VPN a través de Tor: primer la comprovació del transport

Tor primer significa que el client VPN se situa darrere d’un proxy SOCKS, així que el túnel mateix es construeix a través de Tor i el trànsit de les aplicacions surt del punt final de la VPN. Aquest és un ordre concret i no és el que construeix la majoria de la gent. Obrir el Tor Browser al costat d’un client VPN normal no obliga cap dels dos programes a utilitzar el camí de l’altre.

Feu les comprovacions en ordre. Cadascuna decideix si val la pena començar la següent.

Quin ordre esteu construint realment

Dos ordres es confonen en la mateixa conversa. Tor primer significa que el client VPN arriba al seu servidor a través d’un proxy SOCKS, així que el túnel es construeix sobre Tor. VPN primer significa que el trànsit de Tor surt pel túnel, que és el que la majoria de la gent construeix per accident i després descriu com l’altre. El primer concentra la frontera de reenviament en l’operador de la VPN, el segon la concentra a l’entrada i la sortida de Tor. Cap dels dos no és el que obteniu tenint les dues aplicacions obertes alhora.

Anoteu quin ordre necessita la tasca abans de configurar res, perquè els dos requereixen ajustos de programari diferents i fallen en llocs diferents. Un ordre mal etiquetat us envia a depurar la capa equivocada durant una hora. Tot el que segueix assumeix Tor primer.

Comproveu el transport abans que res

La interfície SOCKS de Tor transporta fluxos TCP i no ofereix una associació UDP general. Una VPN el transport de la qual sigui UDP no pot tractar aquest proxy com una interfície de xarxa ordinària, i cap ajust del client no canvia què està disposat a reenviar el proxy. WireGuard en la seva forma habitual és la víctima òbvia. Un perfil d’OpenVPN en mode TCP és la solució habitual, i encara se li ha de dir explícitament que utilitzi el proxy.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Confirmeu que el proxy escolta i pot transportar una petició HTTPS simple abans de depurar-hi un túnel. Si la petició simple falla, el client VPN no tindrà mai èxit i els seus registres no us diran per què.

Reescriviu el mapa de l’observador

L’entrada de Tor pot veure la font que es connecta a Tor tret que alguna cosa anterior l’hagi canviat, així que aquest salt aprèn la vostra adreça. El proveïdor de la VPN rep una connexió que arriba del costat de Tor, però encara pot conèixer un compte, un registre de pagament o una credencial que hàgiu enviat dins del túnel. Les destinacions assolides a través de la VPN veuen la seva sortida i no la de Tor, i això concentra la frontera final de reenviament en un sol operador.

Tampoc no recrea un camí distribuït cap a cada destinació. El Tor Browser construeix un circuit nou per lloc; una VPN portada sobre Tor construeix un sol túnel i cada lloc que hi ha darrere comparteix aquell punt final. Tracteu la diferència com un fet de disseny i no com una limitació que calgui eliminar.

Compteu les capes de fallada quan es trenca

Una configuració trencada té com a mínim quatre capes independents: la connexió SOCKS, l’intercanvi TLS amb el servidor de la VPN, el propi intercanvi de la VPN i després l’encaminament o la resolució de noms dins del túnel. Cadascuna falla amb un símptoma diferent i cadascuna necessita una reparació diferent. Afluixar les comprovacions de certificats perquè el túnel no aixeca és el diagnòstic erroni clàssic, i converteix un problema de transport en un de seguretat.

Registreu la primera capa que falli i atureu-vos allà. Un rebuig del proxy i una clau rebutjada no són variacions del mateix esdeveniment.

Atureu-vos si el model d’amenaça necessita les defenses del Tor Browser

Encaminar aplicacions arbitràries per una VPN portada per Tor no dona a aquestes aplicacions les funcions d’empremta i aïllament del Tor Browser. Els seus comptes, identificadors i comportament de xarxa propi continuen sent rellevants, i un túnel no en normalitza cap. Si l’objectiu és un navegador que es barreja amb altres usuaris, aquest ordre no el proporciona.

El mateix Tor Project adverteix contra combinacions que els usuaris no poden configurar correctament, i aquesta val per a la majoria de la gent. És un disseny deliberat per a un model d’amenaça estret, no un atall cap al trànsit anònim de tot el dispositiu.