Tor oer VPN: wa sjocht jo IP, en wa sjocht dat jo Tor brûke?

Jo ferbine de VPN-klient, wachtsje op de tunnel en iepenje dan Tor Browser om in circuit te bouwen. Krekt dy gewoane folchoarder beslút wa't wat sjocht. Yn dy folchoarder groetet it Tor-yngongsrelay jo VPN-útgongsadres, en jo VPN-provider groetet in iepenbier guard-relay. Dogge jo it oarsom, dan feroarje beide waarnimmers. Beide folchoarders binne it besjen wurdich, want kliïntynstellingen brekke stil de folchoarder dy't minsken tochten dat bestie, en de kontrôle dy't dat fangt is yn beide gefallen deselde.

Begjin mei de folchoarder, net it produkt

Twa opstellings hjitte „VPN mei Tor“, en allinnich de earste is gewoan. By Tor oer VPN is de tunnel al omheech as Tor begjint, dat it tor-proses stjoert syn guard-ferbining de tunnel yn lykas alle oare útgeande ferkear. By VPN oer Tor komt Tor earst omheech en de VPN-sesje reizget sels troch it circuit, en berikt de provider fan in Tor-útgong.

Wat tusken harren feroaret is hokker adres oan it fiere ein fan 'e bûtenste skeakel stiet. Eltse waarnimmer sjocht allinnich de foarige hop, nea it hiele paad: de guard sjocht wa't him ferbûn hat, en de VPN-tsjinner sjocht wa't him ferbûn hat. Tor draacht jo lokale tunneladres net nei bûten, en der is gjin fjild yn it protokol dêr't it dat koe.

Yn beide folchoarders sjocht de bestimmingswebsite noch altyd in Tor-útgong, en gjin fan beide folchoarders feroaret wat dy side fan jo oanmelding leart. It ferskil bliuwt beheind ta de twa rânen.

Wat it Tor-yngongsrelay sjocht

De yngong, of guard, akseptearret in gewoane TCP-ferbining op in relaypoarte en begjint in TLS-hânskodding mei de kliïnt. Yn in Tor-oer-VPN-opstelling is de boarne fan dy ferbining jo VPN-útgong. Yn in Tor-earst-opstelling is it it adres dat jo masine brûkte om it Tor-netwurk te berikken, meastentiids jo thúsferbining.

Dat beantwurdet de IP-helte fan 'e fraach, mar allinnich as de tunnel de ferbining wier droegen hat. It Tor-proses berikt de guard mei syn eigen socket, en dy socket falt net ûnder de proxy-ynstellingen fan Tor Browser. De browser praat mei it mei-levere tor-proses oer SOCKS op 9150, en tor iepenet dan syn eigen ferbining mei de routingtabel fan 'e kearn. In Socks5Proxy-rigel yn torrc, of in kliïnttransport, feroaret dy wei. Neat oars.

Op Linux kinne jo it antwurd fan 'e masine lêze. Freegje de kearn hokker ynterface it brûke soe foar in willekeurich iepenbier adres, en sjoch dan nei it lokale adres fan 'e fêstige ferbining:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

As de rûte dev wg0 of dev tun0 seit, en it lokale adres op 'e fêstige ferbining is it tunneladres, dan sit Tor yn 'e VPN. As de rûte jo fysike ynterface neamt, sit it bûten, wat de eigen yndikator fan 'e kliïnt ek beweart.

Wat jo VPN-provider sjen kin

De provider beëiniget jo VPN-sesje, dat hy sjocht de adressen dêr't jo mei ferbine. Guard-relayadressen wurde publisearre yn 'e iepenbiere konsensus en har poarten binne goed bekend, dat it bylizzen fan ien is in listopsocht ynstee fan djippe pakketynspeksje. In provider hoecht Tor net te brekken om te witten dat in sesje Tor is.

Wat it net sjocht is de rest fan it circuit. It middenrelay en de útgong wurde binnen Tor keazen, en de provider behannelet allinnich de skeakel nei de guard. Side-ynhâld bliuwt binnen TLS dat by de útgong einiget, en namme-oplossing foar Tor-ferkear bart ek by de útgong, dat der is gjin DNS-fraach by de provider om mei in bestimming te korrelearjen.

Brêgen mei obfs4 feroarje it opsocht, net de topologij. In brêge-adres ûntbrekt yn 'e iepenbiere relaylist en it ferkear wurdt foarme om net op Tor te lykjen, dat in operator dy't allinnich adressen fergeliket sil it net markearje. De sesje komt noch altyd fan jo VPN-kliïnt, en de provider sjocht noch altyd ien einpunt, ien folume en ien skema.

Kapasiteit is gjin bewarrelied

In operator dy't in ferbining observearje kin, hat net tasein it te hâlden. Loaazje is in aparte beslissing, opskreaun yn in belied, beheind troch jurisdiksje en allinnich kontrolearber fia bewiis dat jo al fertrouwe. In label sûnder logs feroaret de netwurkrol hjirboppe net.

Accountidentiteit makket meastentiids mear út as it útgongsadres. As jo oanmeld binne mei in e-postadres, of mei in kaart betelle hawwe, kin de provider de sesje oan jo bine sûnder ien bestimming te loaazjen. It rotearjen fan útgongs-IP's docht dêr neat oan.

Kontrolearje de dekking foardat jo ien fan beide antwurden fertrouwe

De measte minsken dy't tinke dat se Tor oer VPN draaie, draaie in part derfan. Split tunneling dat Tor Browser útslút, in kill switch dy't de browser dekt mar net de tor-tsjinst, in startienheid dy't draait foar't de tunnel omheech is, en in IPv6-paad om 'e tunnel binne de gewoane fjouwer.

It lêzen fan it statusskerm fan 'e kliïnt testet gjin fan harren. De test dy't dat docht: lit Tor Browser draaie, helje de tunnel del, en sjoch oft de guard-ferbining op 'e fysike ynterface oerbliuwt.

De folchoarder wêryn ik kontrolearje, en stopje by de earste mislearring:

• ip route get 203.0.113.10 jout it tunnelapparaat werom.
• ss -tnp | grep -i tor lit de guard-ferbining sjen mei in lokaal tunneladres.
• ip -6 route hat gjin standertrûte bûten de tunnel, of IPv6 is út yn 'e kliïnt.
• It dellizzen fan 'e VPN einiget of ferleit de tor-ferbining ynstee fan dy op 'e fysike skeakel te litten.

Hokker folchoarder past by wat jo ferdigenje

Beide folchoarders ferbergje wat en bleatstelle wat, dat it antwurd is in kar oer de waarnimmer dêr't jo om jouwe.

Lês it kolom foar kolom oant in rigel past by wat jo besykje te foarkommen. As de soarch in lokaal netwurk of in ISP is dy't Tor registrearret of blokket, dan regelet Tor oer VPN dat. As de soarch is dat de VPN-operator jo thúsadres leart, dan regelet VPN oer Tor dat, en betellet derfoar troch Tor-brûk oan jo eigen netwurk en jo thúsadres oan 'e guard bleat te stellen.

Gjin fan beide opstellings lit beide rânen blyn. It tafoegjen fan in waarnimmer ferwideret gjin oare. De notysje fan it Tor Project oer in VPN mei Tor draaie seit itselde fan 'e oare kant: de tunnel feroaret wa't fertroud wurdt en hokker flaterpaden besteane, dat it is gjin upgrade om ta te foegjen sûnder te besluten wat jo ferbergje woene.

Beslute earst de waarnimmer, kies dan de folchoarder, en ferifiearje mei ip route get en ss ynstee fan mei de yndikator fan 'e kliïnt. As de waarnimmer ien is dy't de VPN-provider sels twinge kin, dan makket gjin kar fan folchoarder dat rjocht.