Tor přes VPN: kdo vidí vaši IP a kdo vidí, že používáte Tor?

Připojíte klienta VPN, počkáte na tunel, pak otevřete Tor Browser a necháte ho postavit okruh. Právě tato obyčejná posloupnost rozhoduje o tom, kdo co vidí. V tomto pořadí vstupní relay Tora vidí adresu vašeho VPN výstupu a váš poskytovatel VPN vidí veřejný guard relay. Udělejte to obráceně a oba pozorovatelé se změní. Oba pořadí stojí za projití, protože nastavení klienta tiše rozbíjí posloupnost, o níž si lidé mysleli, že platí, a kontrola, která to zachytí, je v obou případech stejná.

Začněte pořadím, ne produktem

Dvě uspořádání se nazývají „VPN s Torem“ a běžné je jen to první. U Tora přes VPN je tunel už nahoře, když Tor startuje, takže proces tor posílá své spojení ke guardu do tunelu jako jakýkoli jiný odchozí provoz. U VPN přes Tor se nejdřív zvedne Tor a samotná relace VPN putuje okruhem a dorazí k poskytovateli z výstupu Tora.

Co se mezi nimi mění, je to, která adresa stojí na vzdáleném konci nejvnějšího spoje. Každý pozorovatel vidí jen předchozí skok, nikdy celou cestu: guard vidí toho, kdo se k němu připojil, a server VPN vidí toho, kdo se k němu připojil. Tor nenese vaši místní adresu tunelu ven a v protokolu není pole, kde by to mohl udělat.

V obou pořadích cílový web stále vidí výstup Tora a ani jedno pořadí nemění to, co se ten web dozví z vašeho přihlášení. Rozdíl je omezen na dva okraje.

Co vidí vstupní relay Tora

Vstup, neboli guard, přijímá běžné TCP spojení na relay portu a začíná TLS handshake s klientem. U uspořádání Tor přes VPN je zdrojem tohoto spojení váš VPN výstup. U uspořádání Tor první je to adresa, kterou váš stroj použil k dosažení sítě Tor, obvykle vaše domácí připojení.

To odpovídá na IP polovinu otázky, ale jen pokud tunel spojení skutečně přenesl. Proces Tor dosáhne guardu vlastním socketem a tento socket se neřídí nastavením proxy v Tor Browseru. Prohlížeč mluví s přibaleným procesem tor přes SOCKS na 9150 a tor pak otevře vlastní spojení pomocí směrovací tabulky jádra. Řádek Socks5Proxy v torrc nebo klientský transport tuto cestu mění. Nic jiného.

Na Linuxu odpověď přečtete ze stroje. Zeptejte se jádra, které rozhraní by použilo pro libovolnou veřejnou adresu, a pak se podívejte na místní adresu navázaného spojení:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Pokud trasa říká dev wg0 nebo dev tun0 a místní adresa navázaného spojení je adresa tunelu, je Tor uvnitř VPN. Pokud trasa uvádí vaše fyzické rozhraní, je venku, ať tvrdí indikátor klienta cokoli.

Co může vidět váš poskytovatel VPN

Poskytovatel ukončuje vaši relaci VPN, takže vidí adresy, ke kterým se připojujete. Adresy guard relayů se zveřejňují ve veřejném konsenzu a jejich porty jsou dobře známé, takže spárování je hledání v seznamu, nikoli hloubková inspekce paketů. Poskytovatel nemusí lámat Tor, aby věděl, že relace je Tor.

Co nevidí, je zbytek okruhu. Střední relay a výstup se vybírají uvnitř Tora a poskytovatel zpracovává jen spoj k guardu. Obsah stránky zůstává uvnitř TLS, které končí na výstupu, a překlad jmen pro provoz Tora probíhá také na výstupu, takže na poskytovateli není žádný DNS dotaz, který by se dal spojit s cílem.

Bridge s obfs4 mění vyhledávání, ne topologii. Adresa bridge v seznamu veřejných relayů chybí a provoz je tvarován tak, aby nevypadal jako Tor, takže operátor, který jen porovnává adresy, ho neoznačí. Relace stále přichází z vašeho klienta VPN a poskytovatel stále vidí jeden koncový bod, jeden objem a jeden rozvrh.

Schopnost není politika uchovávání

Operátor, který může spojení pozorovat, neslíbil, že ho bude uchovávat. Logování je samostatné rozhodnutí, zapsané v politice, omezené jurisdikcí a ověřitelné jen důkazy, kterým už věříte. Označení bez logů nemění síťovou roli popsanou výše.

Identita účtu obvykle záleží víc než výstupní adresa. Pokud jste se přihlásili e-mailovou adresou nebo zaplatili kartou, může poskytovatel relaci spojit s vámi, aniž by zalogoval jediný cíl. Rotace výstupních IP na tom nic nemění.

Než uvěříte kterékoli odpovědi, zkontrolujte pokrytí

Většina lidí, kteří si myslí, že provozují Tor přes VPN, provozuje jen jeho část. Rozdělené tunelování, které vylučuje Tor Browser, kill switch, který pokrývá prohlížeč, ale ne službu tor, startovací jednotka, která běží před zvednutím tunelu, a cesta IPv6 mimo tunel jsou obvyklé čtyři.

Čtení stavové obrazovky klienta netestuje ani jednu z nich. Test, který to dělá: nechte Tor Browser běžet, sundejte tunel a sledujte, zda spojení ke guardu přežije na fyzickém rozhraní.

Pořadí, ve kterém kontroluji, a zastavuji se u prvního selhání:

• ip route get 203.0.113.10 vrací zařízení tunelu.
• ss -tnp | grep -i tor ukazuje spojení ke guardu s místní adresou tunelu.
• ip -6 route nemá výchozí trasu mimo tunel, nebo je v klientu vypnutá IPv6.
• Vypnutí VPN ukončí nebo přesměruje spojení tor, místo aby ho nechalo na fyzickém spoji.

Které pořadí odpovídá tomu, co bráníte

Obě pořadí něco skrývají a něco odhalují, takže odpověď je volba pozorovatele, na kterém vám záleží.

Čtěte po sloupcích, dokud řádek neodpovídá tomu, čemu se snažíte zabránit. Pokud je obava místní síť nebo poskytovatel připojení, který Tor zaznamenává nebo blokuje, Tor přes VPN to řeší. Pokud je obava, že se operátor VPN dozví vaši domácí adresu, VPN přes Tor to řeší a platí za to tím, že vystavuje používání Tora vaší vlastní síti a domácí adresu guardu.

Ani jedno uspořádání nenechává oba okraje slepé. Přidání pozorovatele žádného neodebere. Poznámka Tor Projectu o provozování VPN s Torem říká totéž z druhé strany: tunel mění, komu se věří a jaké cesty selhání existují, takže to není vylepšení, které se přidává bez rozhodnutí, co jste chtěli skrýt.

Nejdřív rozhodněte o pozorovateli, potom vyberte pořadí a ověřujte pomocí ip route get a ss, ne indikátorem klienta. Pokud je pozorovatelem někdo, kdo může přinutit samotného poskytovatele VPN, žádná volba pořadí to nespraví.