Gwasanaeth Onion a gwasanaeth VPN: modelau mynediad gwahanol

Mae pobl yn disgrifio gwasanaeth Onion a gwasanaeth sy'n hygyrch trwy VPN yn unig fel dau amrywiad o'r un syniad: cuddio'r porth a rhannu'r cyfeiriad cyfrinachol. Maent yn wahanol yn yr hyn y mae'r cyfeiriad yn rhwym wrtho, pwy all ei gyrraedd a beth sy'n rhaid digwydd cyn i gais gyrraedd. Un yw man cyfarfod y tu mewn i Tor; y llall yw llwybr y tu mewn i rwydwaith preifat. Mae eu trin fel pethau cyfnewidiol yn cynhyrchu cynlluniau nad ydynt nac yn breifat nac yn gynaliadwy.

Y myth: dim ond drws cudd yw'r ddau ddyluniad

Mae'r nodwedd a rennir yn wir ond yn denau: nid yw'r un o'r ddau ddyluniad yn gosod y rhyngwyneb gweinyddol ar borth cyhoeddus y gellir ei gyrraedd yn uniongyrchol. Mae popeth ar ôl hynny'n dargyfeirio. Mae cyfeiriad Onion yn deillio o allwedd y gwasanaeth ei hun, felly mae'r enw'n rhwym wrth hunaniaeth; nid yw cyfeiriad VPN ond yn gyfeiriad o fewn rhwydwaith y cawsoch eich derbyn iddi. Mae un yn cuddio'r gwasanaeth mewn haen drosodd, mae'r llall yn eich derbyn i dopoleg breifat. Trin yr ail fel cyfystyr o'r cyntaf yw dechrau'r dryswch.

Nid yw'r un o'r ddwy nodwedd yn rheolaeth diogelwch i'r rhaglen ei hun. Nid yw lleoliad cudd yn clytio'r meddalwedd y tu ôl iddo, ac nid yw llwybr preifat yn ychwanegu dilysu at y dudalen fewngofnodi. Mae'r ddau ddyluniad yn dal i fod angen caniatâdau'r rhaglen ei hun, ac mae'r ddau yn dal i fod angen rhywun cyfrifol am ddiweddariadau ac adferiad.

At beth y mae cyfeiriad Onion yn pwyntio mewn gwirionedd

Cyfeiriad Onion fersiwn v3 sy'n amgodio allwedd gyhoeddus y gwasanaeth, a dyna pam na all neb ddewis cyfeiriad ar gyfer gwasanaeth nad yw'n ei reoli. Mae'r cleient yn cysylltu trwy Tor â man cyfarfod, ac mae'r gwasanaeth yn cyrraedd yr un pwynt o'i ochr; nid oes unrhyw nod allanfa cyffredin yn cario'r cysylltiad hwnnw i'r gwasanaeth. Mae'r enw'n hunaniaeth, nid yn gofnod DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Dyna pam nad yw ychwanegu llwybr na chofnod hosts ar gyfer enw onion yn gwneud unrhyw les. Nid y chwiliad yw'r mecanwaith; y cleient Tor a'i gylchedau yw'r mecanwaith. Os yw'r gwasanaeth ar gyfer grŵp bach o bobl, gall awdurdodi cleient onion olygu bod angen allwedd cyn derbyn y cysylltiad, ond nid yw hynny'n fewngofnodi i'r rhaglen. Mae cyhoeddi'r cyfeiriad hefyd yn weithred fwriadol, gan y gall unrhyw un sy'n ei ddysgu geisio cysylltu oni bai eich bod wedi'i gyfyngu.

Stopiwch os mai'r unig reswm dros ddyluniad onion yw osgoi ffurfweddu dilysu. Nid yw'r haen drosodd yn darparu hynny, a byddwch yn ei adeiladu'n ddiweddarach beth bynnag.

Beth y mae llwybr VPN yn ei roi mewn gwirionedd

Mae VPN yn derbyn dyfais i rwydwaith ac yn rhoi llwybr iddi i borth neu is-rwydwaith. Mae'r gwasanaeth y tu ôl i'r porth hwnnw'n gweld cyfeiriad o gronfa'r twnnel ac yn cymhwyso pa bynnag awdurdodiad sydd ganddo. Nid yw'r llwybr yn dweud dim am bwy yw'r defnyddiwr; mae'n dweud i ble y gall pecynnau fynd.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Mae'r model hwnnw'n addas i grŵp hysbys â dyfeisiau wedi'u rheoli, oherwydd gall y porth orfodi cyflwr y ddyfais a gellir archwilio'r rhwydwaith. Nid yw'n addas o gwbl i ymwelwyr dienw neu achlysurol, y byddai angen eu cofrestru gyntaf. Mae mewngofnodi'r rhaglen ei hun yn dal i benderfynu beth y gall defnyddiwr cysylltiedig ei ddarllen. Cymysgu cyrhaeddiad â chaniatâd yw sut y mae VPN yn y pen draw yn rhoi is-rwydwaith gyfan i bawb a all gysylltu.

Stopiwch os yw'r gynulleidfa'n anhysbys neu'n newid yn gyson. Mae cofrestru dieithriaid i rwydwaith preifat er mwyn dangos un dudalen iddynt yn ymrwymiad mawr o'i gymharu â chyhoeddi gwasanaeth.

Dewis rhyngddynt, a'r hyn sy'n aros yr un fath

Dewiswch y model onion pan fo'r gynulleidfa'n dechnegol, pan na ddylai'r gwasanaeth fod â chyfeiriad cyhoeddus o gwbl, a phan allwch dderbyn gofynion cleient Tor. Dewiswch y model VPN pan fo'r gynulleidfa'n grŵp diffiniedig y rheolwch ei ddyfeisiau ac y dymunwch gofnodi ei fynediad ar haen y rhwydwaith. Nid yw'r un dewis yn dileu'r angen am ddilysu'r rhaglen, clytio na llwybr adfer. Nid yw'r un ohonynt yn fwy preifat yn awtomatig yn yr ystyr sy'n bwysig i'ch defnyddwyr.

Yn y ddau ddyluniad, nodwch pwy all gyrraedd y gwasanaeth, sut y cânt eu hadnabod, a beth sy'n digwydd pan gollir cymhwyster. Mae'r ateb ar gyfer gwasanaeth onion yn cynnwys ei allweddi awdurdodi cleient a'r cyfeiriad ei hun; mae'r ateb ar gyfer VPN yn cynnwys y cyfrif, y ddyfais a pholisi'r porth. Rhestr wahanol yw'r rhain, a dim ond un ohonynt fydd yn amlwg i'r gweinyddwr nesaf.

Mae'r gymhariaeth yn gorffen lle mae'r rhaglen yn dechrau. Mae cyfeiriad cudd a llwybr preifat yn ddewisiadau cludo, ac mae'n rhaid i'r rhaglen benderfynu o hyd beth y caniateir i gais ei wneud. Cadwch y penderfyniadau hynny mewn dogfennau ar wahân ac ni fydd y naill ddyluniad yn amsugno gwaith y llall yn dawel.