Tor dros VPN: pwy sy'n gweld eich IP, a phwy sy'n gweld eich bod yn defnyddio Tor?

Rydych yn cysylltu'r cleient VPN, yn aros am y twnnel, yna'n agor Tor Browser a gadael iddo adeiladu cylched. Y dilyniant cyffredin hwnnw sy'n penderfynu pwy sy'n gweld beth. Yn y drefn honno mae relé mynediad Tor yn cyfarch cyfeiriad allanfa eich VPN, ac mae eich darparwr VPN yn cyfarch relé gwarchod cyhoeddus. Gwnewch yr un peth o'r tu arall a bydd y ddau arsylwr yn newid. Mae'r ddwy drefn yn werth eu cerdded drwyddynt, oherwydd mae gosodiadau'r cleient yn torri'r dilyniant yr oedd pobl yn credu oedd ar waith, yn ddistaw bach, ac mae'r prawf sy'n dal hynny yr un peth yn y ddau achos.

Dechreuwch gyda'r drefn, nid y cynnyrch

Gelwir dau drefniant yn „VPN gyda Tor“, a dim ond yr un cyntaf sy'n gyffredin. Mewn Tor dros VPN mae'r twnnel eisoes i fyny pan fydd Tor yn dechrau, felly mae'r broses tor yn anfon ei chysylltiad gwarchod i'r twnnel fel unrhyw draffig allanol arall. Mewn VPN dros Tor, Tor sy'n codi gyntaf ac mae'r sesiwn VPN ei hun yn teithio drwy'r gylched, gan gyrraedd y darparwr o allanfa Tor.

Yr hyn sy'n newid rhyngddynt yw pa gyfeiriad sy'n sefyll ar ben pellaf y ddolen allanol. Dim ond y naid flaenorol y mae pob arsylwr yn ei gweld, byth y llwybr cyfan: mae'r gwarchod yn gweld pwy gysylltodd ag ef, ac mae'r gweinydd VPN yn gweld pwy gysylltodd ag ef. Nid yw Tor yn cario cyfeiriad lleol eich twnnel allan, ac nid oes maes yn y protocol lle y gallai wneud hynny.

Yn y ddwy drefn mae'r wefan gyrchfan yn dal i weld allanfa Tor, ac nid yw'r naill drefn na'r llall yn newid yr hyn y mae'r wefan honno'n ei ddysgu o'ch mewngofnod. Mae'r gwahaniaeth yn gyfyngedig i'r ddau ymyl.

Beth mae relé mynediad Tor yn ei weld

Mae'r fynedfa, neu'r gwarchod, yn derbyn cysylltiad TCP cyffredin ar borth relé ac yn dechrau trafod TLS gyda'r cleient. Mewn trefniant Tor-dros-VPN ffynhonnell y cysylltiad hwnnw yw allanfa eich VPN. Mewn trefniant Tor-yn-gyntaf dyma'r cyfeiriad a ddefnyddiodd eich peiriant i gyrraedd rhwydwaith Tor, sef eich cysylltiad cartref fel arfer.

Mae hynny'n ateb hanner IP y cwestiwn, ond dim ond os oedd y twnnel wedi cario'r cysylltiad mewn gwirionedd. Mae'r broses Tor yn cyrraedd y gwarchod â'i soced ei hun, ac nid yw'r soced hwnnw o dan reolaeth gosodiadau dirprwy Tor Browser. Mae'r porwr yn siarad â'r broses tor sydd wedi'i bwydo â SOCKS ar 9150, ac yna mae tor yn agor ei gysylltiad ei hun gan ddefnyddio tabl cyfeirio'r cnewyllyn. Mae llinell Socks5Proxy yn torrc, neu drafnidiaeth cleient, yn newid y llwybr hwnnw. Nid oes dim arall yn gwneud.

Ar Linux gallwch ddarllen yr ateb oddi ar y peiriant. Gofynnwch i'r cnewyllyn pa ryngwyneb y byddai'n ei ddefnyddio ar gyfer cyfeiriad cyhoeddus mympwyol, yna edrychwch ar gyfeiriad lleol y cysylltiad sefydledig:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Os yw'r llwybr yn dweud dev wg0 neu dev tun0, ac os mai cyfeiriad y twnnel yw'r cyfeiriad lleol ar y cysylltiad sefydledig, mae Tor y tu mewn i'r VPN. Os yw'r llwybr yn enwi eich rhyngwyneb corfforol, mae y tu allan, beth bynnag y mae dangosydd y cleient ei hun yn ei honni.

Beth all eich darparwr VPN ei weld

Mae'r darparwr yn terfynu eich sesiwn VPN, felly mae'n gweld y cyfeiriadau rydych yn cysylltu â hwy. Mae cyfeiriadau relé gwarchod yn cael eu cyhoeddi yn y consensus cyhoeddus ac mae eu pyrth yn hysbys iawn, felly mae paru un yn chwiliad rhestr yn hytrach nag archwiliad pecynnau dwfn. Nid oes angen i ddarparwr ddatgymalu Tor i wybod bod sesiwn yn Tor.

Yr hyn nad yw'n ei weld yw gweddill y gylched. Mae'r relé canol a'r allanfa yn cael eu dewis y tu mewn i Tor, a dim ond y ddolen i'r gwarchod y mae'r darparwr yn ei thrin. Mae cynnwys y dudalen yn aros y tu mewn i TLS sy'n terfynu yn yr allanfa, ac mae datrysiad enwau ar gyfer traffig Tor yn digwydd yn yr allanfa hefyd, felly nid oes unrhyw ymholiad DNS gan y darparwr i'w gydberthyn â chyrchfan.

Mae pontydd gydag obfs4 yn newid y chwiliad, nid y topoleg. Nid yw cyfeiriad pont yn y rhestr relé gyhoeddus ac mae'r traffig yn cael ei siapio i osgoi edrych fel Tor, felly ni fydd gweithredwr sy'n cymharu cyfeiriadau yn unig yn ei nodi. Mae'r sesiwn yn dal i ddod o'ch cleient VPN, ac mae'r darparwr yn dal i weld un pen, un cyfrol ac un amserlen.

Nid yw gallu yn bolisi cadw

Nid yw gweithredwr sy'n gallu arsylwi cysylltiad wedi addo ei gadw. Mae logio yn benderfyniad ar wahân, wedi'i ysgrifennu mewn polisi, wedi'i gyfyngu gan awdurdodaeth, a dim ond trwy dystiolaeth rydych eisoes yn ymddiried ynddi y gellir ei wirio. Nid yw label dim-logiau yn newid y rôl rwydwaith a ddisgrifiwyd uchod.

Mae hunaniaeth cyfrif fel arfer yn bwysicach na chyfeiriad yr allanfa. Os gwnaethoch fewngofnodi ag anerchiad e-bost, neu dalu â chard, gall y darparwr gysylltu'r sesiwn â chi heb logio un gyrchfan. Nid yw cylchdroi IP allanfa yn gwneud dim ynglŷn â hynny.

Gwiriwch ymdriniaeth cyn ymddiried yn y naill ateb neu'r llall

Mae'r rhan fwyaf o'r bobl sy'n credu eu bod yn rhedeg Tor dros VPN yn rhedeg rhan ohono yn unig. Twnelu hollt sy'n eithrio Tor Browser, allwedd stopio sy'n gorchuddio'r porwr ond nid y gwasanaeth tor, uned gychwyn sy'n rhedeg cyn i'r twnnel godi, a llwybr IPv6 o amgylch y twnnel yw'r pedwar arferol.

Nid yw darllen sgrin statws y cleient yn profi'r un ohonynt. Y prawf sy'n gwneud hynny: gadewch Tor Browser yn rhedeg, tynnwch y twnnel i lawr, a gwyliwch a yw'r cysylltiad gwarchod yn goroesi ar y rhyngwyneb corfforol.

Y drefn rwy'n gwirio ynddi, gan stopio ar y methiant cyntaf:

• ip route get 203.0.113.10 yn dychwelyd y ddyfais twnnel.
• ss -tnp | grep -i tor yn dangos y cysylltiad gwarchod gyda chyfeiriad lleol twnnel.
• ip -6 route heb lwybr diofyn y tu allan i'r twnnel, neu mae IPv6 i ffwrdd yn y cleient.
• Mae gollwng y VPN yn gorffen neu'n ailgyfeirio'r cysylltiad tor yn lle ei adael ar y ddolen gorfforol.

Pa drefn sy'n gweddu i'r hyn rydych yn ei amddiffyn

Mae'r ddwy drefn yn cuddio rhywbeth ac yn datgelu rhywbeth, felly mae'r ateb yn ddewis ynglŷn â'r arsylwr sy'n bwysig i chi.

Darllenwch ef fesul colofn nes bod rhes yn cyfateb i'r hyn rydych yn ceisio'i atal. Os mai rhwydwaith lleol neu ISP sy'n cofnodi neu'n rhwystro Tor yw'r pryder, mae Tor dros VPN yn ei drin. Os mai'r pryder yw bod gweithredwr y VPN yn dysgu eich cyfeiriad cartref, mae VPN dros Tor yn trin hynny, ac yn talu amdano trwy ddatgelu defnydd o Tor i'ch rhwydwaith eich hun a'ch cyfeiriad cartref i'r gwarchod.

Nid yw'r naill drefniant na'r llall yn gadael y ddau ymyl yn ddall. Nid yw ychwanegu arsylwr yn tynnu un i ffwrdd. Nodyn y Tor Project am redeg VPN gyda Tor yn dweud yr un peth o'r cyfeiriad arall: mae'r twnnel yn newid pwy sy'n cael ei ymddiried a pha lwybrau methiant sy'n bodoli, felly nid yw'n uwchraddiad i'w ychwanegu heb benderfynu beth roeddech eisiau ei guddio.

Penderfynwch ar yr arsylwr gyntaf, dewiswch y drefn yn ail, a gwirio ag ip route get ac ss yn hytrach na dangosydd y cleient. Os mai rhywun sy'n gallu gorfodi darparwr y VPN ei hun yw'r arsylwr, nid oes dewis trefn yn trwsio hynny.