Relái Tor a gweinydd VPN: pam nad ydynt yn gyfnewidiol

Mae gennych gyfeiriad, mae'r porth yn ateb, ac mae cleient yn ei dderbyn heb gŵyn. Nid oes unrhyw un o'r rhain yn gwneud relái Tor yn ben draw VPN, ac mae'r camgymeriad yn ddrud oherwydd bod y proffil yn mewnforio'n lân ac yn methu'n ddiweddarach yn y cyfarchiad. Rwy'n defnyddio'r pedwar gwiriad isod yn eu trefn; mae gan bob un amod stopio, a stopio'n gynnar yw'r pwynt. Os yw'r gwiriad cyntaf yn methu, ni all y gweddill eich helpu.

Gwiriwch beth mae'r porth yn ei wasanaethu mewn gwirionedd

Mae porth agored yn profi gwrandawr, dim mwy. Mae ORPort relái yn siarad celloedd Tor ei hun ar ôl cyfarchiad TLS, felly nid yw prawf TLS llwyddiannus yn dweud fawr ddim wrthych am a yw protocol VPN yn cael ei dderbyn yno:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Darllenwch y dystysgrif yn hytrach na'r ffaith bod un yn bodoli. Mae relái yn cyflwyno tystysgrif hunan-lofnodedig ag enw hollol ddi-nod yn fwriadol, oherwydd mae traffig relái i fod i debygu HTTPS cyffredin; mae tystysgrif gweinydd VPN yn cario'r enw y mae eich proffil yn ei ddisgwyl. Os nad yw'r partner byth yn ateb pecyn cyntaf protocol VPN, ni fydd unrhyw faint o olygu'r proffil yn newid y canlyniad.

Stopiwch yma os nad yw'r cyfeiriad yn cwblhau'r cyfarchiad y mae eich cleient yn ei anfon. Ateb protocol yw hyn, nid problem ffurfweddu, a dyma'r rheswm mwyaf cyffredin pam mae proffil wedi'i fewnforio yn aros ar 'connecting' am byth.

Gwiriwch rôl y relái, nid maint y rhwydwaith

Mae rolau relái yn gwneud gwaith gwahanol. Guard yw'r naid gyntaf i gleientiaid, mae relái canol yn anfon cylchedau ymlaen rhwng relái eraill, exit yw'r un sy'n cyffwrdd cyrchfannau, a phont yw pwynt mynediad anghyhoeddus a ddosberthir drwy BridgeDB. Mae geirfa Tor yn cadw'r diffiniadau hynny ar wahân, ac mae bod yn gyrraeddadwy yn rhan o bob rôl tra nad yw caniatâd i wasanaethu cleientiaid mympwyol yn rhan o'r un ohonynt.

Mae'r polisi exit yn werth ei ddarllen oherwydd mai dyma'r unig ran sy'n debygu rheol anfon ymlaen, ac mae'n llywodraethu'r cyrchfannau y bydd yr exit yn caniatáu iddynt fynd allan, nid y cleientiaid a ganiateir i mewn. Mae polisi exit cyfyngol sy'n blocio porth 25 yn dweud rhywbeth am reoli camddefnydd allan, nid am a gewch chi bwyntio cleient OpenVPN at y peiriant.

Stopiwch os ydych yn rhesymu o enw da: oherwydd bod relái yn anfon traffig ymlaen, rhaid i'r cyfeiriad dderbyn eich un chi. Mae Tor yn dewis llwybrau trwy gonsensws a'i brotocol ei hun; nid yw cleient VPN yn gyfranogwr ac nid oes ganddo gylched i ymuno â hi.

Gwiriwch a yw'r gwrandawr SOCKS yn lleol neu'n gyhoeddus

Mae cleient Tor yn datgelu rhyngwyneb SOCKS ar gyfer cymwysiadau ar yr un peiriant, ar loopback yn ddiofyn. Mae'r gwrandawr hwnnw'n gyfleuster lleol, nid yn wasanaeth y mae relái yn ei gynnig i'r rhyngrwyd, a thrin hynny fel dirprwy cyhoeddus yw sut mae pobl yn gorffen yn rhedeg relái agored nad oeddent yn bwriadu ei redeg:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Y cyfeiriad rhwymo yw'r cliw. Mae SocksPort ar 127.0.0.1:9050 yn gwneud ei waith; un sy'n gwrando ar 0.0.0.0 ac yn gyrraeddadwy o'r tu allan yw dirprwy agored, ac mae rheolyddion polisi mynediad Tor ei hun yn bodoli'n union oherwydd bod yr amlygiad hwnnw'n broblem yn hytrach na nodwedd.

Ar gyfer cymhwysiad sydd angen Tor, pwyntiwch ef at borth loopback a gadewch i Tor ddatrys enwau, sef yr hyn y mae'r ffurf socks5h uchod yn ei wneud. Peidiwch â rhoi cyfeiriad relái yn lle'r porth hwnnw; nid yw'r relái yn cynnig y rhyngwyneb y mae eich cymhwysiad yn gofyn amdano.

Gwiriwch fod proffil VPN yn cyfateb i ben draw go iawn

Mae proffil VPN yn gasgliad o ddisgwyliadau: mae OpenVPN angen tystysgrif y gweinydd neu CA, tystysgrif cleient a allwedd, ac fel arfer allwedd TLS, tra mae WireGuard angen allwedd gyhoeddus y partner, pen draw ac IPau a ganiateir. Nid oes modd deillio'r un o'r rhain o gyfeiriad a phorth agored, a dyna pam mae proffil wedi'i adeiladu felly yn methu yn y cyfnewidiad cyntaf yn hytrach nag wrth gysylltu.

Pan roddir proffil i chi, gwiriwch ef yn erbyn pen draw rydych yn ei reoli neu ddarparwr y gallwch ei adnabod:

wg show
openvpn --config client.ovpn --verb 4

Yng nghofnod OpenVPN, mae gwall trafodaeth TLS yn enwi'r anghysondeb yn uniongyrchol; yn wg show, nid yw partner heb linell gyfarchiad erioed wedi cwblhau un. Mae'r ddau yn fwy addysgiadol na dangosydd troellog y cleient, ac mae'r ddau yn pwyntio at ddeunydd allweddol neu brotocol yn hytrach nag at Tor.

Gwiriwch pa amddiffyniad sydd ei angen arnoch mewn gwirionedd

Dyma'r gwiriad sy'n penderfynu'r bensaernïaeth. Mae Tor Browser yn rhoi ynysu cylchedau ac amddiffyniad olion bysedd nad yw VPN yn eu rhoi; mae VPN yn newid y cyfeiriad y mae cyrchfan yn ei weld ac yn eich dilysu i ddarparwr. Dewis rhyngddynt yn gwestiwn model bygythiad, nid cwestiwn cydnawsedd, ac mae eu cymysgu yn cynhyrchu sefydliad sy'n edrych yn breifat ac nad yw.

Mae gan gadwyno drefn. Mae VPN sy'n cario traffig Tor yn drefniant a gefnogir, oherwydd nad oes gan gleient Tor angen ond TCP allan. Nid yw cleient VPN wedi'i dwnelu o fewn Tor yr un peth ac nid yw'n beth mae cleient Tor yn ei weithredu, felly peidiwch â chynllunio o gwmpas hynny.

Cyn i chi fewnforio unrhyw beth, cadarnhewch y pedwar:

• Mae'r porth yn cwblhau cyfarchiad eich protocol, nid cysylltiad TCP yn unig.
• Rydych yn gwybod rôl y gwesteiwr ac nid ydych yn trin anfon ymlaen fel caniatâd.
• Mae'r gwrandawr SOCKS rydych yn ei ddefnyddio yn loopback ac yn eiddo i chi, nid porth cyhoeddus ar relái rhywun arall.
• Mae allweddi neu dystysgrifau'r proffil yn perthyn i'r pen draw rydych yn cysylltu ag ef.