Nový okruh Tor proti přepnutí serveru VPN: co se skutečně změní
Změna okruhu posouvá cestu Tor; přepnutí serveru posouvá koncový bod tunelu. Které z nich změní adresu, kterou stránka vidí, závisí na pořadí.
Změna okruhu Tor a přepnutí serveru VPN obojí působí jako získání nové trasy, ale lámou se na různých místech, když k nim přistupujete jako ke stejnému tlačítku. Jedno žádá klienta Tor, aby pro stránku postavil jinou cestu; druhé žádá klienta VPN, aby se připojil k jinému koncovému bodu. Ani jedno není reset a adresa, kterou stránka nakonec vidí, závisí na tom, které z těch dvou je blíž cíli. Takhle se rozhoduji, který ovládací prvek použít, a co potom kontroluji.
Dvě operace ve dvou různých vrstvách
Tor je nadstavba. Klient vybere strážný relay, prostřední relay a výstupní relay, pak přes tento okruh nese TCP toky; cíl vidí výstup a nic jiného. Změna okruhu je rozhodnutí uvnitř Toru o tom, které relaye nesou tok.
VPN je tunel pod tím. Klient vybere koncový bod, obalí provoz vnější vrstvou a vše, co přijde potom, vidí adresu koncového bodu. Přepnutí serveru je rozhodnutí o tom, kde vnější cesta končí.
Protože jsou vrstvy nezávislé, jedna operace může být na vzdáleném konci spojení neviditelná. Tato asymetrie vysvětluje většinu zmatku kolem těchto dvou ovládacích prvků.
Co dělá „Nový okruh Tor pro tuto stránku“
„Nový okruh Tor pro tuto stránku“ v panelu informací o stránce zavře toky, které Tor pro danou stránku nese, a postaví nový okruh pro další požadavek. Karty, cookies, přihlášení a zbytek relace zůstanou přesně tam, kde byly, a o to jde: ponecháte relaci a změníte cestu.
To z něj dělá správný nástroj pro úzkou poruchu: výstupní relay, který cíl blokuje, captcha smyčka, která následuje výstup, nebo jedna stránka zaseknutá, zatímco všechny ostatní jsou v pořádku. Zobrazení okruhu ve stejném panelu vypisuje tři relaye, takže můžete potvrdit, že se výstup opravdu změnil, místo abyste to předpokládali.
Sledujte strážce. Tor drží malou sadu vstupních strážců a změna okruhu obvykle znovu použije stejného strážce, takže první skok v síti se nehne. „Nová identita“ je větší reset: zavře karty a vymaže stav prohlížení před postavením nového okruhu, a ovládání identity je zdokumentováno zvlášť z nějakého důvodu: je to jiná operace s jinou cenou.
Co dělá přepnutí serveru VPN
Klient strhne tunel a připojí se k jinému koncovému bodu. Další skok mimo tunel, ať už je to strážce Toru nebo samotný cíl, vidí jinou zdrojovou adresu. Spojení uvnitř tunelu se přeruší a musí být znovu navázána, takže stránky mohou viset, dokud nevyprší, místo aby se čistě načetly znovu.
Nic nad tunelem se nepřepisuje, ale stržení není neviditelné. V uspořádání VPN-první výstup stále volí Tor, ale shození tunelu zabije TCP spojení, která Tor drží ke svému strážci, takže Tor ty okruhy strhne a postaví nové a znovu zvolí výstup. Stránka proto může po přepnutí vidět jinou výstupní adresu, i když přepnutí samo žádnou nevybralo. Co přepnutí rozhoduje, je adresa, kterou vidí strážce; přestavěný okruh je to, co znovu volí výstup. Pokud jste servery přepnuli jen proto, abyste změnili, co stránka vidí, zatímco Tor je vpředu, posunuli jste vrstvu, kterou stránka nikdy přímo nepozoruje, a jakákoli změna, kterou stránka zaznamená, přišla z přestavby, ne z přepnutí.
Přepnutí také ovlivňuje jen trasu, kterou klient vlastní. Prohlížeč znovu používající otevřené spojení může vypadat zaseknutý na staré cestě, dokud se nepřipojí znovu, a kešovaná odpověď DNS je další obvyklá příčina. Nejprve obnovte stránku, potom posuzujte.
Pořadí rozhoduje, co cíl vidí
Dvě pořadí odpovídají na různé otázky. Když je VPN před Torem, strážce a relaye vidí koncový bod VPN, zatímco cíl vidí výstup Toru. Když je Tor před VPN, cíl vidí koncový bod VPN, protože tunel je poslední věc, kterou provoz prochází.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Takže vyhledání IP hlásí, co cíl viděl, ne cestu, která to nesla. Služba, která v jednom uspořádání ukazuje výstup a v druhém VPN, se chová správně, neprosakuje.
Co nedělá ani jedna operace
Ani jedna nesmaže identitu účtu. Přihlášená relace je cookie plus záznam na straně serveru a změna cesty se nedotkne ani jednoho. Stabilní profil prohlížeče, stejné přihlášení a stejný otisk přežijí obě akce.
Ani jedna není důkaz. Webová stránka hlásí adresu, kterou během požadavku pozorovala; nemůže hlásit vaši cestu přes relaye ani to, zda vám VPN před deseti minutami spadla. Pokud tu časovou osu potřebujete, zapište si ji v danou chvíli, protože ze vzdáleného konce ji později nelze rekonstruovat.
Přizpůsobte ovládání symptomu
Začněte tím, co selhalo, ne tím, které tlačítko vypadá důkladněji:
- Jedna stránka vás blokuje, captcha se opakuje nebo je jedna stránka pomalá: nový okruh pro tu stránku.
- Uspořádání jen s VPN potřebuje jinou viditelnou adresu: přepněte server.
- Čekali jste výstup, ale stránka hlásí vaši VPN: zkontrolujte pořadí, Tor je za tunelem.
- Karty se zavřely a všechno se resetovalo: použili jste „Novou identitu“, ne změnu okruhu.
- Výstup po změně okruhu vypadá nezměněně: relaye se mohou legitimně opakovat a strážce se vůbec nehne.
Zapište si akci a symptom, který měla opravit, než změníte cokoli dalšího. Dvě přepnutí za sebou vytvoří srovnání, které nelze interpretovat, a opakování obou, když se špatně chová jen jedna vrstva, je způsob, jak se pětiminutová kontrola změní v celé odpoledne.