VPN abans de Tor: què canvia realment l'ordre

Connectar primer la VPN produeix una cadena concreta: dispositiu, punt final de la VPN, entrada de Tor, circuit de Tor, destinació. La vostra xarxa local veu una connexió xifrada a la VPN, i el node d'entrada de Tor veu la sortida de la VPN com a origen immediat en lloc de l'adreça del proveïdor. L'operador de la VPN, al seu torn, veu connexions cap a la infraestructura d'entrada de Tor i pot inferir l'ús de Tor a partir de les destinacions. Cada observador perd alguna cosa i guanya alguna cosa, i per això l'ordre és un intercanvi i no una millora.

Res d'aquesta cadena no canvia què aprèn el lloc web del vostre compte, de les galetes o de les dades que escriviu.

Què canvia l'ordre

La xarxa local i el proveïdor d'internet perden la visibilitat directa del vostre trànsit de Tor, perquè el primer salt ara és un túnel xifrat cap a un proveïdor. El guardià d'entrada de Tor perd la vostra adreça de casa i veu la sortida de la VPN. El proveïdor de la VPN guanya les metadades que abans tenia el vostre proveïdor: a quines adreces contacteu, a quines hores i quina quantitat de dades es mou.

Més enllà del guardià d'entrada, el circuit es comporta com abans. Els relés continuen separant els papers d'entrada, mig i sortida, i la VPN no veu el contingut final més del que el veia el vostre proveïdor.

Confirmeu el camí que s'utilitza realment

L'encaminament dividit és el motiu habitual que la cadena prevista no sigui la real.Si el Tor Browser queda exclòs del túnel, o un segon perfil encamina d'una altra manera, el guardià d'entrada torna a veure l'adreça del proveïdor mentre la interfície encara sembla connectada. Comproveu la ruta i la sortida observada, no la icona.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

La petició SOCKS pel port 9150 la respon el client propi del Tor Browser, així que una resposta IsTor true confirma el circuit del navegador, no que qualsevol altre programa l'utilitzi. Val la pena registrar la sortida del resolutor perquè el DNS pot sortir per un camí que el túnel no cobreix. Conserveu les dues sortides amb una marca de temps. Són la línia de base per a la propera comparació.

Compareu-ho amb una petició directa des d'un terminal normal: si també informa de Tor, alguna altra cosa redirigeix el trànsit i la cadena no és la que el disseny suposava.

Mireu què passa quan cau el túnel

Un client que torna silenciosament a la interfície local canvia l'origen que veu el guardià d'entrada, i l'usuari normalment no ho sap perquè la pàgina encara es carrega. Aquesta és la fallada que val la pena provar, no el camí feliç. Desconnecteu el túnel deliberadament i mireu si el trànsit de Tor s'atura o continua sense protecció.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Les regles de tallafocs que bloquegen el trànsit sortint fora del túnel són l'únic control de reserva fiable, i han de cobrir tant el client SOCKS del navegador com qualsevol altre programa que us importi. Una extensió del navegador no és una VPN de dispositiu i no afecta altres programes ni observadors externs.

Decidiu si la capa extra es guanya la confiança

El Projecte Tor desaconsella apilar una VPN sota Tor tret que pugueu avaluar vosaltres mateixos la configuració. El motiu que donen és la dependència afegida: una altra part, un altre compte i un altre mode de fallada. Si l'objectiu és que el vostre proveïdor no vegi que feu servir Tor, la VPN adreça precisament aquest observador. Si l'objectiu és una anonimat més forta contra un observador global, la VPN no la proporciona.

També existeix l'ordre invers, i els noms no són intercanviables:Tor sobre VPN i VPN sobre Tor descriuen relacions de confiança diferents i comportaments de fallada diferents. Llegiu la comparació abans de barrejar-los.

Anoteu quin observador voleu moure, després verifiqueu que el camí real coincideix amb el disseny, després verifiqueu el comportament de fallada. Si aquestes tres respostes no justifiquen el compte i la configuració extres, la configuració documentada del Tor Browser té menys peces per equivocar.