VPN Torn kautta: ensin kuljetuksen tarkistus

Tor ensin tarkoittaa, että VPN-asiakas istuu SOCKS-välityspalvelimen takana, joten tunneli rakennetaan Torin kautta ja sovellusliikenne poistuu VPN:n päätepisteestä. Se on yksi tietty järjestys, eikä se ole se, mitä useimmat rakentavat. Tor Browserin avaaminen tavallisen VPN-asiakkaan rinnalle ei pakota kumpaakaan ohjelmaa käyttämään toisen polkua.

Käy tarkistukset läpi järjestyksessä. Jokainen päättää, kannattaako seuraava aloittaa.

Mitä järjestystä oikeastaan rakennat

Kaksi järjestystä sekoittuvat samassa keskustelussa. Tor ensin tarkoittaa, että VPN-asiakas tavoittaa palvelimensa SOCKS-välityspalvelimen kautta, joten tunneli rakennetaan Torin päälle. VPN ensin tarkoittaa, että Torin liikenne poistuu tunnelin kautta, minkä useimmat rakentavat vahingossa ja kuvailevat sitten toiseksi. Ensimmäinen keskittää edelleenlähetysrajan VPN-operaattorille, toinen keskittää sen Torin sisään- ja ulostuloon. Kumpikaan ei ole se, minkä saat pitämällä molemmat sovellukset avoinna yhtä aikaa.

Kirjoita ylös, kumpaa järjestystä tehtävä tarvitsee ennen kuin konfiguroit mitään, koska molemmat vaativat eri ohjelmistoasetukset ja epäonnistuvat eri kohdissa. Väärin nimetty järjestys lähettää sinut tunniksi etsimään vikaa väärästä kerroksesta. Kaikki alla olettaa Tor ensin.

Tarkista kuljetus ennen kaikkea muuta

Torin SOCKS-rajapinta välittää TCP-virtoja eikä tarjoa yleistä UDP-liitosta. VPN, jonka kuljetus on UDP, ei voi kohdella tätä välityspalvelinta tavallisena verkkorajapintana, eikä mikään asiakasasetus muuta sitä, mitä välityspalvelin on valmis välittämään. WireGuard tavanomaisessa muodossaan on ilmeinen uhri. OpenVPN-profiili TCP-tilassa on tavallinen ratkaisu, ja sille on silti sanottava nimenomaisesti, että välityspalvelinta käytetään.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Varmista, että välityspalvelin kuuntelee ja pystyy välittämään yhden tavallisen HTTPS-pyynnön ennen kuin etsit vikaa tunnelista sen kautta. Jos tavallinen pyyntö epäonnistuu, VPN-asiakas ei koskaan onnistu, eivätkä sen lokit kerro sinulle miksi.

Kirjoita havaitsijan kartta uudelleen

Torin sisäänkäynti voi nähdä lähteen, joka yhdistää Toriin, ellei jokin aiempi ole muuttanut sitä, joten tuo hyppy oppii osoitteesi. VPN-palveluntarjoaja vastaanottaa yhteyden, joka saapuu Torin puolelta, mutta voi silti tietää tilin, maksutietueen tai tunnistetiedon, jonka lähetit tunnelin sisällä. VPN:n kautta saavutettavat kohteet näkevät sen ulostulon Torin ulostulon sijaan, ja se keskittää lopullisen edelleenlähetysrajan yhdelle operaattorille.

Se ei myöskään luo uudelleen hajautettua polkua jokaiseen kohteeseen. Tor Browser rakentaa tuoreen piirin jokaista sivustoa varten; Torin kautta kuljetettu VPN rakentaa yhden tunnelin, ja jokainen sen takana oleva sivusto jakaa tuon päätepisteen. Kohtele eroa suunnittelutotuutena, älä poistettavana rajoituksena.

Laske vikakerrokset, kun se hajoaa

Rikkinäisessä kokoonpanossa on vähintään neljä riippumatonta kerrosta: SOCKS-yhteys, TLS-kättely VPN-palvelimen kanssa, itse VPN-kättely ja sitten reititys tai nimien selvitys tunnelin sisällä. Jokainen epäonnistuu eri oireella ja jokainen tarvitsee erilaisen korjauksen. Varmenteiden tarkistusten löysääminen siksi, ettei tunneli nouse, on klassinen väärä diagnoosi, ja se muuttaa kuljetusongelman turvallisuusongelmaksi.

Kirjaa ensimmäinen epäonnistuva kerros ja pysähdy siihen. Välityspalvelimen kieltäytyminen ja hylätty avain eivät ole saman tapahtuman muunnelmia.

Pysähdy, jos uhkamalli tarvitsee Tor Browserin puolustuksia

Mielivaltaisten sovellusten reitittäminen Torin kuljettaman VPN:n kautta ei anna näille sovelluksille Tor Browserin sormenjälki- ja eristysominaisuuksia. Niiden tilit, tunnisteet ja oma verkkokäyttäytyminen pysyvät merkityksellisinä, eikä tunneli normalisoi mitään niistä. Jos tavoitteena on selain, joka sulautuu muihin käyttäjiin, tämä järjestys ei tarjoa sitä.

Tor Project itse varoittaa yhdistelmistä, joita käyttäjät eivät osaa konfiguroida oikein, ja tämä koskee useimpia. Se on tarkoituksellinen suunnittelu kapealle uhkamallille, ei oikotie koko laitteen anonyymiin liikenteeseen.