Onion-servo kontraŭ VPN-servo: malsamaj alirmodeloj

Homoj priskribas Onion-servon kaj nur-VPN-servon kiel du variantojn de la sama ideo: kaŝu la pordon, dividu la sekretan adreson. Ili malsamas pri tio, al kio la adreso estas ligita, kiu povas atingi ĝin kaj kio devas okazi antaŭ ol peto alvenas. Unu estas renkontiĝpunkto ene de Tor, la alia estas vojo ene de privata reto. Trakti ilin kiel interŝanĝeblajn kreas dezajnojn, kiuj estas nek privataj nek bonteneblaj.

La mito: ambaŭ dezajnoj estas nur kaŝita pordo

La komuna eco estas reala sed maldika: neniu el la du dezajnoj metas la administran interfacon sur rekte atingeblan publikan pordon. Ĉio post tio diverĝas. Onion-adreso estas derivita el la propra ŝlosilo de la servo, do la nomo estas ligita al identeco; VPN-adreso estas nur adreso ene de reto, en kiun oni akceptis vin. Unu kaŝas la servon ene de tavolo, la alia akceptas vin en privatan topologion. Trakti la duan kiel sinonimon de la unua estas kie la konfuzo komenciĝas.

Neniu el la ecoj estas sekureca kontrolo por la aplikaĵo mem. Kaŝita loko ne flikas la programaron malantaŭ ĝi, kaj privata vojo ne aldonas aŭtentikigon al la ensaluta paĝo. Ambaŭ dezajnoj ankoraŭ bezonas la proprajn permesojn de la aplikaĵo, kaj ambaŭ ankoraŭ bezonas iun respondecan pri ĝisdatigoj kaj restarigo.

Al kio fakte montras Onion-adreso

La Onion-adreso de versio v3 kodas la publikan ŝlosilon de la servo, kaj tial neniu povas elekti adreson por servo, kiun li ne regas. La kliento konektiĝas tra Tor al renkontiĝpunkto, kaj la servo atingas la saman punkton de sia flanko; neniu ordinara elirnodo portas tiun konekton al la servo. La nomo estas identeco, ne DNS-rikordo.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Tial aldoni vojon aŭ hosts-rikordon por onion-nomo utilas al nenio. La serĉado ne estas la mekanismo; la Tor-kliento kaj ĝiaj cirkvitoj estas. Se la servo estas destinita al malgranda grupo da homoj, onion-klienta rajtigo povas postuli ŝlosilon antaŭ ol la konekto estas akceptita, sed tio ankoraŭ ne estas ensaluto al la aplikaĵo. Publikigi la adreson ankaŭ estas intenca ago, ĉar čiu, kiu ekscias ĝin, povas provi konekton se vi ne limigis ĝin.

Haltu se la sola kialo por la onion-dezajno estas eviti agordon de aŭtentikigo. La tavolo ne donas tion, kaj vi konstruos ĝin pli poste ĉiuokaze.

Kion fakte donas VPN-vojo

VPN akceptas aparaton en reton kaj donas al ĝi vojon al enirejo aŭ subreto. La servo malantaŭ tiu enirejo vidas adreson el la tunela provizo kaj aplikas kiun ajn rajtigon ĝi havas. La vojo diras nenion pri tio, kiu estas la uzanto; ĝi diras kien la pakaĵoj rajtas iri.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Tiu modelo taŭgas por konata grupo kun administrataj aparatoj, ĉar la enirejo povas trudi la staton de la aparato kaj la reto povas esti reviziita. Ĝi malbone taŭgas por anonimaj aŭ okazaj vizitantoj, kiujn oni unue devus enskribi. La propra ensaluto de la aplikaĵo ankoraŭ decidas, kion konektita uzanto rajtas legi. Konfuzi atingeblon kun permeso estas kiel VPN finfine donas tutan subreton al ĉiuj, kiuj povas konektiĝi.

Haltu se la publiko estas nekonata aŭ konstante ŝanĝiĝas. Enskribi fremdulojn en privatan reton por montri al ili unu paĝon estas granda devontigo kompare kun publikigi servon.

Elekti inter ili, kaj kio restas la sama

Elektu la onion-modelon kiam la publiko estas teknika, la servo tute ne rajtas havi publikan adreson, kaj vi povas akcepti la klientajn postulojn de Tor. Elektu la VPN-modelon kiam la publiko estas difinita grupo, kies aparatojn vi administras kaj kies aliron vi volas registri ĉe la reta tavolo. Neniu elekto forigas la bezonon de aplikaĵa aŭtentikigo, flikado aŭ restariga vojo. Neniu estas aŭtomate pli privata en la senco, kiu gravas por viaj uzantoj.

En ambaŭ dezajnoj, notu kiu povas atingi la servon, kiel ili estas identigitaj kaj kio okazas kiam akreditaĵo perdiĝas. La respondo por onion-servo inkluzivas ĝiajn klientajn rajtigajn ŝlosilojn kaj la adreson mem; la respondo por VPN inkluzivas la konton, la aparaton kaj la enirejan politikon. Tiuj estas malsamaj inventaroj, kaj nur unu el ili estos evidenta al la sekva administranto.

La komparo finiĝas tie, kie la aplikaĵo komenciĝas. Kaŝita adreso kaj privata vojo estas transportaj elektoj, kaj la aplikaĵo ankoraŭ devas decidi, kion peto rajtas fari. Tenu tiujn decidojn en apartaj dokumentoj kaj neniu dezajno silente transprenos la laboron de la alia.