Torin poistumisrele vs. VPN:n poistumispalvelin: mitä kumpikin tietää
Torin poistumisrele ja VPN:n poistumispalvelin näyttävät molemmat yhtä julkista osoitetta, mutta jakavat tiedon eri tavoin. Vertaa näkyvyyttä, kattavuutta ja porttikäytäntöä.
Molemmat mallit piilottavat osoitteesi yhden julkisen IP:n taakse, eikä sivusto, joka tulostaa näkemänsä osoitteen, pysty erottamaan niitä. Ero on siinä, kuka oppii matkalla mitä, kuinka paljon liikennettä katetaan ja mitkä portit saavat toimia. Torin poistumisrele on kolmen relen piirin viimeinen hyppy; VPN:n poistumispalvelin päättää tunnelisi ja tekee lähtevän yhteyden itse. Näin päätän, kumpaa tehtävä tarvitsee, ja mitä tarkistan ennen kuin oletan toisen käyttäytyvän kuin toinen.
Kaksi polkua, jotka päättyvät yhteen osoitteeseen
Tor rakentaa piirin vartijan, keskiportaan relen ja poistuman kautta ja salaa hyötykuorman kerroksittain, niin että kukin rele kuorii vain oman kerroksensa. Poistuma tekee tavallisen TCP-yhteyden kohteeseen, minkä vuoksi kohde näkee poistuman osoitteen. Asiakkaasi ei koskaan puhu kohteelle suoraan, eikä vartijakaan näe sitä.
VPN on yksi tunneli yhteen päätepisteeseen. Operaattorin palvelin poistaa tunnelin ja avaa lähtevän yhteyden, joten myös kohde näkee yhden osoitteen, tällä kertaa operaattorin. Havaittava tulos on sama; tieto ei ole. Testi, joka tulostaa IP:n, vastaa, missä järjestelmässä olet, eikä kerro mitään luottamuksen jaosta, joka todella eroaa.
Kuka lopulta tietää mitä
VPN:n päätepiste näkee lähdeosoitteen, kohteen, ajoituksen ja määrän yhdessä paikassa. Se keskittymä on suunnittelun ydin: yksi operaattori, yksi lokipinta, yksi paikka haastaa tai mokata kokoonpano. Kaikki, mitä voitat, tulee luottamuksesta tuohon osapuoleen ja päätepisteen lähtevästä käytännöstä.
Tor jakaa tuon tiedon. Vartija tuntee osoitteesi mutta ei kohdetta; poistuma tuntee kohteen mutta ei osoitettasi. Relen ei ole tarkoitus oppia molempia. Se on rakenteellinen ominaisuus, ei lupaus maailmanlaajuista tarkkailijaa, ajoituksia korreloivaa relettä tai vaarantunutta päätepistettä vastaan, joten kohtele sitä saman riskin erilaisena jakautumisena, älä anonyymiutena, joka ei voi pettää.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Kattavuus on selaimen tai reitin päätös
Tor-selain reitittää oman liikenteensä ja lisää suojauksia, joita tavallinen VPN-asiakasohjelma ei toista: sormenjälkien vastustus, ensimmäisen osapuolen eristys, kiinteä ikkunan koko ja Uusi identiteetti -toiminto, joka heittää istunnon tilan pois. Muut sovellukset eivät käytä tuota piiriä, ellei niitä ole siihen määritetty, ja järjestelmänlaajuinen Tor-asennus on erillinen hanke selaimen asentamisesta.
VPN on muodoltaan vastakkainen. Kattavuus seuraa reititystaulua, joten WireGuard-profiili, jossa on AllowedIPs = 0.0.0.0/0, kaappaa kaiken, ja jaetun tunnelin lista kaappaa vain nimeämänsä etuliitteet. Juuri siinä mekanismissa myös vuodot elävät: DNS-kyselyt, IPv6 ja WebRTC voivat kukin kulkea reitin, jota reitityskäytäntö ei sisältänyt. Tarkista sen sovelluksen sisältä, joka epäonnistui, älä selaimen välilehdestä, joka saattaa käyttää toista liitäntää.
Porttikäytäntö, estetyt kohteet ja HTTPS
Poistumisrele saa hylätä lähteviä portteja, ja oletuskäytäntö hylkää luettelon väärinkäytölle alttiista porteista, niiden joukossa SMTP-portti 25. Siksi Torin kautta määritetty sähköpostiohjelma epäonnistuu poistumassa, mikä näyttää verkkohäiriöltä eikä ole sitä. Relettä ylläpitävät operaattorit asettavat sen nimenomaisesti:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Myös kohteet estävät, ja ne estävät kaksi järjestelmää eri tavoin. Torin poistumaosoitteet julkaistaan, joten sivusto voi hylätä koko luettelon; VPN:n päätepisteet sijaitsevat datakeskusten alueilla, jotka hylätään yhtä kevyesti. Kun sivu epäonnistuu, erottele kolme ehdokasta ennen kuin muutat mitään: poistuma- tai lähtökäytäntö, lähteen hylkäävä kohde tai captive portal, joka kaappaa ensimmäisen pyynnön.
Kumpikaan järjestelmä ei korvaa siirtokerroksen salausta. Pelkkä HTTP on luettavissa sekä poistumisrelessä että VPN:n päätepisteessä, joten pidä HTTPS päällä ja lue varoitus varmenteesta sen sijaan että sivuuttaisit sen. Kaksi tarkistusta ratkaisee reitityskysymyksen nopeasti: curl -s https://check.torproject.org/api/ip palauttaa IsTor, kun pyyntö kulki piirin kautta, ja curl -s https://ifconfig.me näyttää lähtöosoitteen, jonka VPN esittäisi. Molempien ajaminen kertoo, mitä polkua komentotulkki todella käyttää.
Älä käytä toista toisen sijaan
Poistumisrelen osoite ei ole VPN-profiili. OpenVPN- tai WireGuard-asiakasohjelman osoittaminen releeseen portissa 443 ei luo tunnelia, koska siellä ei kuuntele mikään VPN-palvelu; rele on hyppy jonkun toisen piirissä. Toiseen suuntaan VPN:n päätepiste ei ole Torin sisääntulopiste, eikä Tor-selaimen siltäasetuksia käytetä kaupallisen VPN:n isäntänimen liittämiseen. Jos ajat Toria VPN:n yli, vartija näkee sinun sijaan VPN:n osoitteen, mikä muuttaa jaon yhdistämättä kahta roolia.
Ennen valintaa vastaa neljään kysymykseen järjestyksessä: kuka päätepistettä ylläpitää ja mitä se säilyttää, mitä työkalu kattaa tällä laitteella, mitkä portit ja kohteet lähtökäytäntö sallii ja mitä sovellus lisää verkkopolun lisäksi. Tehtävä, joka tarvitsee tavallista verkkoyhteyttä monille ohjelmille, haluaa VPN:n. Tehtävä, joka tarvitsee selaintason suojaukset ja piirimallin, haluaa Tor-selaimen ajantasaisena pidettynä. Jos vastaus on »molemmat«, aja ne harkitussa järjestyksessä ja kirjoita muistiin, minkä osoitteen kumpikin puoli näkee.