Läuft Tor über das VPN? Was Split-Tunneling ändert

Hier ist die Überzeugung, die es zu testen lohnt: Ein verbundenes Symbol bedeutet, dass Tors Datenverkehr zuerst durch das VPN ging. Diese Folgerung scheitert häufiger als sie sollte, und sie scheitert leise. Ein Split-Tunnel-Matcher kann den Tor-Prozess außerhalb des Tunnels lassen, während das Gerät verbunden bleibt, und beide Beobachtungen stimmen gleichzeitig. Das Symbol meldet eine Schnittstelle; der Weg Ihrer Pakete ist eine separate Frage. Beantworten Sie sie aus dem Routing und dem Matcher, nicht aus dem Symbol.

Was ein verbundenes Symbol beweist und was nicht

Ein verbundenes VPN bedeutet, dass eine Schnittstelle aktiv ist und ein Tunnel zum Peer besteht. Tors Einstiegsverbindung ist ein anderer Fluss, von einem anderen Prozess erzeugt, und ob sie in diesen Tunnel gelangt, hängt vom Matcher und der Routing-Tabelle ab, die darauf angewendet werden. Schließen Sie den Prozess aus, und das VPN verbindet sich trotzdem, Tor baut trotzdem einen Kanal auf, und Ihre beabsichtigte Reihenfolge ist nicht eingetreten. Die beiden Beobachtungen beantworten verschiedene Fragen, weshalb keine von ihnen allein die Reihenfolge entscheidet.

Diese Lücke ist kein Fehler in einem der Werkzeuge. Genau dafür gibt es eine Ausschlussregel, und die Regel wurde wahrscheinlich aus einem Grund geschrieben, an den sich noch jemand erinnert.

Welchen Matcher der Client auf eine Verbindung anwendet

Den Weg entscheidet der Matcher, den der Client auf jede Verbindung anwendet: ein Prozessname, ein Zielpräfix oder ein Routeneintrag, je nach Client. Eine Desktop-Verknüpfung passt auf keinen davon, denn sie ist ein Starter, keine Policy-Einheit. Lesen Sie die Regelmenge des Clients und benennen Sie die Einheit, die er tatsächlich prüft, bevor Sie über Tor nachdenken. Wenn der Client nach Ziel matcht, wird die Frage, welche Präfixe im Tunnel liegen, statt welches Programm läuft.

Eine zielbasierte Regel, die nur private Büropräfixe trägt, ist eine verbreitete Form, und sie lässt gewöhnliche Tor-Einstiegsverbindungen konstruktionsgemäß direkt. Das ist die Richtlinie, die wie konfiguriert funktioniert, und es ist nicht die Reihenfolge VPN-vor-Tor, so gesund das Symbol auch aussieht. Schreiben Sie den Matcher und die ausgeschlossenen Präfixe in dieselbe Zeile Ihrer Notizen, denn dieses Paar ist die Regel.

Was mit Tor geschieht, wenn der Tunnel wegfällt

Nehmen Sie nun den Tunnel weg und sehen Sie, was Tor tut, denn eine Richtlinie, die nur hält, solange das Netz gesund ist, ist nicht die Richtlinie, die Sie beschrieben haben. Der Client kann direkten Verkehr ablehnen, solange er unten ist, ihn stillschweigend zulassen oder sich einen Moment später neu verbinden und die Regel erneut anwenden. Ein manuelles Trennen und ein Absturz sind verschiedene Ereignisse, und der Absturz ist das, was niemand geprobt hat. Testen Sie mit harmlosem Verkehr und notieren Sie, welches der drei Ergebnisse Sie tatsächlich beobachtet haben.

Lesen Sie auch das dokumentierte Verhalten des Clients, aber behandeln Sie die Dokumentation als Hypothese, bis Ihr Test ihr zustimmt. Anbieter beschreiben den Standard; Ihr Profil entscheidet die Ausnahme.

Warum die Ausgangsadresse die Eingangsfrage nicht beantworten kann

Eine über Tor erreichte Website meldet die Adresse des Ausgangsrelais, was Ihnen sagt, wo der Kanal austrat, und nichts darüber, wie der erste Sprung Ihr Gerät verließ. Menschen zitieren diese Adresse als Beweis für die Reihenfolge VPN-zuerst, und sie kann dieses Gewicht nicht tragen. Die Eingangsfrage ist lokal: Welche Schnittstelle trug die Verbindung zum ersten Relais, und welche Quelladresse hätte der VPN-Peer gesehen. Beantworten Sie sie mit einer Routenabfrage oder einem Paketmitschnitt auf dem Gerät, nicht mit einer Website.

Zwei verschiedene Wege können dasselbe Ausgangsland ergeben, sodass ein passendes Ergebnis noch weniger beweist, als es scheint. Vergleichen Sie Schnittstellen, nicht Geografie.

Anwendungen, die die Browsereinstellungen nie geerbt haben

Ein Dokumentbetrachter, ein Synchronisierungsclient und ein Paketmanager bauen jeweils eigene Verbindungen auf, und keiner erbt die Proxy-Einstellungen des Browsers. Jeder folgt dem Matcher des Clients, seiner eigenen Konfiguration oder dem Systemproxy, und die Kombination wird selten niedergeschrieben. So wächst eine Ausnahmeliste: eine Anwendung nach der anderen, jede Ergänzung vernünftig, bis niemand mehr sagen kann, was die Liste abdeckt. Führen Sie stattdessen ein kurzes Diagramm pro Anwendung, das Matcher, Route und Fehlerverhalten benennt.

Wenn die zusätzliche VPN-Schicht keinem Zweck dient, den Sie nennen können, ist das Entfernen der Schicht leichter zu überprüfen als das Pflegen einer langen Ausnahmeliste. Zugleich Tor Projects Hinweis zu VPNs nähert sich derselben Frage der Reihenfolge von der anderen Seite. Weniger bewegliche Teile bedeuten weniger Annahmen, die nach dem nächsten Client-Update erneut zu prüfen sind.