Tor erreleboa VPN zerbitzariaren aurka: zergatik ez diren trukagarriak

Helbide bat duzu, portuak erantzuten du, eta bezero batek kexarik gabe onartzen du. Horietako ezerk ez du Tor erreleboa VPN mutur bihurtzen, eta akatsa garestia da, profila garbi inportatzen delako eta geroago huts egiten duelako esku-ematearen unean. Beheko lau egiaztapenak ordenan erabiltzen ditut; bakoitzak gelditzeko baldintza bat du, eta goiz gelditzea da kontua. Lehen egiaztapenak huts egiten badu, gainerakoek ezin dizute lagundu.

Egiaztatu portuak benetan zer zerbitzatzen duen

Portu ireki batek entzule bat frogatzen du, ez besterik. Errelebo baten ORPortak Torren beraren zelulekin hitz egiten du TLS esku-emate baten ondoren, beraz, arrakastatsua den TLS azterketa batek ia ezer ez dizu esaten han VPN protokolo bat onartzen den ala ez:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Irakurri ziurtagiria, badaezpadako egitatea baino. Erreleboek nahita deigarria ez den izena duen auto-sinatutako ziurtagiri bat aurkezten dute, erreleboaren trafikoak HTTPS arrunta dirudielako; VPN zerbitzari baten ziurtagiriak zure profilek espero duen izena darama. Beste alderdiak ez badio inoiz VPN protokoloaren lehen paketeari erantzuten, profilean egindako edozein aldaketak ez du emaitza aldatuko.

Gelditu hemen helbideak zure bezeroak bidaltzen duen esku-ematea osatzen ez badu. Hau protokoloaren erantzun bat da, ez konfigurazio arazo bat, eta inportatutako profil bat betiko 'connecting' egoeran geratzeko arrazoi ohikoena da.

Egiaztatu erreleboaren rola, ez sarearen tamaina

Erreleboaren rolek lan desberdinak egiten dituzte. Guard bat bezeroentzako lehen jauzia da, erdiko errelebo batek zirkuituak beste erreleboen artean birbidaltzen ditu, exit bat helmugak ukitzen dituena da, eta zubi bat BridgeDB bidez banatzen den sarrera-puntu ez-publikoa da. Torren glosarioak definizio horiek bereizten ditu, eta irisgarritasuna rol guztien parte da, baina bezero arbitrarioak zerbitzatzeko baimena ez da inongo rolen parte.

Exit politikak irakurtzea merezi du, birbidaltze arau baten antza duen atal bakarra delako, eta exitak kanpora uzten duen helmugak arautzen ditu, barrura sartzen diren bezeroak ez. 25 portua blokeatzen duen exit politika murriztaile batek irteerako abusuen kontrolari buruzko zerbait esaten du, ez OpenVPN bezero bat makinara zuzendu dezakezun ala ez.

Gelditu ospearen arabera arrazoitzen baduzu: erreleboek trafikoa birbidaltzen dutenez, helbideak zurea onartu behar du. Torek bideak kontsentsu bidez eta bere protokolo propioaren bidez hautatzen ditu; VPN bezero bat ez da parte-hartzaile eta ez du bat egiteko zirkuituik.

Egiaztatu SOCKS entzulea tokikoa edo publikoa den

Torren bezeroak SOCKS interfaze bat eskaintzen du makina bereko aplikazioentzat, lehenespenez loopback-en. Entzule hori tokiko erraztasuna da, ez errelebo batek interneti eskaintzen dion zerbitzua, eta proxy publiko gisa tratatzea da jendea nahi gabe irekitako errelebo bat martxan jartzen amaitzeko modua:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Lotze-helbidea da arrastoa. 127.0.0.1:9050 helbideko SocksPort batek bere lana egiten du; 0.0.0.0 helbidean entzuten duen eta kanpotik irisgarria den bat proxy irekia da, eta Torren beraren sarbide-politikaren kontrolak existitzen dira hain zuzen ere esposizio hori arazo bat delako, ez ezaugarria.

Tor behar duen aplikazio batentzat, zuzendu loopback portura eta utzi Tori izenak ebazten, goiko socks5h formak egiten duena. Ez ordezkatu erreleboaren helbidea portu horrengatik; erreleboak ez du zure aplikazioak eskatzen duen interfazea eskaintzen.

Egiaztatu VPN profila benetako mutur batekin bat datorrela

VPN profil bat itxaropenen sorta bat da: OpenVPN zerbitzariaren ziurtagiria edo CA behar ditu, bezeroaren ziurtagiria eta gakoa, eta normalean TLS gakoa, berriz WireGuardek beste alderdiaren gako publikoa, mutur bat eta baimendutako IPak behar ditu. Horietako ezer ezin da helbide batetik eta portu ireki batetik atera, horregatik horrela eraikitako profilak hutsegiten du lehenengo trukean, konektatzean ez.

Profil bat ematen dizutenean, egiaztatu zuk kontrolatzen duzun mutur baten aurka edo identifikatzen duzun hornitzaile baten aurka:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN erregistroan, TLS negoziazioaren errore batek zuzenean aipatzen du desadostasuna; wg show irteeran, esku-emate lerro bakarra ere ez duen beste alderdiak ez du inoiz bat osatu. Biak dira bezeroaren adierazle birakaria baino informatiboagoak, eta biek gako materialera edo protokolorako seinalatzen dute, Torrera ez.

Egiaztatu benetan zein babes behar duzun

Hau da arkitektura erabakitzen duen egiaztapena. Tor Browserrak zirkuito isolamendua eta hatz-marken aurkako defentsak ematen dizkizu, VPN batek ez dituenak; VPN batek helmuga batek ikusten duen helbidea aldatzen du eta hornitzaile baten aurrean autentifikatzen zaitu. Bien artean aukeratzea mehatxu-ereduaren kontua da, ez bateragarritasunarena, eta biak nahasteak pribatua dirudien eta ez den konfigurazio bat sortzen du.

Kateak ordena du. Tor trafikoa daraman VPN bat onartutako konfigurazioa da, Torren bezeroak irteerako TCP soilik behar duelako. Torren barruan tunelatutako VPN bezero bat ez da gauza bera eta ez da Tor bezeroak inplantatzen duena, beraz, ez planifikatu horren arabera.

Ezer inportatu baino lehen, egiaztatu laurek:

• Portuak zure protokoloaren esku-ematea osatzen du, ez TCP konexio bat soilik.
• Badakizu ostalariaren rola eta ez duzu birbidaltzea baimen bezala hartzen.
• Erabiltzen duzun SOCKS entzulea loopback da eta zurea, ez beste norbaiten erreleboko portu publikoa.
• Profilaren gakoak edo ziurtagiriak konektatzen zaren muturrarenak dira.