Onion-tsjinst fersus VPN-tsjinst: ferskillende tagongsmodellen

Minsken beskriuwe in Onion-tsjinst en in tsjinst dy't allinnich fia VPN berikber is as twa farianten fan itselde idee: ferbergje de poarte, diel it geheim adres. Se ferskille yn wêr't it adres oan bûn is, wa't it berikke kin en wat der barre moat foardat in oanfraach oankomt. De iene is in moetingspunt binnen Tor, de oare is in rûte binnen in privee netwurk. Se as ûtwikselber behannelje makket ûntwerpen dy't noch privee noch ûnderhâldber binne.

De myte: beide ûntwerpen binne gewoan in ferburgen doar

It mienskiplike eigenskip is wier, mar tin: gjin fan beide ûntwerpen set de beheerynterface op in direkt berikbere iepenbiere poarte. Al it oare wykt ôf. In Onion-adres wurdt ôflaat fan 'e eigen kaai fan 'e tsjinst, dus de namme is oan in identiteit bûn; in VPN-adres is gewoan in adres binnen in netwurk dêr't jo yn talitten binne. De iene ferberget de tsjinst yn in oerlizlaach, de oare lit jo ta yn in privee topology. It twadde as in synoniem fan it earste sjen is wêr't de betizing begjint.

Gjin fan beide eigenskippen is in feilichheidskontrôle foar de applikaasje sels. In ferburgen lokaasje patcht de software efter him net, en in privee rûte foeget gjin ferifikaasje ta oan 'e oanmeldside. Beide ûntwerpen hawwe noch hieltyd de eigen tastimmingen fan 'e applikaasje nedich, en beide hawwe noch hieltyd immen nedich dy't ferantwurdlik is foar bywurkingen en weromsetten.

Wêr't in Onion-adres eins nei wiist

In Onion-adres fan ferzje v3 kodearret de iepenbiere kaai fan 'e tsjinst, dêrom kin nimmen in adres kieze foar in tsjinst dy't er net beheart. De klant ferbynt fia Tor oan in moetingspunt, en de tsjinst berikt itselde punt fan syn kant; gjin gewoane ûtgongsknooppunt draacht dy ferbining nei de tsjinst. De namme is in identiteit, net in DNS-opname.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Dêrom helpt it neat om in rûte of in hosts-ynfier foar in onion-namme ta te foegjen. It opfreegjen is net it meganisme; de Tor-klant en syn sirkwys binne dat. As de tsjinst foar in lyts groep minsken bedoeld is, kin onion-klantautorisearring in kaai freegje foardat de ferbining akseptearre wurdt, mar dat is noch hieltyd gjin oanmelding by de applikaasje. It adres publisearje is ek in bewuste die, want elkenien dy't it leart kin in ferbining besykje, ûtsein as jo it beheind hawwe.

Stop as de iennichste reden foar it onion-ûntwerp is om it ynstellen fan ferifikaasje te mijen. It oerlizlaach biedt dat net, en jo sille it letter dochs bouwe.

Wat in VPN-rûte eins jout

In VPN lit in apparaat ta yn in netwurk en jout it in rûte nei in poarte of in subnet. De tsjinst efter dy poarte sjocht in adres ût 'e tunnelpool en past ta hokker autorisaasje er hat. De rûte seit neat oer wa't de brûker is; se seit wêr't pakketten hinne meie.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Dat model past by in bekende groep mei behearde apparaten, om't de poarte de tastân fan it apparaat ôftwinge kin en it netwurk auditearre wurde kin. It past min by anonyme of ad hoc besikers, dy't earst ynskreaun wurde moatte soene. De eigen oanmelding fan 'e applikaasje beslût noch hieltyd wat in ferbûne brûker lêze mei. Berikberens mei tastimming betiizje is hoe't in VPN ûteinlik in hiel subnet jout oan elkenien dy't ferbine kin.

Stop as it publyk ûnbekend is of hieltyd feroaret. Frjemden ynskriuwe yn in privee netwurk om harren ien side te toanen is in grutte ferplichting ferlike mei it publisearjen fan in tsjinst.

Kieze tusken har, en wat itselde bliuwt

Kies it onion-model as it publyk technysk is, de tsjinst hielendal gjin iepenbier adres hawwe mei en jo de klanteasken fan Tor akseptearje kinne. Kies it VPN-model as it publyk in beskaat groep is waans apparaten jo beheare en waans tagong jo op netwurklaach registrearje wolle. Gjin fan beide karren hellet de needsaak foar applikaasjeferifikaasje, patches of in weromsetpaad fuort. Gjin fan beide is automatysk priveerder yn 'e sin dy't foar jo brûkers fan belang is.

Skriuw yn beide ûntwerpen op wa't de tsjinst berikke kin, hoe't se identifisearre wurde en wat der bart as in oanmeldgegevens ferlern giet. It antwurd foar in onion-tsjinst omfettet syn klantautorisearringskaaien en it adres sels; it antwurd foar in VPN omfettet it akkount, it apparaat en it poartebelied. Dat binne ferskillende ynventarissen, en mar ien fan beide sil foar de folgjende behearder fanselssprekkend wêze.

De ferliking einiget wêr't de applikaasje begjint. In ferburgen adres en in privee rûte binne ferfierskarren, en de applikaasje moat noch hieltyd beslute wat in oanfraach dwaan mei. Hâld dy besluten yn aparte dokuminten en gjin fan beide ûntwerpen sil stil it wurk fan 'e oare oernimme.