VPN πριν από το Tor: τι αλλάζει πραγματικά η σειρά

Η σύνδεση πρώτα με το VPN παράγει μια συγκεκριμένη αλυσίδα: συσκευή, τελικό σημείο VPN, είσοδος Tor, κύκλωμα Tor, προορισμός. Το τοπικό σου δίκτυο βλέπει μία κρυπτογραφημένη σύνδεση προς το VPN, και ο κόμβος εισόδου Tor βλέπει την έξοδο του VPN ως άμεση πηγή αντί για τη διεύθυνση του παρόχου σου. Ο διαχειριστής του VPN, με τη σειρά του, βλέπει συνδέσεις προς την υποδομή εισόδου Tor και μπορεί να συμπεράνει τη χρήση Tor από τους προορισμούς. Κάθε παρατηρητής χάνει κάτι και κερδίζει κάτι, γι' αυτό η σειρά είναι ανταλλαγή και όχι αναβάθμιση.

Τίποτα σε αυτή την αλυσίδα δεν αλλάζει το τι μαθαίνει ο ιστότοπος από τον λογαριασμό, τα cookies ή τα στοιχεία που πληκτρολογείς.

Τι αλλάζει η σειρά

Το τοπικό δίκτυο και ο πάροχος χάνουν την άμεση ορατότητα της κίνησης Tor, γιατί το πρώτο άλμα είναι πλέον κρυπτογραφημένο τούνελ προς έναν πάροχο. Ο φρουρός εισόδου Tor χάνει τη διεύθυνση του σπιτιού σου και βλέπει την έξοδο του VPN. Ο πάροχος VPN κερδίζει τα μεταδεδομένα που κρατούσε κάποτε ο πάροχός σου: ποιες διευθύνσεις επικοινωνείς, σε ποιες ώρες και πόσα δεδομένα κινούνται.

Πέρα από τον φρουρό εισόδου το κύκλωμα συμπεριφέρεται όπως πριν. Οι κόμβοι αναμετάδοσης εξακολουθούν να διαχωρίζουν τους ρόλους εισόδου, μέσου και εξόδου, και το VPN δεν βλέπει το τελικό περιεχόμενο περισσότερο απ' όσο το έβλεπε ο πάροχός σου.

Επιβεβαίωσε τη διαδρομή που χρησιμοποιείται πραγματικά

Η διαχωρισμένη σήραγγα είναι ο συνήθης λόγος που η προβλεπόμενη αλυσίδα δεν είναι η πραγματική.Αν το Tor Browser εξαιρείται από το τούνελ, ή ένα δεύτερο προφίλ δρομολογεί διαφορετικά, ο φρουρός εισόδου βλέπει ξανά τη διεύθυνση του παρόχου ενώ η διεπαφή εξακολουθεί να φαίνεται συνδεδεμένη. Έλεγξε τη διαδρομή και την παρατηρούμενη έξοδο αντί για το εικονίδιο.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Το αίτημα SOCKS μέσω θύρας 9150 απαντάται από τον ίδιο τον πελάτη του Tor Browser, άρα μια απάντηση IsTor true επιβεβαιώνει το κύκλωμα του περιηγητή, όχι ότι κάθε άλλη εφαρμογή το χρησιμοποιεί. Αξίζει να καταγράψεις την έξοδο του resolver, γιατί το DNS μπορεί να βγει από διαδρομή που το τούνελ δεν καλύπτει. Κράτησε και τις δύο εξόδους με χρονική σήμανση. Είναι η βάση για την επόμενη σύγκριση.

Σύγκρινε με ένα άμεσο αίτημα από ένα κανονικό τερματικό: αν κι εκείνο αναφέρει Tor, κάτι άλλο ανακατευθύνει την κίνηση και η αλυσίδα δεν είναι αυτή που υπέθεσε ο σχεδιασμός.

Παρατήρησε τι συμβαίνει όταν πέφτει το τούνελ

Ένας πελάτης που επιστρέφει σιωπηλά στην τοπική διεπαφή αλλάζει την πηγή που βλέπει ο φρουρός εισόδου, και ο χρήστης συνήθως δεν το καταλαβαίνει γιατί η σελίδα φορτώνει ακόμη. Αυτή είναι η αποτυχία που αξίζει δοκιμή, όχι η καλή διαδρομή. Αποσύνδεσε το τούνελ σκόπιμα και δες αν η κίνηση Tor σταματά ή συνεχίζει απροστάτευτη.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Οι κανόνες τείχους προστασίας που μπλοκάρουν εξερχόμενη κίνηση έξω από το τούνελ είναι ο μόνος αξιόπιστος έλεγχος εφεδρείας, και πρέπει να καλύπτουν και τον πελάτη SOCKS του περιηγητή και κάθε άλλη εφαρμογή που σε ενδιαφέρει. Μια επέκταση περιηγητή δεν είναι VPN συσκευής και δεν επηρεάζει άλλα προγράμματα ή εξωτερικούς παρατηρητές.

Αποφάσισε αν το επιπλέον στρώμα κερδίζει την εμπιστοσύνη του

Το Tor Project συμβουλεύει να μην στοιβάζεις VPN κάτω από το Tor εκτός αν μπορείς να αξιολογήσεις ο ίδιος τη ρύθμιση. Ο λόγος που αναφέρουν είναι η πρόσθετη εξάρτηση: άλλο ένα μέρος, άλλος ένας λογαριασμός και άλλη μια λειτουργία αποτυχίας. Αν ο στόχος είναι να μη βλέπει ο πάροχός σου ότι χρησιμοποιείς Tor, το VPN απευθύνεται ακριβώς σε αυτόν τον παρατηρητή. Αν ο στόχος είναι ισχυρότερη ανωνυμία απέναντι σε έναν παγκόσμιο παρατηρητή, το VPN δεν την παρέχει.

Υπάρχει και η αντίστροφη σειρά, και τα ονόματα δεν είναι εναλλάξιμα:Το Tor πάνω από VPN και το VPN πάνω από Tor περιγράφουν διαφορετικές σχέσεις εμπιστοσύνης και διαφορετική συμπεριφορά αποτυχίας. Διάβασε τη σύγκριση πριν τα αναμείξεις.

Γράψε ποιον παρατηρητή προσπαθείς να μετακινήσεις, μετά επιβεβαίωσε ότι η πραγματική διαδρομή ταιριάζει με τον σχεδιασμό, μετά επιβεβαίωσε τη συμπεριφορά αποτυχίας. Αν αυτές οι τρεις απαντήσεις δεν δικαιολογούν τον επιπλέον λογαριασμό και τη ρύθμιση, η τεκμηριωμένη ρύθμιση του Tor Browser έχει λιγότερα μέρη που μπορούν να πάνε στραβά.