Relái allanfa Tor yn erbyn gweinydd allanfa VPN: beth mae pob un yn ei wybod

Mae'r ddau ddyluniad yn cuddio'ch cyfeiriad y tu ôl i un IP cyhoeddus, ac ni all gwefan sy'n argraffu'r cyfeiriad a wêl wahaniaethu rhyngddynt. Y gwahaniaeth yw pwy sy'n dysgu beth ar y ffordd, faint o draffig sy'n cael ei gynnwys, a pha borthladdoedd sy'n cael gweithio. Mae relái allanfa Tor yn naid olaf cylched o dri relái; mae gweinydd allanfa VPN yn terfynu'ch twnnel ac yn gwneud y cysylltiad allanol ei hun. Dyma sut rwy'n penderfynu pa un y mae tasg ei angen, a beth i'w wirio cyn tybio bod un yn ymddwyn fel y llall.

Dau lwybr sy'n gorffen ar un cyfeiriad

Mae Tor yn adeiladu cylched drwy warchodwr, relái canol ac allanfa, ac yn amgryptio'r llwyth mewn haenau fel bod pob relái ond yn plicio ei haen ei hun. Mae'r allanfa'n gwneud y cysylltiad TCP arferol i'r gyrchfan, a dyna pam y mae'r gyrchfan yn gweld cyfeiriad yr allanfa. Nid yw'ch cleient byth yn siarad yn uniongyrchol â'r gyrchfan, ac nid yw'r gwarchodwr yn ei gweld chwaith.

Twnnel i un pwynt terfyn yw VPN. Mae gweinydd y gweithredwr yn tynnu'r twnnel ac yn agor y cysylltiad allanol, felly mae'r gyrchfan hefyd yn gweld un cyfeiriad, y tro hwn un y gweithredwr. Mae'r canlyniad gweladwy yr un peth; nid yw'r wybodaeth. Mae prawf sy'n argraffu IP yn ateb pa system rydych arni ac yn dweud dim am y rhaniad ymddiriedaeth sy'n wahanol mewn gwirionedd.

Pwy sy'n gwybod beth yn y pen draw

Mae pwynt terfyn VPN yn gweld y cyfeiriad ffynhonnell, y gyrchfan, yr amseriad a'r cyfaint mewn un lle. Y crynodiad hwnnw yw'r dyluniad: un gweithredwr, un arwyneb logiau, un lle i'w wardeisio neu i gamffurfweddu. Daw popeth a gewch o ymddiried yn y parti hwnnw ac o bolisi allanfa'r pwynt terfyn.

Mae Tor yn rhannu'r wybodaeth honno. Mae'r gwarchodwr yn gwybod eich cyfeiriad ond nid y gyrchfan; mae'r allanfa'n gwybod y gyrchfan ond nid eich cyfeiriad. Nid yw relái i fod i ddysgu'r ddau. Mae hynny'n briodwedd strwythurol, nid yn addewid yn erbyn arsylwr byd-eang, relái sy'n cydberthyn amseriadau, neu bwynt terfyn wedi'i gyfaddawdu, felly triniwch ef fel dosbarthiad gwahanol o'r un risg yn hytrach nag fel anhysbysrwydd na all fethu.

Mae ymdriniaeth yn benderfyniad porwr neu'n benderfyniad llwybr

Mae porwr Tor yn llwybro ei draffig ei hun ac yn ychwanegu amddiffyniadau nad yw cleient VPN cyffredinol yn eu hatgynhyrchu: gwrthwynebiad i ôl-bysedd, ynysu parti cyntaf, maint ffenestr sefydlog a gweithred Hunaniaeth Newydd sy'n taflu cyflwr y sesiwn. Nid yw apiau eraill yn defnyddio'r gylched honno oni bai eu bod wedi'u ffurfweddu i wneud hynny, ac mae gosodiad Tor ar draws y system yn brosiect ar wahân i osod y porwr.

Mae VPN o siâp arall. Mae ymdriniaeth yn dilyn y tabl llwybro, felly mae proffil WireGuard gyda AllowedIPs = 0.0.0.0/0 yn dal popeth ac mae rhestr twnnel hollt yn dal dim ond y rhagddodiadau a enwir. Yn y mecanwaith hwnnw y mae'r gollyngiadau hefyd: gall ymholiadau DNS, IPv6 a WebRTC bob un gymryd llwybr na chynhwyswyd gan y polisi llwybro. Gwiriwch o fewn yr ap a fethodd, nid o dab porwr a allai fod yn defnyddio rhyngwyneb arall.

Polisi porthladdoedd, cyrchfannau wedi'u blocio a HTTPS

Mae relái allanfa'n rhydd i wrthod porthladdoedd allanol, ac mae'r polisi diofyn yn gwrthod rhestr o rai sy'n dueddol o gael eu cam-drin, gyda phorthladd SMTP 25 ymhlith y rheini. Felly mae cleient post wedi'i ffurfweddu drwy Tor yn methu yn yr allanfa, sy'n edrych fel nam rhwydwaith ac nid yw. Mae gweithredwyr sy'n rhedeg relái yn gosod hyn yn benodol:

# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25

Mae cyrchfannau hefyd yn blocio, ac maent yn blocio'r ddau system yn wahanol. Mae cyfeiriadau allanfa Tor yn gyhoeddedig, felly gall safle wrthod y rhestr gyfan; mae pwyntiau terfyn VPN yn eistedd mewn amrediadau canolfannau data a wrthodir yr un mor ddi-hid. Pan fydd tudalen yn methu, gwahanwch y tri ymgeisydd cyn newid unrhyw beth: polisi allanfa neu allanol, cyrchfan sy'n gwrthod y ffynhonnell, neu borth ymglymu sy'n cipio'r cais cyntaf.

Nid yw'r naill system na'r llall yn disodli amgryptio clud. Mae HTTP plaen yn ddarllenadwy yn y relái allanfa ac ym mhwynt terfyn VPN fel ei gilydd, felly cadwch HTTPS ymlaen a darllenwch y rhybudd tystysgrif yn lle ei ddiystyru. Mae dau wiriad yn setlo'r cwestiwn llwybro'n gyflym: mae curl -s https://check.torproject.org/api/ip yn dychwelyd IsTor pan aeth y cais drwy gylched, ac mae curl -s https://ifconfig.me yn dangos y cyfeiriad allanfa y byddai VPN yn ei gyflwyno. Mae rhedeg y ddau yn dweud wrthych pa lwybr y mae'r plisgyn yn ei ddefnyddio mewn gwirionedd.

Peidiwch â defnyddio'r naill fel y llall

Nid yw cyfeiriad relái allanfa yn broffil VPN. Nid yw cyfeirio cleient OpenVPN neu WireGuard at relái ar borthladd 443 yn creu twnnel, oherwydd nid oes gwasanaeth VPN yn gwrando yno; naid yng nghylched rhywun arall yw'r relái. I'r cyfeiriad arall, nid yw pwynt terfyn VPN yn fynedfa i Tor, ac nid yw gosodiadau pontydd porwr Tor yn lle i ludo enw gwesteiwr VPN masnachol. Os rhedwch Tor dros VPN, mae'r gwarchodwr yn gweld cyfeiriad y VPN yn lle eich un chi, sy'n newid y rhaniad heb uno'r ddau rôl.

Cyn dewis, atebwch bedair cwestiwn yn eu trefn: pwy sy'n gweithredu'r pwynt terfyn a beth mae'n ei gadw, beth mae'r offeryn yn ei gynnwys ar y ddyfais hon, pa borthladdoedd a chyrchfannau y mae'r polisi allanfa'n eu caniatáu, a beth mae'r ap yn ei ychwanegu y tu hwnt i'r llwybr rhwydwaith. Mae tasg sydd angen mynediad rhwydwaith arferol ar gyfer llawer o raglenni eisiau VPN. Mae tasg sydd angen yr amddiffyniadau ar lefel porwr a'r model cylched eisiau porwr Tor, wedi'i gadw'n gyfredol. Os mai'r ateb yw «y ddau», rhedwch hwy mewn trefn fwriadol ac ysgrifennwch pa gyfeiriad y mae pob ochr yn ei weld.