Relé Tor versus server VPN: proč nejsou zaměnitelné

Otevřený port na relé Tor není koncový bod VPN. Nejdřív zkontrolujte, co port obsluhuje, roli relé, rozsah posluchače SOCKS a profil.

Máte adresu, port odpovídá a klient ji přijímá bez stížností. Nic z toho nedělá z relé Tor koncový bod VPN a chyba je drahá, protože se profil čistě naimportuje a později selže při navázání spojení. Níže uvedené čtyři kontroly používám v pořadí; každá má podmínku zastavení a včasné zastavení je právě to podstatné. Pokud první kontrola selže, ostatní vám nepomohou.

Zkontrolujte, co port skutečně obsluhuje

Otevřený port dokazuje posluchače, nic víc. ORPort relé mluví vlastními buňkami Toru po TLS handshaku, takže úspěšná TLS sonda vám téměř nic neřekne o tom, zda je tam protokol VPN přijímán:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Čtěte certifikát, ne jen skutečnost, že existuje. Relé předkládají samopodepsaný certifikát se záměrně nenápadným jménem, protože provoz relé má připomínat běžný HTTPS; certifikát serveru VPN nese jméno, které váš profil očekává. Pokud protistrana nikdy neodpoví na první paket protokolu VPN, žádné úpravy profilu výsledek nezmění.

Zastavte se zde, pokud adresa nedokončí handshake, který váš klient odesílá. To je odpověď protokolu, ne problém konfigurace, a je to nejčastější důvod, proč importovaný profil navěky zůstává na 'connecting'.

Zkontrolujte roli relé, ne velikost sítě

Role relé dělají různé práce. Guard je prvním skokem pro klienty, střední relé předává okruhy mezi ostatními relé, exit je ten, kdo se dotýká destinací, a most je neveřejný vstupní bod rozdávaný přes BridgeDB. Slovník Toru drží tyto definice oddělené a dosažitelnost je součástí každé role, zatímco oprávnění obsluhovat libovolné klienty není součástí žádné z nich.

Exit politika stojí za přečtení, protože je jedinou částí, která připomíná pravidlo přesměrování, a řídí destinace, kam exit povolí odchod, ne klienty, kteří smějí dovnitř. Restriktivní exit politika, která blokuje port 25, něco říká o kontrole zneužití odchozího provozu, ne o tom, zda smíte namířit klienta OpenVPN na stroj.

Zastavte se, pokud usuzujete z reputace: protože relé přeposílají provoz, adresa musí přijmout ten váš. Tor vybírá cesty přes konsenzus a vlastní protokol; klient VPN není účastník a nemá okruh, ke kterému by se připojil.

Zkontrolujte, zda je posluchač SOCKS lokální, nebo veřejný

Klient Toru vystavuje rozhraní SOCKS pro aplikace na stejném stroji, ve výchozím stavu na loopbacku. Tento posluchač je místní pohodlí, ne služba, kterou relé nabízí internetu, a zacházet s ním jako s veřejným proxy je způsob, jak lidé skončí s otevřeným relé, které nechtěli provozovat:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Vazební adresa je vodítko. SocksPort na 127.0.0.1:9050 dělá svou práci; ten, který poslouchá na 0.0.0.0 a je dostupný zvenčí, je otevřené proxy, a vlastní ovládací prvky přístupové politiky Toru existují právě proto, že tato expozice je problém, ne vlastnost.

Pro aplikaci, která potřebuje Tor, ji namiřte na loopback port a nechte Tor rozkládat jména, což dělá podoba socks5h výše. Nenahrazujte adresu relé tímto portem; relé nenabízí rozhraní, které vaše aplikace žádá.

Zkontrolujte, zda profil VPN odpovídá skutečnému koncovému bodu

Profil VPN je svazek očekávání: OpenVPN potřebuje certifikát serveru nebo CA, klientský certifikát a klíč a obvykle TLS klíč, zatímco WireGuard potřebuje veřejný klíč protistrany, koncový bod a povolené IP adresy. Nic z toho nelze odvodit z adresy a otevřeného portu, a proto profil takto postavený selže při první výměně, ne při připojení.

Když vám předají profil, ověřte ho proti koncovému bodu, který ovládáte, nebo poskytovateli, kterého umíte identifikovat:

wg show
openvpn --config client.ovpn --verb 4

V logu OpenVPN chyba vyjednávání TLS přímo pojmenuje nesoulad; v wg show protistrana bez řádku handshaku nikdy žádný nedokončila. Obojí je informativnější než točící se indikátor klienta a obojí ukazuje na klíčový materiál nebo protokol, ne na Tor.

Zkontrolujte, kterou ochranu vlastně potřebujete

Toto je kontrola, která rozhoduje o architektuře. Tor Browser vám dává izolaci okruhů a obranu proti otisku prstu, kterou VPN nemá; VPN mění adresu, kterou destinace vidí, a autentizuje vás u poskytovatele. Volba mezi nimi je otázka modelu hrozeb, ne kompatibility, a jejich zaměnění vytvoří nastavení, které vypadá soukromě a není.

Řetězení má pořadí. VPN nesoucí provoz Toru je podporované uspořádání, protože klient Toru potřebuje jen odchozí TCP. Klient VPN tunelovaný uvnitř Toru není totéž a není to, co klient Toru implementuje, takže s tím nepočítejte.

Než cokoli naimportujete, potvrďte všechny čtyři body:

  • Port dokončí handshake vašeho protokolu, ne jen TCP spojení.
  • Znáte roli hostitele a nepovažujete přesměrování za oprávnění.
  • Posluchač SOCKS, který používáte, je loopback a váš, ne veřejný port na cizím relé.
  • Klíče nebo certifikáty profilu patří koncovému bodu, ke kterému se připojujete.

Související články