VPN vor Tor: Was die Reihenfolge wirklich ändert

Ein Weg mit VPN zuerst ändert, wer deine Quelladresse sieht und wer Tor-Verkehr sieht, und fügt ein zusätzliches Vertrauen hinzu. Führe die Pfad- und Fehlerprüfungen aus, bevor du einen Gewinn annimmst.

Wer zuerst das VPN verbindet, erzeugt eine bestimmte Kette: Gerät, VPN-Endpunkt, Tor-Eingang, Tor-Schaltkreis, Ziel. Dein lokales Netz sieht eine verschlüsselte Verbindung zum VPN, und der Tor-Eingangsknoten sieht den VPN-Ausgang als unmittelbare Quelle statt der Adresse deines Anbieters. Der VPN-Betreiber wiederum sieht Verbindungen zur Tor-Eingangsinfrastruktur und kann aus den Zielen auf Tor-Nutzung schließen. Jeder Beobachter verliert etwas und gewinnt etwas, weshalb die Reihenfolge ein Tausch und keine Verbesserung ist.

Nichts an dieser Kette ändert, was die Website aus deinem Konto, Cookies oder eingegebenen Angaben erfährt.

Was die Reihenfolge ändert

Das lokale Netz und der ISP verlieren die direkte Sicht auf deinen Tor-Verkehr, weil der erste Sprung nun ein verschlüsselter Tunnel zu einem Anbieter ist. Der Tor-Eingangswächter verliert deine Heimatadresse und sieht den VPN-Ausgang. Der VPN-Anbieter gewinnt die Metadaten, die früher dein ISP hatte: welche Adressen du kontaktierst, zu welchen Zeiten und wie viele Daten fließen.

Hinter dem Eingangswächter verhält sich der Schaltkreis wie zuvor. Relays trennen weiterhin die Rollen von Eingang, Mitte und Ausgang, und das VPN sieht die endgültigen Inhalte nicht mehr als dein ISP.

Bestätige den tatsächlich genutzten Pfad

Split-Tunneling ist der übliche Grund, warum die beabsichtigte Kette nicht die reale ist.Wenn Tor Browser vom Tunnel ausgeschlossen ist, oder ein zweites Profil anders routet, sieht der Eingangswächter wieder die Anbieteradresse, während die Oberfläche noch verbunden aussieht. Prüfe die Route und den beobachteten Ausgang statt das Symbol.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Die SOCKS-Anfrage über Port 9150 wird vom eigenen Client des Tor-Browsers beantwortet, ein Antwortwert IsTor true bestätigt also den Schaltkreis des Browsers, nicht dass jede andere Anwendung ihn nutzt. Die Ausgabe des Resolvers lohnt sich festzuhalten, weil DNS über einen Pfad hinausgehen kann, den der Tunnel nicht abdeckt. Bewahre beide Ausgaben mit Zeitstempel auf. Sie sind die Grundlage für den nächsten Vergleich.

Vergleiche mit einer direkten Anfrage aus einem normalen Terminal: Wenn auch diese Tor meldet, leitet etwas anderes den Verkehr um, und die Kette ist nicht die, die das Design annahm.

Beobachte, was passiert, wenn der Tunnel ausfällt

Ein Client, der still auf die lokale Schnittstelle zurückfällt, ändert die Quelle, die der Eingangswächter sieht, und der Nutzer merkt es meist nicht, weil die Seite noch lädt. Genau dieser Fehler ist es wert, getestet zu werden, nicht der Normalfall. Trenne den Tunnel absichtlich und beobachte, ob der Tor-Verkehr stoppt oder ungeschützt weiterläuft.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Firewall-Regeln, die ausgehenden Verkehr außerhalb des Tunnels blockieren, sind die einzige verlässliche Rückfallkontrolle, und sie müssen sowohl den SOCKS-Client des Browsers als auch jede andere Anwendung abdecken, die dir wichtig ist. Eine Browser-Erweiterung ist kein Geräte-VPN und beeinflusst andere Programme oder externe Betrachter nicht.

Entscheide, ob die zusätzliche Schicht ihr Vertrauen verdient

Das Tor Project rät davon ab, ein VPN unter Tor zu stapeln, es sei denn, du kannst die Einrichtung selbst bewerten. Der genannte Grund ist die zusätzliche Abhängigkeit: eine weitere Partei, ein weiteres Konto und ein weiterer Fehlermodus. Wenn das Ziel ist, deinen ISP daran zu hindern zu sehen, dass du Tor nutzt, spricht das VPN genau diesen Beobachter an. Wenn das Ziel stärkere Anonymität gegen einen globalen Beobachter ist, liefert das VPN sie nicht.

Die umgekehrte Reihenfolge gibt es auch, und die Namen sind nicht austauschbar:Tor über VPN und VPN über Tor beschreiben unterschiedliche Vertrauensverhältnisse und unterschiedliches Fehlerverhalten. Lies den Vergleich, bevor du sie vermischst.

Schreib auf, welchen Beobachter du verschieben willst, prüfe dann, ob der reale Pfad dem Design entspricht, und prüfe dann das Fehlerverhalten. Wenn diese drei Antworten das zusätzliche Konto und die Konfiguration nicht rechtfertigen, hat die dokumentierte Tor Browser-Einrichtung weniger Teile, die schiefgehen können.

Ähnliche Artikel