Tor VPN:n yli: kuka näkee IP-osoitteesi ja kuka näkee Torin käytön?

Yhdistät VPN-asiakkaan, odotat tunnelia ja avaat sitten Tor Browserin rakentamaan piirin. Juuri tämä tavallinen järjestys ratkaisee, kuka näkee mitä. Siinä järjestyksessä Torin sisääntulorele tervehtii VPN-poistumasi osoitetta ja VPN-palveluntarjoajasi tervehtii julkista vartijarelettä. Tee se toisin päin ja molemmat tarkkailijat muuttuvat. Molemmat järjestykset kannattaa käydä läpi, koska asiakkaan asetukset rikkovat hiljaa järjestyksen, jonka ihmiset uskoivat olevan voimassa, ja tarkistus, joka sen nappaa, on molemmissa tapauksissa sama.

Aloita järjestyksestä, ei tuotteesta

Kahta järjestelyä kutsutaan nimellä „VPN Torin kanssa“, ja vain ensimmäinen on tavallinen. Tor VPN:n yli -asetelmassa tunneli on jo pystyssä, kun Tor käynnistyy, joten tor-prosessi lähettää vartijayhteytensä tunneliin kuin minkä tahansa muun lähtevän liikenteen. VPN Torin yli -asetelmassa Tor nousee ensin ja itse VPN-istunto kulkee piirin läpi saapuen palveluntarjoajalle Tor-poistuman kautta.

Niiden välillä muuttuu se, mikä osoite on uloimman lenkin kauimmaisessa päässä. Jokainen tarkkailija näkee vain edellisen hypyn, ei koskaan koko polkua: vartija näkee, kuka siihen yhteyden otti, ja VPN-palvelin näkee, kuka siihen yhteyden otti. Tor ei kanna paikallista tunneliosoitetta ulospäin, eikä protokollassa ole kenttää, jossa se voisi niin tehdä.

Molemmissa järjestyksissä kohdesivusto näkee yhä Tor-poistuman, eikä kumpikaan järjestys muuta sitä, mitä kyseinen sivusto oppii kirjautumisestasi. Ero rajoittuu kahteen reunaan.

Mitä Torin sisääntulorele näkee

Sisääntulo eli vartija ottaa vastaan tavallisen TCP-yhteyden releportissa ja aloittaa TLS-kättelyn asiakkaan kanssa. Tor VPN:n yli -asetelmassa kyseisen yhteyden lähde on VPN-poistumasi. Tor ensin -asetelmassa se on osoite, jota koneesi käytti Tor-verkkoon pääsemiseen, tavallisesti kotiyhteytesi.

Se vastaa kysymyksen IP-puoliskoon, mutta vain jos tunneli todella kuljetti yhteyden. Tor-prosessi saavuttaa vartijan omalla socketillaan, eikä tätä socketia ohjaa Tor Browserin välityspalvelinasetukset. Selain puhuu mukana tulevan tor-prosessin kanssa SOCKSin kautta portissa 9150, ja sitten tor avaa oman yhteytensä käyttäen ytimen reititystaulukkoa. Socks5Proxy-rivi torrc-tiedostossa tai asiakaskuljetus muuttaa tuota polkua. Mikään muu ei.

Linuxissa voit lukea vastauksen koneelta. Kysy ytimeltä, mitä liitäntää se käyttäisi mielivaltaiselle julkiselle osoitteelle, ja katso sitten muodostetun yhteyden paikallista osoitetta:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Jos reitti sanoo dev wg0 tai dev tun0 ja muodostetun yhteyden paikallinen osoite on tunnelin osoite, Tor on VPN:n sisällä. Jos reitti nimeää fyysisen liitäntäsi, se on ulkona, mitä asiakkaan oma ilmaisin väittääkin.

Mitä VPN-palveluntarjoajasi voi nähdä

Palveluntarjoaja päättää VPN-istuntosi, joten se näkee osoitteet, joihin yhdistät. Vartijareleiden osoitteet julkaistaan julkisessa konsensuksessa ja niiden portit ovat hyvin tunnettuja, joten niiden täsmäytys on listahaku eikä syvällinen pakettitarkastus. Palveluntarjoajan ei tarvitse murtaa Torin selvittääkseen, että istunto on Tor.

Mitä se ei näe, on piirin loppuosa. Keskiraele ja poistuma valitaan Torin sisällä, ja palveluntarjoaja hoitaa vain lenkin vartijaan. Sivun sisältö pysyy TLS:ssä, joka päättyy poistumaan, ja Tor-liikenteen nimien selvitys tapahtuu myös poistumassa, joten palveluntarjoajalla ei ole yhtään DNS-kyselyä, jota voisi korreloida kohteen kanssa.

obfs4-sillat muuttavat hakua, eivät topologiaa. Sillan osoite puuttuu julkisesta releluettelosta ja liikenne muotoillaan niin, ettei se näytä Torilta, joten operaattori, joka vain vertailee osoitteita, ei merkitse sitä. Istunto tulee yhä VPN-asiakkaastasi, ja palveluntarjoaja näkee yhä yhden päätepisteen, yhden volyymin ja yhden aikataulun.

Kyvykkyys ei ole säilytyskäytäntö

Operaattori, joka voi tarkkailla yhteyttä, ei ole luvannut säilyttää sitä. Lokitus on erillinen päätös, kirjattu käytäntöön, lainkäyttöalueen rajaama ja tarkistettavissa vain todisteilla, joihin jo luotat. Ei lokeja -merkintä ei muuta yllä kuvattua verkkoroolia.

Tilin identiteetti on yleensä tärkeämpi kuin poistuman osoite. Jos kirjauduit sisään sähköpostiosoitteella tai maksoit kortilla, palveluntarjoaja voi sitoa istunnon sinuun kirjaamatta yhtäkään kohdetta. Poistuman IP-osoitteiden vaihtelu ei tee sille mitään.

Tarkista kattavuus ennen kuin luotat kumpaankaan vastaukseen

Useimmat, jotka uskovat ajavansa Torin VPN:n yli, ajavat siitä vain osan. Jaettu tunnelointi, joka jättää Tor Browserin pois, tappokytkin, joka kattaa selaimen mutta ei tor-palvelua, käynnistysyksikkö, joka ajetaan ennen tunnelin nousua, ja tunnelin kiertävä IPv6-polku ovat tavalliset neljä.

Asiakkaan tilanäytön lukeminen ei testaa yhtäkään niistä. Testi, joka sen tekee: jätä Tor Browser käyntiin, laske tunneli alas ja katso, säilyykö vartijayhteys fyysisellä liitännällä.

Järjestys, jossa tarkistan ja pysähdyn ensimmäiseen epäonnistumiseen:

• ip route get 203.0.113.10 palauttaa tunnelilaitteen.
• ss -tnp | grep -i tor näyttää vartijayhteyden tunnelin paikallisella osoitteella.
• ip -6 route ei sisällä oletusreittiä tunnelin ulkopuolelle tai IPv6 on pois päältä asiakkaassa.
• VPN:n pudottaminen lopettaa tor-yhteyden tai reitittää sen uudelleen sen sijaan, että jättäisi sen fyysiselle linkille.

Mikä järjestys sopii siihen, mitä puolustat

Molemmat järjestykset piilottavat jotain ja paljastavat jotain, joten vastaus on valinta tarkkailijasta, josta välität.

Lue se sarakkeittain, kunnes rivi vastaa sitä, mitä yrität estää. Jos huoli on paikallinen verkko tai operaattori, joka tallentaa tai estää Torin, Tor VPN:n yli hoitaa sen. Jos huoli on, että VPN-operaattori saa tietää kotiosoitteesi, VPN Torin yli hoitaa sen ja maksaa siitä paljastamalla Torin käytön omalle verkollesi ja kotiosoitteesi vartijalle.

Kumpikaan järjestely ei jätä molempia reunoja sokeiksi. Tarkkailijan lisääminen ei poista toista. Tor Projectin huomautus VPN:n ajamisesta Torin kanssa sanoo saman toiselta puolelta: tunneli muuttaa sitä, keneen luotetaan ja mitä vikapolkuja on olemassa, joten se ei ole päivitys, joka lisätään päättämättä, mitä halusit piilottaa.

Päätä ensin tarkkailija, valitse sitten järjestys ja varmista ip route get ja ss -komennoilla, ei asiakkaan ilmaisimella. Jos tarkkailija on joku, joka voi pakottaa VPN-palveluntarjoajan itse, mikään järjestysvalinta ei korjaa sitä.