Tor yn barod cyn y VPN: trefnu giât cychwyn yn gywir

Gwylio am broses tor ac yna cychwyn y VPN yw'r ffordd fwyaf cyffredin o adeiladu'r pentwr hwn yn anghywir. Mae'r daemon yn ymddangos ymhell cyn iddo allu cludo ffrwd cleient, ac mae oedi sefydlog yn ddyfaliad wedi'i wisgo fel dibyniaeth. Rhaid i'r giât fod yn y cyflwr y mae'r gydran nesaf ei angen mewn gwirionedd. Cerddwch drwy'r pedwar cam isod yn eu trefn, a thriniwch bob un fel amod ar wahân yn hytrach na fel oedi i'w diwtio.

Cam 1: dewiswch y cludiant sydd gennych mewn gwirionedd

Dechreuwch gyda'r protocol, oherwydd mae gweddill y dyluniad yn dibynnu arno. Nid yw rhyngwyneb SOCKS Tor yn gweithredu UDP ASSOCIATE, felly rhaid i unrhyw beth a gludir drosto fod yn ffrwd TCP. Ni fydd proffil OpenVPN sy'n defnyddio UDP yn gweithio drwy'r llwybr hwn, waeth sut y caiff y goruchwyliwr ei ysgrifennu. Newidiwch y proffil i TCP a chadarnhewch fod y cyfoed pell yn ei dderbyn cyn i chi gyffwrdd â'r rhesymeg cychwyn.

Yna cadarnhewch fod eich cleient yn gallu cyrraedd dirprwy SOCKS o gwbl. Mae OpenVPN 2.6 yn dogfennu opsiwn socks-proxy ar gyfer proffiliau TCP, ac mae cleientiaid gwahanol yn cynnig cymorth dirprwy gwahanol. Bydd lansiwr sy'n anwybyddu'r opsiwn dirprwy yn dawel yn cysylltu'n uniongyrchol ac yn ymddangos fel petai'n gweithio, sy'n waeth na methu.

Ysgrifennwch y cludiant a ddewiswyd yn y llyfr rhedeg, oherwydd mae pob gwiriad diweddarach yn dibynnu arno.

Cam 2: darllenwch y cyfnod bootstrap, nid y rhestr brosesau

Mae protocol rheoli Tor yn ateb GETINFO status/bootstrap-phase â'r cyflwr bootstrap diweddaraf, gan gynnwys canran cynnydd a thag crynodeb. Mae'r ateb hwnnw'n ddefnyddiol yn union oherwydd y gall rheolydd gysylltu ar ôl i'r daemon orffen bootstrap yn barod. Bydd goruchwyliwr sy'n gwrando ar ddigwyddiadau yn unig yn colli'r achos lle roedd Tor yn barod cyn i'r goruchwyliwr ddechrau.

Dilyswch y cysylltiad rheoli'n briodol. Mae porth rheoli yn rhyngwyneb gweinyddol, a gall unrhyw un sy'n gallu siarad ag ef ailgyflunio'r daemon. Cadwch ef ar localhost, cadwch ddilysu cwci neu gyfrinair wedi'i alluogi, a pheidiwch â dileu'r naill na'r llall er mwyn gwneud sgript cychwyn yn symlach.

Darllenwch y cyfnod unwaith ar gychwyn, yna tanysgrifiwch i ddigwyddiadau cynnydd ar gyfer y golwg byw.

printf 'AUTHENTICATE\r\nGETINFO status/bootstrap-phase\r\nQUIT\r\n' | nc 127.0.0.1 9051
ss -ltn | grep -E '9050|9051'
tor --verify-config -f /etc/tor/torrc

Mae ateb â chynnydd 100 a'r tag done yn golygu bod y daemon wedi gorffen ei gychwyn ei hun. Nid yw hynny eto'n golygu bod cylched y gellir ei defnyddio yn bodoli i'ch cyrchfan.

Cam 3: arhoswch am ddigwyddiad cylched cleient

Mae protocol digwyddiadau Tor yn diffinio CIRCUIT_ESTABLISHED, sy'n adrodd bod gan y cleient gylched y gall ei defnyddio. Dyna'r signal parodrwydd y mae giât cludwr ei eisiau, oherwydd mae'n nes at y gallu sydd ei angen arnoch nag y mae canran. Tanysgrifiwch i'r digwyddiad a chofnodwch y trosglwyddiad, fel bod y log yn dangos pryd y daeth y cludwr yn ddefnyddiadwy yn hytrach na phryd yr ymddangosodd y broses.

Triniwch y digwyddiad fel caniatâd i geisio, nid fel gwarant am unrhyw gyrchfan benodol. Gall polisi allanfa wrthod y cyfoed pell o hyd, a gall ysgwyd llaw y VPN ei hun fethu o hyd am resymau nad oes ganddynt ddim i'w wneud â Tor.

Cadwch y ddau amod ar wahân yn y cod. Bydd un boolean o'r enw ready yn eu huno ac yn gwneud y digwyddiad nesaf yn annarllenadwy.

Cam 4: giatwch y VPN ar ei ysgwyd llaw ei hun

Mae gan y VPN ei amod parodrwydd ei hun, a dyna'r unig un sy'n profi bod y twnnel wedi codi. Arhoswch i'r cleient adrodd cyflwr cysylltiedig ag anerchiad wedi'i bennu, yna gwiriwch fod y gofyniad dirprwy wedi aros mewn grym. Bydd dolen ailgynnig sy'n gollwng yr opsiwn socks-proxy ar ôl un methiant yn cysylltu'n uniongyrchol ac yn trechu'r dyluniad cyfan yn dawel.

Penderfynwch beth sy'n digwydd pan nad yw'r cyfoed yn cyrraeddadwy cyn y bydd angen i chi wybod. Mae ailgynnig cyfyngedig â methiant gweladwy yn haws i'w weithredu na dolen anfeidrol, ac mae'n rhoi rhywbeth i'r system fonitro rybuddio yn ei gylch. Mae'r un penderfyniad yn berthnasol i'r cludwr: os bydd Tor yn ailgychwyn, rhaid dymchwel y VPN a'i giatio eto yn hytrach na'i adael yn rhedeg ar gylched farw.

Yn olaf, cadwch bolisi'r cymhwysiad ei hun yn ei le tra fo'r VPN i lawr. Nid yw goruchwyliwr sy'n aros yn gywir yn gwneud unrhyw beth i atal proses heb gysylltiad rhag anfon traffig yn uniongyrchol.

Gwiriwch y pedwar trosglwyddiad y mae'n rhaid i chi eu goroesi

Mae pedwar achos yn cwmpasu'r dyluniad: cychwyn oer lle mae Tor yn codi gyntaf, goruchwyliwr sy'n cysylltu â Tor sydd eisoes yn barod, cyfoed VPN sydd ddim ar gael, a cholli'r cludwr tra mae'r twnnel i fyny. Mae gan bob un drosglwyddiad disgwyliedig gwahanol, ac mae pob un yn cynhyrchu llinell log wahanol os yw'r giât wedi'i ysgrifennu'n briodol.

Rhedwch nhw'n fwriadol, un ar y tro, a darllenwch y newidiadau cyflwr yn hytrach na'r rhestr brosesau.

journalctl -u tor@default -n 30 --no-pager
systemctl status [email protected]
curl -sS --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Pan fydd y cludwr yn cwympo, dylai'r VPN ddilyn i lawr o fewn un cyfwng ailgynnig yn hytrach nag aros gyda thwnnel darfodedig. Pan fydd Tor yn dychwelyd, dim ond ar ôl digwyddiad y gylched y dylai'r giât ailagor, nid ar ôl cychwyn y broses. Cofnodwch pa amod oedd ar goll ym mhob methiant, ac ni fydd yn rhaid i'r person nesaf ar alwad ailadeiladu'r drefn o stampiau amser.