VPN ennen Tor-verkkoa: mitä järjestys oikeastaan muuttaa

VPN:n yhdistäminen ensin tuottaa tietyn ketjun: laite, VPN:n päätepiste, Tor-sisäänkäynti, Tor-piiri, kohde. Paikallinen verkkosi näkee yhden salatun yhteyden VPN:hen, ja Torin sisäänkäyntisolmu näkee VPN:n ulostulon välittömänä lähteenä tarjoajasi osoitteen sijaan. VPN-operaattori puolestaan näkee yhteydet Torin sisäänkäyntiinfrastruktuuriin ja voi päätellä Torin käytön kohteista. Jokainen tarkkailija menettää jotain ja voittaa jotain, siksi järjestys on vaihtokauppa eikä parannus.

Mikään tuossa ketjussa ei muuta sitä, mitä sivusto oppii tilistäsi, evästeistäsi tai kirjoittamistasi tiedoista.

Mitä järjestys muuttaa

Paikallinen verkko ja operaattori menettävät suoran näkyvyyden Tor-liikenteeseesi, koska ensimmäinen hyppy on nyt salattu tunneli tarjoajalle. Torin sisäänkäyntivartija menettää kotiosoitteesi ja näkee VPN:n ulostulon. VPN-tarjoaja saa metatiedot, jotka operaattorillasi oli aiemmin: mitä osoitteita käytät, mihin aikoihin ja kuinka paljon dataa liikkuu.

Sisäänkäyntivartijan jälkeen piiri toimii kuten ennen. Relit erottavat edelleen sisäänkäynnin, keskiosan ja ulostulon roolit, eikä VPN näe lopullista sisältöä sen enempää kuin operaattorisikaan.

Vahvista reitti, jota todella käytetään

Jaettu tunnelointi on tavallinen syy siihen, että aiottu ketju ei olekaan todellinen.Jos Tor Browser on jätetty tunnelin ulkopuolelle, tai toinen profiili reitittää eri tavalla, sisäänkäyntivartija näkee jälleen tarjoajan osoitteen, vaikka käyttöliittymä näyttää yhä yhdistetyltä. Tarkista reitti ja havaittu ulostulo, älä kuvaketta.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Portin 9150 kautta kulkevaan SOCKS-pyyntöön vastaa Tor Browserin oma asiakasohjelma, joten vastaus IsTor true vahvistaa selaimen piirin, ei sitä, että jokainen muu sovellus käyttäisi sitä. Ratkaisimen tuloste kannattaa tallentaa, koska DNS voi lähteä reitille, jota tunneli ei kata. Säilytä molemmat tulosteet aikaleimalla. Ne ovat seuraavan vertailun perusta.

Vertaa tavallisesta päätteestä tehtyyn suoraan pyyntöön: jos sekin raportoi Torin, jokin muu ohjaa liikennettä ja ketju ei ole se, mitä suunnittelu oletti.

Katso, mitä tapahtuu, kun tunneli putoaa

Asiakasohjelma, joka palaa hiljaa paikalliseen käyttöliittymään, muuttaa lähdettä, jonka sisäänkäyntivartija näkee, eikä käyttäjä yleensä tiedä sitä, koska sivu latautuu yhä. Juuri tuota vikaa kannattaa testata, ei onnellista polkua. Katkaise tunneli tarkoituksella ja katso, pysähtyykö Tor-liikenne vai jatkuuko se suojaamattomana.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Palomuurisäännöt, jotka estävät tunnelin ulkopuolelle menevän liikenteen, ovat ainoa luotettava varakontrolli, ja niiden on katettava sekä selaimen SOCKS-asiakasohjelma että jokainen muu sovellus, joka on sinulle tärkeä. Selainlaajennus ei ole laite-VPN eikä vaikuta muihin ohjelmiin tai ulkoisiin tarkkailijoihin.

Päätä, ansaitseeko lisäkerros luottamuksensa

Tor Project ei suosittele VPN:n pinoamista Torin alle, ellet voi itse arvioida asetuksia. Heidän mainitsemansa syy on lisäriippuvuus: toinen osapuoli, toinen tili ja toinen vikatila. Jos tavoitteena on estää operaattoriasi näkemästä, että käytät Toria, VPN kohdistuu juuri tuohon tarkkailijaan. Jos tavoitteena on vahvempi anonymiteetti maailmanlaajuista tarkkailijaa vastaan, VPN ei tarjoa sitä.

Myös käänteinen järjestys on olemassa, eivätkä nimet ole vaihdettavissa:Tor VPN:n päällä ja VPN Torin päällä kuvaavat erilaisia luottamussuhteita ja erilaista vikakäyttäytymistä. Lue vertailu ennen kuin sekoitat ne.

Kirjoita muistiin, mitä tarkkailijaa yrität siirtää, vahvista sitten, että todellinen reitti vastaa suunnittelua, ja vahvista sitten vikakäyttäytyminen. Jos nuo kolme vastausta eivät oikeuta lisätiliä ja -määritystä, dokumentoidussa Tor Browser -asetuksessa on vähemmän osia, jotka voivat mennä pieleen.