Tori väljumisrelee versus VPN-i väljumisserver: mida kumb teab
Tori väljumisrelee ja VPN-i väljumisserver näitavad mõlemad üht avalikku aadressi, kuid jagavad teadmisi erinevalt. Võrrelge nähtavust, katvust ja pordipoliitikat.
Mõlemad lahendused peidavad teie aadressi ühe avaliku IP taha ja sait, mis trükib välja aadressi, mida ta näeb, ei suuda neid eristada. Erinevus on selles, kes teel mida teada saab, kui palju liiklust on kaetud ja millised pordid tohivad töötada. Tori väljumisrelee on kolmest releest koosneva ahela viimane hüpe; VPN-i väljumisserver lõpetab teie tunnelit ja teeb väljuva ühenduse ise. Siin on, kuidas ma otsustan, millist ülesanne vajab, ja mida kontrollin enne, kui eeldan, et üks käitub nagu teine.
Kaks teed, mis lõpevad ühel aadressil
Tor ehitab ahela läbi valvuri, keskmise relee ja väljundi ning krüpteerib kandevoo kihtidena, nii et iga relee koorib ainult oma kihi. Väljund loob sihtkohaga tavalise TCP-ühenduse, seepärast näeb sihtkoht väljundi aadressi. Teie klient ei räägi sihtkohaga kunagi otse ja valvur ei näe seda samuti.
VPN on üks tunnel ühe lõpp-punktini. Operaatori server eemaldab tunneli ja avab väljuva ühenduse, nii et ka sihtkoht näeb üht aadressi, seekord operaatori oma. Vaadeldav tulemus on sama; teadmised ei ole. Test, mis trükib IP, vastab, millises süsteemis olete, ja ei ütle midagi usalduse jaotuse kohta, mis tegelikult erineb.
Kes lõpuks mida teab
VPN-i lõpp-punkt näeb lähteaadressi, sihtkohta, aega ja mahtu ühes kohas. See koondumine ongi disain: üks operaator, üks logipind, üks koht, kuhu kutsuda või mida valesti seadistada. Kõik, mida võidate, tuleb usaldusest selle osapoole vastu ja lõpp-punkti väljumispoliitikast.
Tor jagab seda teadmist. Valvur teab teie aadressi, kuid mitte sihtkohta; väljund teab sihtkohta, kuid mitte teie aadressi. Relee ei peaks õppima mõlemat. See on struktuurne omadus, mitte lubadus ülemaailmse vaatleja, aegu korreleeriva relee ega kompromiteeritud lõpp-punkti vastu, seega käsitlege seda sama riski teistsuguse jaotusena, mitte anonüümsusena, mis ei saa ebaõnnestuda.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Katvus on brauseri või marsruudi otsus
Tor Browser suunab oma liiklust ja lisab kaitsed, mida tavaline VPN-klient ei jäljenda: sõrmejälgede vastupanu, esimese osapoole isolatsioon, fikseeritud aknasuurus ja toiming Uus identiteet, mis viskab sessiooni oleku ära. Teised rakendused seda ahelat ei kasuta, kui neid pole selleks seadistatud, ja süsteemiülene Tori seadistus on brauseri paigaldamisest eraldi projekt.
VPN on vastupidise kujuga. Katvus järgib marsruutimistabelit, nii et WireGuard-profiil, milles on AllowedIPs = 0.0.0.0/0, haarab kõik, ja jagatud tunneli nimekiri haarab ainult need prefiksid, mille see nimetab. Just selles mehhanismis elavad ka lekked: DNS-päringud, IPv6 ja WebRTC võivad igaüks minna teed, mida marsruudipoliitika ei hõlmanud. Kontrollige selle rakenduse seest, mis ebaõnnestus, mitte brauseri vahekaardilt, mis võib kasutada teist liidest.
Pordipoliitika, blokeeritud sihtkohad ja HTTPS
Väljumisrelee võib väljuvaid porte keelduda ja vaikepoliitika lükkab tagasi nimekirja kuritarvitamisele kalduvaid porte, nende hulgas SMTP port 25. Seetõttu ebaõnnestub Tori kaudu seadistatud meilikklient väljumisel, mis näeb välja nagu võrgu tõrge ja ei ole seda. Releed käitavad operaatorid määravad selle selgesõnaliselt:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Ka sihtkohad blokeerivad ja blokeerivad neid kahte süsteemi erinevalt. Tori väljundaadressid on avalikud, nii et sait võib kogu nimekirja tagasi lükata; VPN-i lõpp-punktid asuvad andmekeskuste vahemikes, mida lükatakse tagasi sama kergelt. Kui leht ebaõnnestub, eraldage enne millegi muutmist kolm kandidaati: väljumis- või väljapääsupoliitika, lähtet tagasi lükkav sihtkoht või püüdportaal, mis kaaperdab esimese päringu.
Kumbki süsteem ei asenda transpordikrüpteeringut. Tavaline HTTP on loetav nii väljumisrelees kui VPN-i lõpp-punktis, seega hoidke HTTPS sees ja lugege sertifikaadi hoiatust, selle asemel et see kõrvale jätta. Kaks kontrolli lahendavad marsruudiküsimuse kiiresti: curl -s https://check.torproject.org/api/ip tagastab IsTor, kui päring läks läbi ahela, ja curl -s https://ifconfig.me näitab väljundaadressi, mille VPN esitaks. Mõlema käivitamine ütleb, millist teed kest tegelikult kasutab.
Ärge kasutage üht teise asemel
Väljumisrelee aadress ei ole VPN-profiil. OpenVPN-i või WireGuard-kliendi suunamine releele pordil 443 ei loo tunnelit, sest seal ei kuula ükski VPN-teenus; relee on hüpe kellegi teise ahelas. Vastupidises suunas ei ole VPN-i lõpp-punkt Tori sissepääs ja Tor Browseri sillasätete juurde ei kleebita kommertsliku VPN-i hostinime. Kui käitate Tori VPN-i kaudu, näeb valvur teie asemel VPN-i aadressi, mis muudab jaotust kahte rolli ühendamata.
Enne valimist vastake järjest neljale küsimusele: kes lõpp-punkti haldab ja mida see säilitab, mida tööriist selles seadmes katab, milliseid porte ja sihtkohti väljumispoliitika lubab ning mida rakendus lisab väljaspool võrguteed. Ülesanne, mis vajab paljude programmide jaoks tavalist võrguühendust, tahab VPN-i. Ülesanne, mis vajab brauseritasandi kaitset ja ahelamudelit, tahab Tor Browserit, ajakohasena hoituna. Kui vastus on «mõlemad», käitage neid teadlikus järjekorras ja kirjutage üles, millist aadressi kumbki pool näeb.