Tor-útgongsrelay tsjin VPN-útgongsserver: wat elk wit
In Tor-útgongsrelay en in VPN-útgongsserver litte beide ien iepenbiere adres sjen, mar se ferdiele kennis oars. Fergelykje sichtberens, dekking en poartbelied.
Beide ûntwerpen ferstopje jo adres efter ien iepenbiere IP, en in webside dy't it adres printsje't dat er sjocht, kin se net ûnderskiede. It ferskil is wa't ûnderweis wat leart, hoefolle ferkear der dekt is en hokker poarten wurkje meie. In Tor-útgongsrelay is de lêste sprong fan in sirkwy fan trije relays; in VPN-útgongsserver einiget jo tunnel en makket sels de útgeande ferbining. Hjir is hoe't ik beslute hokker in taak nedich hat, en wat ik kontrolearje foar't ik oan nim dat de iene him as de oare hâldt.
Twa paden dy't by ien adres einigje
Tor bout in sirkwy troch in wacht, in middenrelay en in útgong, en fersiferet de lading yn lagen sadat elk relay allinnich syn eigen laach ôfpelt. De útgong makket de gewoane TCP-ferbining nei de bestimming, dêrom sjocht de bestimming it útgongsadres. Jo klant praat nea direkt mei de bestimming, en de wacht sjocht dy ek net.
In VPN is ien tunnel nei ien einpunt. De server fan de operator hellet de tunnel fuort en iepenet de útgeande ferbining, sadat de bestimming ek ien adres sjocht, dizze kear dat fan de operator. It waarnimbere resultaat is itselde; de kennis net. In test dy't in IP printet, antwurdet op hokker systeem jo binne en neat oer de fertrouwensferdieling dy't echt ferskilt.
Wa't úteinlik wat wit
It VPN-einpunt sjocht it boarneadres, de bestimming, de tiid en it folume op ien plak. Dy konsintraasje is it ûntwerp: ien operator, ien logflak, ien plak om te dagfaarjen of ferkeard te konfigurearjen. Alles wat jo winne, komt út fertrouwen yn dy partij en út it útgeande belied fan it einpunt.
Tor ferdielt dy kennis. De wacht ken jo adres mar net de bestimming; de útgong ken de bestimming mar net jo adres. In relay heart net beide te learen. Dat is in strukturele eigenskip, gjin belofte tsjin in wrâldwide waarnimmer, in relay dy't tiden korrelearret of in kompromittearre einpunt, behannelje it dus as in oare ferdieling fan itselde risiko en net as anonymiteit dy't net mislearje kin.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Dekking is in browserbeslissing of in rûtebeslissing
Tor Browser rûtelet syn eigen ferkear en foeget beskermingen ta dy't in gewoane VPN-klant net reprodusearret: wjerstân tsjin fingerôfdrukken, isolaasje fan earste partij, in fêste finstergrutte en in aksje Nije identiteit dy't de sesjestatus fuortsmyt. Oare tapassingen brûke dat sirkwy net, útsein as se dêrfoar konfigurearre binne, en in systeembrede Tor-ynstelling is in apart projekt fan it ynstallearjen fan de browser.
In VPN hat de tsjinoerstelde foarm. Dekking folget de rûtetabel, sadat in WireGuard-profyl mei AllowedIPs = 0.0.0.0/0 alles fangt en in split-tunnel-list allinnich de foarheaksels fangt dy't it neamt. Krekt yn dat meganisme wenje ek de lekken: DNS-fragen, IPv6 en WebRTC kinne elk in paad nimme dat it rûtebelied net omfette. Kontrolearje fan binnenút de tapassing dy't mislearre, net fan in browser-tab dy't miskien in oare ynterface brûkt.
Poartbelied, blokkearre bestimmingen en HTTPS
In útgongsrelay mei útgeande poarten wegerje, en it standertbelied wiist in list fan misbrûkgefoelige poarten ôf, mei SMTP-poarte 25 dêrûnder. In mailklant dy't fia Tor konfigurearre is, mislearret dêrom by de útgong, wat op in netwurfflater liket en it net is. Operators dy't in relay driuwe, sette dat eksplisyt:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Bestimmingen blokkearje ek, en se blokkearje de twa systemen oars. Tor-útgongsadressen wurde publisearre, sadat in side de hiele list wegerje kin; VPN-einpunten sitte yn datacenterberikken dy't like maklik wegere wurde. As in side mislearret, skied dan de trije kandidaten foar't jo wat feroarje: útgongs- of útgeand belied, in bestimming dy't de boarne wegeret, of in captive portal dy't it earste fersyk kaapt.
Gjin fan beide systemen ferfangt transportfersifering. Gewoane HTTP is lêsber by de útgongsrelay en by it VPN-einpunt likegoed, hâld HTTPS dus oan en lês de sertifikaatwarskôging ynstee fan dy fuort te klikken. Twa kontrôles beantsje de rûtefrage fluch: curl -s https://check.torproject.org/api/ip jout IsTor werom as it fersyk troch in sirkwy gie, en curl -s https://ifconfig.me toant it útgeande adres dat in VPN presintearje soe. Beide draaie fertelt jo hokker paad de shell echt brûkt.
Brûk de iene net as de oare
It adres fan in útgongsrelay is gjin VPN-profyl. In OpenVPN- of WireGuard-klant nei in relay op poarte 443 rjochtsje makket gjin tunnel, want dêr harket gjin VPN-tsjinst; it relay is in sprong yn it sirkwy fan in oar. Oare kant op is in VPN-einpunt gjin yngongspunt foar Tor, en de brêge-ynstellingen fan Tor Browser binne gjin plak om in kommersjele VPN-hostnamme te plakken. As jo Tor oer in VPN draaie, sjocht de wacht it VPN-adres ynstee fan dat fan jo, wat de ferdieling feroaret sûnder de twa rollen te ferienjen.
Beäntwurdzje foar't jo kieze fjouwer fragen yn folchoarder: wa't it einpunt betsjinnet en wat it behâldt, wat it helpmiddel op dit apparaat dekt, hokker poarten en bestimmingen it útgeande belied talit, en wat de tapassing tafoeget bûten it netwurkpaad. In taak dy't gewoane netwurktagong foar in protte programma's nedich hat, wol in VPN. In taak dy't de beskermingen op browsernivo en it sirkwymodel nedich hat, wol Tor Browser, by de tiid holden. As it antwurd «beide» is, draai se dan yn in bewust keazen folchoarder en skriuw op hokker adres elke kant sjocht.