Monero a través de VPN: ¿cuál de las tres rutas de red cambia?

Abra la cartera, inicie el demonio y dibuje tres flechas antes de habilitar nada. Una flecha va de la cartera al puerto RPC de un nodo, otra transporta la sincronización de pares del demonio y otra transporta las transacciones enviadas localmente hacia una ruta de retransmisión. Son conexiones distintas con configuraciones distintas, y una VPN o una red de anonimato puede cubrir una, dos o ninguna de ellas.

Recorra las rutas en el orden en que el software las abre. Etiquetar cada flecha con su destino y su transporte es lo que hace verificable la afirmación posterior sobre la privacidad. El orden importa, porque la afirmación posterior suele cubrir solo una de ellas.

Empiece dibujando la conexión de la cartera al nodo

Una cartera que habla con un nodo remoto envía solicitudes RPC a la dirección y el puerto de ese nodo. Una cartera con un demonio local habla en cambio con la interfaz de bucle local. Son relaciones de confianza distintas, aunque en una conversación informal ambas se llamen “el nodo”.

Anote la dirección, el puerto y el transporte que la cartera tiene configurados. Si la cartera tiene su propia configuración de proxy, regístrela por separado de la del demonio; configurar un proceso no configura el otro.

Aquí es también donde un punto de conexión RPC público se vuelve tentador. Exponer el servicio RPC del nodo para simplificar el diagrama cambia una ruta de red por una superficie de ataque. Mantenga el enlace de la cartera al nodo en una ruta privada o en la interfaz de bucle local, y documente cuál es. Un diagrama que oculta esa exposición es peor que ningún diagrama.

A continuación, siga el tráfico de pares del demonio

Un demonio que se sincroniza abre conexiones salientes hacia pares e intercambia datos de la cadena por su puerto de par a par. Ese tráfico no es el enlace RPC de la cartera y no pasa automáticamente por el proxy de la cartera. Sigue la configuración de red propia del demonio y la tabla de rutas del host.

Anote el puerto de pares, el número de conexiones y si el demonio está configurado para usar un proxy para el tráfico de pares. Luego revise la ruta del host para una dirección de par de muestra. Si la VPN captura la ruta predeterminada, las conexiones de pares probablemente la usan; si el demonio está ligado a una interfaz concreta, puede que no. Esos dos hechos deciden la flecha.

La pregunta sobre el observador cambia con esta ruta. Una VPN oculta las conexiones de pares de la red de acceso local, pero el extremo de la VPN y los propios pares ven una imagen distinta. Ninguna de las dos observaciones demuestra que las solicitudes de la cartera tomaran la misma ruta.

Después aísle la ruta de retransmisión de transacciones

Las transacciones enviadas localmente pueden reenviarse hacia la red a través de un relé o un proxy configurado. En la documentación actual del demonio de Monero, esa opción envía por el proxy solo el tráfico de retransmisión de transacciones que usted dirija a él. No convierte cada conexión RPC, de cartera y de sincronización en tráfico intermediado.

La documentación del proyecto sobre redes de anonimato describe la integración de Tor e I2P como experimental y delimita el alcance del comportamiento de retransmisión. Lea la documentación de la versión que ejecuta realmente, porque debates más antiguos usan nombres como Kovri y describen componentes que ya no existen en la misma forma.

Mantenga la ruta de retransmisión separada en el diagrama. Una transacción que sale por un proxy mientras las consultas de saldo de la cartera usan un nodo remoto tiene dos observadores distintos, y el hecho de que la transacción pasara por un proxy no dice nada sobre la ruta de la consulta.

Añada la VPN solo después de etiquetar las tres rutas

Con las flechas dibujadas, marque cuáles transporta realmente la VPN. Una VPN de túnel completo captura la ruta predeterminada del host, así que las conexiones que siguen la predeterminada la usarán. Un túnel dividido, una interfaz ligada o un proxy que sale por una dirección concreta pueden dejar algunas flechas fuera del túnel.

Ahora exponga el modelo de observador de forma explícita. En un diseño en el que una conexión de red de anonimato funciona dentro de la VPN, la red de acceso local ve la conexión VPN exterior, mientras que el lado de la VPN ve la conexión hacia adelante. Eso es un cambio de observador, no una prueba de que las señales identificadoras desaparezcan.

Revise el comportamiento ante fallos como parte del mismo recorrido. Si la VPN cae, ¿el demonio vuelve a una conexión directa con pares, la cartera sigue consultando el nodo remoto y el proxy de retransmisión falla cerrado? A menos que el bloqueo esté configurado, una reconexión suele significar un nuevo intento directo en lugar de silencio.

Verifique las rutas que cree haber configurado

Use las herramientas del propio host: lea la ruta de cada destino, inspeccione los sockets en escucha y establecidos, y confirme qué proceso posee cada conexión. Hágalo mientras la cartera, el demonio y la retransmisión están todos en marcha, porque una ruta que solo existe al arrancar puede desaparecer tras una reconexión.

Repita tras una reconexión de la VPN y tras reiniciar el demonio. Compare los destinos y los transportes con el diagrama. Si una flecha se movió, el modelo de privacidad se movió con ella, aunque cada proceso siga informando que está sano.

Anote los tres destinos, el transporte de cada uno y el observador del que pretende ocultarlos. Un mapa corto de rutas con observadores nombrados es más útil que un único indicador de VPN cuando hay varios clientes independientes en una misma máquina.