Relé de sortida de Tor enfront del servidor de sortida VPN: què sap cadascun

Tots dos dissenys amaguen la vostra adreça darrere d'una única IP pública, i un lloc web que imprimeixi l'adreça que veu no els pot distingir. La diferència és qui aprèn què pel camí, quant trànsit queda cobert i quins ports es permeten. Un relé de sortida de Tor és l'últim salt d'un circuit de tres relés; un servidor de sortida VPN acaba el vostre túnel i fa ell mateix la connexió sortint. Aquí explico com decideixo quin necessita una tasca i què comprovo abans de suposar que un es comporta com l'altre.

Dos camins que acaben en una adreça

Tor construeix un circuit a través d'un guardià, un relé intermedi i una sortida, i xifra la càrrega per capes perquè cada relé només pela la seva. La sortida fa la connexió TCP ordinària a la destinació, i per això la destinació veu l'adreça de sortida. El vostre client mai parla directament amb la destinació, i el guardià tampoc no la veu.

Una VPN és un túnel cap a un punt final. El servidor de l'operador treu el túnel i obre la connexió de sortida, així que la destinació també veu una sola adreça, aquesta vegada la de l'operador. El resultat observable és el mateix; el coneixement no. Una prova que imprimeix una IP respon en quin sistema sou i res sobre el repartiment de confiança que realment difereix.

Qui acaba sabent què

El punt final VPN veu l'adreça d'origen, la destinació, el moment i el volum en un sol lloc. Aquesta concentració és el disseny: un operador, una superfície de registres, un lloc per citar o per configurar malament. Tot el que guanyeu prové de confiar en aquesta part i de la política de sortida del punt final.

Tor divideix aquest coneixement. El guardià coneix la vostra adreça però no la destinació; la sortida coneix la destinació però no la vostra adreça. Un relé no hauria d'aprendre les dues coses. És una propietat estructural, no una promesa contra un observador global, un relé que correlacioni temps o un punt final compromès, així que tracteu-ho com una distribució diferent del mateix risc i no com una anonimat que no pot fallar.

La cobertura és una decisió del navegador o de la ruta

El navegador Tor encamina el seu propi trànsit i afegeix proteccions que un client VPN genèric no reprodueix: resistència a les empremtes, aïllament de primera part, una mida de finestra fixa i una acció d'Identitat nova que descarta l'estat de la sessió. Altres aplicacions no fan servir aquest circuit si no estan configurades per fer-ho, i una instal·lació de Tor a tot el sistema és un projecte separat de la instal·lació del navegador.

Una VPN té la forma oposada. La cobertura segueix la taula d'encaminament, així que un perfil de WireGuard amb AllowedIPs = 0.0.0.0/0 ho captura tot i una llista de túnel dividit només captura els prefixos que anomena. És en aquest mecanisme on viuen també les fuites: consultes DNS, IPv6 i WebRTC poden prendre un camí que la política d'encaminament no incloïa. Comproveu des de dins de l'aplicació que ha fallat, no des d'una pestanya del navegador que potser fa servir una altra interfície.

Política de ports, destinacions bloquejades i HTTPS

Un relé de sortida pot rebutjar ports de sortida, i la política predeterminada refusa una llista de ports propensos a abusos, entre els quals el port SMTP 25. Per això un client de correu configurat a través de Tor falla a la sortida, cosa que sembla una fallada de xarxa i no ho és. Els operadors que mantenen un relé ho estableixen explícitament:

# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25

Les destinacions també bloquegen, i bloquegen els dos sistemes de manera diferent. Les adreces de sortida de Tor són públiques, així que un lloc pot refusar tota la llista; els punts finals VPN seuen en rangs de centres de dades que es refusen amb la mateixa lleugeresa. Quan una pàgina falla, separeu els tres candidats abans de canviar res: política de sortida o de sortida a internet, una destinació que refusa l'origen o un portal captiu que segresta la primera petició.

Cap dels dos sistemes no substitueix el xifratge de transport. HTTP simple és llegible tant al relé de sortida com al punt final VPN, així que manteniu HTTPS activat i llegiu l'avís del certificat en lloc de descartar-lo. Dues comprovacions resolen de seguida la qüestió de l'encaminament: curl -s https://check.torproject.org/api/ip retorna IsTor quan la petició ha passat per un circuit, i curl -s https://ifconfig.me mostra l'adreça de sortida que presentaria una VPN. Executar les dues us diu quin camí fa servir realment l'intèrpret d'ordres.

No feu servir l'un com l'altre

L'adreça d'un relé de sortida no és un perfil VPN. Apuntar un client OpenVPN o WireGuard a un relé al port 443 no crea cap túnel, perquè allà no hi escolta cap servei VPN; el relé és un salt al circuit d'una altra persona. En l'altre sentit, un punt final VPN no és un punt d'entrada per a Tor, i la configuració de ponts del navegador Tor no és un lloc on enganxar un nom d'amfitrió de VPN comercial. Si feu córrer Tor sobre una VPN, el guardià veu l'adreça de la VPN en lloc de la vostra, cosa que canvia el repartiment sense fusionar els dos papers.

Abans de triar, responeu quatre preguntes en ordre: qui opera el punt final i què reté, què cobreix l'eina en aquest dispositiu, quins ports i destinacions permet la política de sortida i què afegeix l'aplicació més enllà del camí de xarxa. Una tasca que necessita accés de xarxa ordinari per a molts programes vol una VPN. Una tasca que necessita les proteccions de nivell de navegador i el model de circuit vol el navegador Tor, mantingut al dia. Si la resposta és «tots dos», feu-los anar en un ordre deliberat i anoteu quina adreça veu cada banda.