VPN před Tor: co pořadí skutečně mění

Připojení VPN jako první vytváří konkrétní řetěz: zařízení, koncový bod VPN, vstup Tor, okruh Tor, cíl. Vaše místní síť vidí jedno šifrované spojení k VPN a vstupní uzel Tor vidí výstup VPN jako bezprostřední zdroj místo adresy vašeho poskytovatele. Provozovatel VPN naopak vidí spojení směrem k vstupní infrastruktuře Tor a z cílů může odvodit používání Tor. Každý pozorovatel něco ztrácí a něco získává, a proto je pořadí výměna, nikoli vylepšení.

Nic v tomto řetězu nemění to, co se web dozví z vašeho účtu, cookies nebo zadaných údajů.

Co pořadí mění

Místní síť a poskytovatel internetu ztrácejí přímý přehled o vašem provozu Tor, protože prvním skokem je nyní šifrovaný tunel k poskytovateli. Vstupní strážce Tor ztrácí vaši domácí adresu a vidí výstup VPN. Poskytovatel VPN získává metadata, která dříve držel váš poskytovatel: které adresy kontaktujete, v jakých časech a kolik dat se přenáší.

Za vstupním strážcem se okruh chová jako dřív. Relaye stále oddělují role vstupu, středu a výstupu a VPN nevidí konečný obsah o nic víc než váš poskytovatel.

Ověřte cestu, která se skutečně používá

Rozdělené tunelování je obvyklým důvodem, proč zamýšlený řetěz není ten skutečný.Pokud je Tor Browser z tunelu vyloučen, nebo druhý profil směruje jinak, vstupní strážce znovu vidí adresu poskytovatele, zatímco rozhraní stále vypadá připojené. Kontrolujte trasu a pozorovaný výstup, ne ikonu.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Na požadavek SOCKS přes port 9150 odpovídá vlastní klient Tor Browseru, takže odpověď IsTor true potvrzuje okruh prohlížeče, ne že jej používá každá další aplikace. Výstup resolveru stojí za zaznamenání, protože DNS může odejít cestou, kterou tunel nepokrývá. Uchovejte oba výstupy s časovým razítkem. Jsou výchozím bodem pro další srovnání.

Srovnejte to s přímým požadavkem z běžného terminálu: pokud i ten hlásí Tor, něco jiného přesměrovává provoz a řetěz není takový, jaký návrh předpokládal.

Sledujte, co se stane, když tunel spadne

Klient, který tiše přejde na místní rozhraní, mění zdroj, který vstupní strážce vidí, a uživatel to obvykle neví, protože stránka se stále načítá. Právě toto selhání stojí za testování, ne šťastná cesta. Záměrně odpojte tunel a sledujte, zda provoz Tor ustane, nebo pokračuje nechráněný.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Pravidla firewallu, která blokují odchozí provoz mimo tunel, jsou jedinou spolehlivou záložní kontrolou a musí pokrývat jak SOCKS klienta prohlížeče, tak každou další aplikaci, na které vám záleží. Rozšíření prohlížeče není VPN zařízení a neovlivňuje jiné programy ani vnější pozorovatele.

Rozhodněte, zda si extra vrstva zaslouží důvěru

Projekt Tor nedoporučuje vrstvit VPN pod Tor, pokud si nastavení nedokážete sami vyhodnotit. Uvedeným důvodem je přidaná závislost: další strana, další účet a další režim selhání. Pokud je cílem zabránit poskytovateli vidět, že používáte Tor, VPN se zaměřuje právě na tohoto pozorovatele. Pokud je cílem silnější anonymita vůči globálnímu pozorovateli, VPN ji neposkytuje.

Existuje i opačné pořadí a názvy nejsou zaměnitelné:Tor přes VPN a VPN přes Tor popisují různé vztahy důvěry a různé chování při selhání. Přečtěte si srovnání, než je smícháte.

Zapište, kterého pozorovatele se snažíte posunout, potom ověřte, že skutečná cesta odpovídá návrhu, potom ověřte chování při selhání. Pokud tyto tři odpovědi neospravedlňují další účet a konfiguraci, dokumentované nastavení Tor Browseru má méně částí, které lze pokazit.