VPN avant Tor : ce que l'ordre change réellement

Connecter d'abord le VPN produit une chaîne précise : appareil, point de sortie du VPN, entrée Tor, circuit Tor, destination. Votre réseau local voit une connexion chiffrée vers le VPN, et le nœud d'entrée Tor voit la sortie du VPN comme source immédiate au lieu de l'adresse de votre fournisseur. L'opérateur du VPN, lui, voit les connexions vers l'infrastructure d'entrée Tor et peut déduire l'usage de Tor à partir des destinations. Chaque observateur perd quelque chose et gagne quelque chose, c'est pourquoi l'ordre est un échange et non une amélioration.

Rien dans cette chaîne ne change ce que le site apprend de votre compte, des cookies ou des informations saisies.

Ce que l'ordre change

Le réseau local et le fournisseur d'accès perdent la visibilité directe de votre trafic Tor, car le premier saut est désormais un tunnel chiffré vers un fournisseur. Le gardien d'entrée Tor perd votre adresse personnelle et voit la sortie du VPN. Le fournisseur du VPN gagne les métadonnées que votre fournisseur d'accès détenait : quelles adresses vous contactez, à quelles heures et quel volume de données circule.

Au-delà du gardien d'entrée, le circuit se comporte comme avant. Les relais séparent toujours les rôles d'entrée, de milieu et de sortie, et le VPN ne voit pas le contenu final plus que votre fournisseur d'accès ne le voyait.

Confirmez le chemin réellement utilisé

Le tunnel divisé est la raison habituelle pour laquelle la chaîne prévue n'est pas la vraie.Si Tor Browser est exclu du tunnel, ou si un second profil route différemment, le gardien d'entrée revoit l'adresse du fournisseur tandis que l'interface semble toujours connectée. Vérifiez la route et la sortie observée plutôt que l'icône.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

La requête SOCKS via le port 9150 est répondue par le client propre à Tor Browser, donc une réponse IsTor true confirme le circuit du navigateur, pas que tout autre programme l'utilise. La sortie du résolveur mérite d'être notée, car le DNS peut sortir par un chemin que le tunnel ne couvre pas. Conservez les deux sorties avec un horodatage. Elles sont la référence pour la comparaison suivante.

Comparez avec une requête directe depuis un terminal ordinaire : si elle aussi signale Tor, autre chose redirige le trafic et la chaîne n'est pas celle que le design supposait.

Observez ce qui se passe quand le tunnel tombe

Un client qui retombe silencieusement sur l'interface locale change la source que voit le gardien d'entrée, et l'utilisateur ne le sait généralement pas car la page se charge encore. C'est cette défaillance qui mérite d'être testée, pas le chemin heureux. Déconnectez le tunnel volontairement et regardez si le trafic Tor s'arrête ou continue sans protection.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Les règles de pare-feu qui bloquent le trafic sortant hors du tunnel sont le seul contrôle de repli fiable, et elles doivent couvrir à la fois le client SOCKS du navigateur et tout autre programme qui vous importe. Une extension de navigateur n'est pas un VPN d'appareil et n'affecte pas les autres programmes ni les observateurs externes.

Décidez si la couche supplémentaire mérite sa confiance

Le Projet Tor déconseille d'empiler un VPN sous Tor, sauf si vous pouvez évaluer vous-même la configuration. La raison qu'ils donnent est la dépendance ajoutée : une partie de plus, un compte de plus et un mode de défaillance de plus. Si l'objectif est d'empêcher votre fournisseur d'accès de voir que vous utilisez Tor, le VPN s'adresse précisément à cet observateur. Si l'objectif est une anonymat plus forte face à un observateur global, le VPN ne le fournit pas.

L'ordre inverse existe aussi, et les noms ne sont pas interchangeables :Tor sur VPN et VPN sur Tor décrivent des relations de confiance différentes et des comportements de défaillance différents. Lisez la comparaison avant de les mélanger.

Notez quel observateur vous cherchez à déplacer, puis vérifiez que le chemin réel correspond au design, puis vérifiez le comportement en cas de défaillance. Si ces trois réponses ne justifient pas le compte et la configuration supplémentaires, la configuration documentée de Tor Browser comporte moins de pièces à mal régler.