Går Tor gennem VPN'en? Hvad delt tunneling ændrer

Her er den antagelse, der er værd at teste: et tilsluttet badge betyder, at Tors trafik først gik gennem VPN'en. Slutningen fejler oftere, end den burde, og den fejler lydløst. En split-tunnel-matcher kan lade Tor-processen stå uden for tunnelen, mens enheden forbliver tilsluttet, og begge observationer er sande samtidig. Ikonet rapporterer et interface; den vej, dine pakker tog, er et separat spørgsmål. Besvar det ud fra routing og matcher, ikke ud fra badgeet.

Hvad et tilsluttet badge beviser, og hvad det ikke beviser

En tilsluttet VPN betyder, at et interface er oppe, og at der findes en tunnel til peer'en. Tors indgangsforbindelse er en anden strøm, oprettet af en anden proces, og om den går ind i den tunnel, afhænger af den matcher og routingtabel, der anvendes på den. Udeluk processen, og VPN'en opretter stadig forbindelse, Tor bygger stadig et kredsløb, og den tilsigtede rækkefølge skete ikke. De to observationer besvarer forskellige spørgsmål, og derfor afgør ingen af dem alene rækkefølgen.

Det hul er ikke en fejl i noget af værktøjerne. Det er netop, hvad en udelukkelsesregel er til, og reglen blev sandsynligvis skrevet af en grund, som nogen stadig husker.

Hvilken matcher klienten anvender på en forbindelse

Det, der afgør vejen, er den matcher, klienten anvender på hver forbindelse: et procesnavn, et destinationspræfiks eller en ruteindgang, afhængigt af klienten. En genvej på skrivebordet matcher ingen af dem, fordi den er en starter, ikke en policyenhed. Læs klientens regelsæt, og navngiv den enhed, den faktisk tester, før du ræsonnerer om Tor. Hvis klienten matcher efter destination, bliver spørgsmålet, hvilke præfikser der ligger inde i tunnelen, i stedet for hvilket program der kører.

En destinationsbaseret regel, der kun bærer private kontorpræfikser, er en almindelig form, og den lader almindelige Tor-indgangsforbindelser være direkte efter design. Det er politikken, der virker som konfigureret, og det er ikke rækkefølgen VPN-før-Tor, uanset hvor sundt badgeet ser ud. Skriv matcheren og de udelukkede præfikser på samme linje i dine noter, for det par er reglen.

Hvad der sker med Tor, når tunnelen falder

Tag nu tunnelen væk, og se, hvad Tor gør, for en politik, der kun holder, mens netværket er sundt, er ikke den politik, du beskrev. Klienten kan afvise direkte trafik, mens den er nede, lydløst tillade den eller genoprette forbindelsen og anvende reglen igen et øjeblik senere. En manuel afbrydelse og et nedbrud er forskellige hændelser, og nedbruddet er det, ingen har øvet. Test med uskyldig trafik, og notér, hvilket af de tre udfald du faktisk observerede.

Læs også klientens dokumenterede adfærd, men behandl dokumentationen som en hypotese, indtil din test er enig med den. Leverandører beskriver standarden; din profil afgør undtagelsen.

Hvorfor udgangsadressen ikke kan besvare indgangsspørgsmålet

Et websted, der nås gennem Tor, rapporterer udgangsrelæets adresse, hvilket fortæller, hvor kredsløbet kom ud, og intet om, hvordan det første hop forlod din enhed. Folk citerer den adresse som bevis for rækkefølgen VPN-først, og den kan ikke bære den vægt. Indgangsspørgsmålet er lokalt: hvilket interface bar forbindelsen til det første relæ, og hvilken kildeadresse VPN-peer'en ville have set. Besvar det med et ruteopslag eller en pakkefangst på enheden, ikke med et websted.

To forskellige veje kan give det samme udgangsland, så et matchende resultat beviser endnu mindre, end det ser ud til. Sammenlign interfaces, ikke geografi.

Programmer, der aldrig arvede browserens indstillinger

En dokumentviser, en synkroniseringsklient og et pakkehåndteringsprogram opretter hver deres egne forbindelser, og ingen af dem arver browserens proxyindstillinger. Hver følger klientens matcher, sin egen konfiguration eller systemets proxy, og kombinationen bliver sjældent skrevet ned. Det er sådan en undtagelsesliste vokser: ét program ad gangen, hver tilføjelse rimelig, indtil ingen kan sige, hvad listen dækker. Hold i stedet et kort diagram per program, der navngiver matcher, rute og fejladfærd.

Hvis det ekstra VPN-lag ikke tjener noget formål, du kan angive, er det lettere at verificere at fjerne laget end at vedligeholde en lang liste af undtagelser. Samtidig Tor Projects note om VPN'er nærmer sig det samme rækkefølgespørgsmål fra den anden side. Færre bevægelige dele betyder færre antagelser at genteste efter den næste klientopdatering.