Výstupní relay Tor versus výstupní server VPN: co který ví

Oba návrhy skrývají vaši adresu za jednu veřejnou IP a web, který vypíše adresu, kterou vidí, je nedokáže rozeznat. Rozdíl je v tom, kdo co cestou zjistí, kolik provozu je pokryto a které porty smějí fungovat. Výstupní relay Tor je poslední skok okruhu ze tří relayů; výstupní server VPN ukončí váš tunel a sám naváže odchozí spojení. Tady je, jak rozhoduji, který z nich úkol potřebuje, a co kontroluji, než předpokládám, že se jeden chová jako druhý.

Dvě cesty, které končí na jedné adrese

Tor staví okruh přes strážce, střední relay a výstup a šifruje obsah po vrstvách, takže každý relay sloupne jen tu svou. Výstup naváže běžné TCP spojení s cílem, a proto cíl vidí výstupní adresu. Váš klient nikdy nemluví s cílem přímo a strážce ho také nevidí.

VPN je jeden tunel k jednomu koncovému bodu. Server operátora tunel odstraní a otevře odchozí spojení, takže cíl také vidí jednu adresu, tentokrát operátorovu. Pozorovatelný výsledek je stejný; znalosti ne. Test, který vypíše IP, odpoví, v jakém systému jste, a nic o rozdělení důvěry, které se skutečně liší.

Kdo nakonec co ví

Koncový bod VPN vidí zdrojovou adresu, cíl, časování i objem na jednom místě. Ta koncentrace je záměr: jeden operátor, jedna plocha logů, jedno místo pro předvolání nebo špatnou konfiguraci. Vše, co získáte, pochází z důvěry v tuto stranu a z odchozí politiky koncového bodu.

Tor ty znalosti dělí. Strážce zná vaši adresu, ale ne cíl; výstup zná cíl, ale ne vaši adresu. Relay nemá zjistit obojí. Je to strukturální vlastnost, ne slib proti globálnímu pozorovateli, relayi, který koreluje časování, nebo kompromitovanému konci, takže to berte jako jiné rozdělení stejného rizika, ne jako anonymitu, která nemůže selhat.

Pokrytí je rozhodnutí prohlížeče nebo rozhodnutí trasy

Prohlížeč Tor směruje vlastní provoz a přidává ochrany, které běžný klient VPN nenapodobí: odolnost proti otiskům, izolaci první strany, pevnou velikost okna a akci Nová identita, která zahodí stav relace. Jiné aplikace ten okruh nepoužívají, pokud k tomu nejsou nastavené, a systémové nastavení Tor je samostatný projekt od instalace prohlížeče.

VPN má opačný tvar. Pokrytí sleduje směrovací tabulku, takže profil WireGuard s AllowedIPs = 0.0.0.0/0 zachytí vše a seznam rozděleného tunelu jen prefixy, které uvádí. Právě v tomto mechanismu žijí i úniky: DNS dotazy, IPv6 a WebRTC mohou každý vzít cestu, kterou směrovací politika nezahrnula. Kontrolujte zevnitř aplikace, která selhala, ne z karty prohlížeče, která může používat jiné rozhraní.

Politika portů, blokované cíle a HTTPS

Výstupní relay může odmítat odchozí porty a výchozí politika zamítá seznam portů náchylných ke zneužití, mezi nimi port SMTP 25. Proto poštovní klient nastavený přes Tor selže na výstupu, což vypadá jako porucha sítě a není. Operátoři, kteří relay provozují, to nastavují výslovně:

# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25

Cíle také blokují, a oba systémy blokují různě. Výstupní adresy Tor jsou zveřejněné, takže web může odmítnout celý seznam; koncové body VPN sedí v rozsazích datových center, které se odmítají stejně lehce. Když stránka selže, oddělte tři kandidáty, než cokoli změníte: výstupní politiku, cíl odmítající zdroj, nebo captive portál, který unese první požadavek.

Ani jeden systém nenahrazuje šifrování transportu. Prosté HTTP je čitelné na výstupním relayi i na koncovém bodu VPN, takže nechte HTTPS zapnuté a přečtěte si varování certifikátu, místo abyste ho odmítli. Dvě kontroly rychle rozhodnou otázku směrování: curl -s https://check.torproject.org/api/ip vrátí IsTor, když požadavek prošel okruhem, a curl -s https://ifconfig.me ukáže odchozí adresu, kterou by VPN představila. Spuštění obou vám řekne, kterou cestu shell skutečně používá.

Nepoužívejte jedno jako druhé

Adresa výstupního relaye není profil VPN. Nasměrovat klienta OpenVPN nebo WireGuard na relay na portu 443 nevytvoří tunel, protože tam neposlouchá žádná služba VPN; relay je skok v cizím okruhu. Opačným směrem koncový bod VPN není vstupním bodem pro Tor a nastavení mostů v prohlížeči Tor není místo pro vložení hostname komerční VPN. Pokud provozujete Tor přes VPN, strážce vidí adresu VPN místo vaší, což mění rozdělení, aniž by sloučilo obě role.

Před volbou odpovězte na čtyři otázky v pořadí: kdo koncový bod provozuje a co si uchovává, co nástroj na tomto zařízení pokrývá, které porty a cíle odchozí politika povoluje a co aplikace přidává nad rámec síťové cesty. Úkol, který potřebuje běžný síťový přístup pro mnoho programů, chce VPN. Úkol, který potřebuje ochrany na úrovni prohlížeče a model okruhu, chce prohlížeč Tor udržovaný v aktuálním stavu. Pokud je odpověď „obojí“, provozujte je v promyšleném pořadí a zapište, kterou adresu každá strana vidí.