpretar, i repetir tots dos quan només una capa es comporta malament és com una comprovació de cinc minuts es converteix en una tarda.