Tor-relay tsjin VPN-tsjinner: wêrom't se net útwikselber binne

Jo hawwe in adres, de poarte antwurdet, en in klant akseptearret it sûnder klacht. Nimmen fan dizze makket in Tor-relay in VPN-einpunt, en de flater is djoer om't it profyl skjin ymladen wurdt en letter by de handshake mislearret. Ik brûk de fjouwer kontrôles hjirûnder yn oarder; elk hat in stopbetingst, en betiid stopje is krekt it punt. As de earste kontrôle mislearret, kinne de oare jo net helpe.

Kontrolearje wat de poarte eins betsjinnet

In iepen poarte bewiist in harker, net mear. De ORPort fan in relay praat de eigen sellen fan Tor nei in TLS-handshake, dus in slagge TLS-proef fertelt jo hast neat oer oft dêr in VPN-protokol akseptearre wurdt:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Lês it sertifikaat ynstee fan it feit dat der ien is. Relays presintearje in sels-ûndertekene sertifikaat mei in bewust unobskynlike namme, om't relayferkear op gewoane HTTPS lykje moat; it sertifikaat fan in VPN-tsjinner draacht de namme dy't jo profyl ferwachtet. As de oare kant nea it earste pakket fan it VPN-protokol beäntwurdet, sil gjin inkelde bewurking fan it profyl de útkomst feroarje.

Stop hjir as it adres de handshake net foltôget dy't jo klant stjoert. Dat is in protokolantwurd, gjin konfiguraasjeprobleem, en it is de meast foarkommende reden wêrom't in ymladen profyl foar altyd by 'connecting' bliuwt.

Kontrolearje de rol fan 'e relay, net de grutte fan it netwurk

Relayrollen dogge ferskate taken. In guard is de earste hop foar klanten, in middenrelay stjoert sirkels tusken oare relays troch, in exit is dejinge dy't bestimmingen oanrekket, en in brêge is in net-iepenbier yngongspunt dat fia BridgeDB ferparte wurdt. De wurdlist fan Tor hâldt dy definysjes apart, en berikberens is part fan elke rol, wylst tastimming om willekeurige klanten te betsjinjen fan gjinien is.

It exitbelied is de muoite wurdich te lêzen, om't it it iennichste part is dat op in trochstjoerregel liket, en it regelet de bestimmingen dy't de exit nei bûten talitte, net de klanten dy't nei binnen talitten wurde. In beheinend exitbelied dat poarte 25 blokkearret, seit wat oer kontrôle fan útgeand misbrûk, net oer oft jo in OpenVPN-klant nei de masine rjochtsje meie.

Stop as jo fan reputaasje ôf redinearje: om't relays ferkear trochstjoere, moat it adres it joene akseptearje. Tor kiest paden fia konsensus en syn eigen protokol; in VPN-klant is gjin dielnimmer en hat gjin sirkel om by oan te sluten.

Kontrolearje oft de SOCKS-harker lokaal of iepenbier is

De klant fan Tor eksposearret in SOCKS-ynterface foar applikaasjes op deselde masine, standert op loopback. Dy harker is in lokaal gemak, gjin tsjinst dy't in relay oan it ynternet biedt, en it as in iepenbier proxy behannelje is hoe't minsken einigje mei it draaien fan in iepen relay dy't se net bedoelden:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

It bindadres is de oanwizing. In SocksPort op 127.0.0.1:9050 docht syn wurk; ien dy't harket op 0.0.0.0 en fan bûten berikber is, is in iepen proxy, en de eigen tagongsbeliedkontrôles fan Tor besteane krekt om't dy bleatstelling in probleem is ynstee fan in funksje.

Foar in applikaasje dy't Tor nedich hat, rjochtsje dy op 'e loopback-poarte en lit Tor nammen besljochtsje, wat de foarm socks5h hjirboppe docht. Ferfange gjin relayadres troch dy poarte; de relay biedt net de ynterface dy't jo applikaasje freget.

Kontrolearje dat it VPN-profyl by in echte einpunt past

In VPN-profyl is in bondel ferwachtings: OpenVPN hat it sertifikaat fan 'e tsjinner of de CA nedich, in kliïntsertifikaat en kaai, en meastentiids in TLS-kaai, wylst WireGuard de iepenbiere kaai fan 'e oare kant, in einpunt en tastiene IP's nedich hat. Nimmen fan dizze kin ôflaat wurde fan in adres en in iepen poarte, dat is wêrom't in sa boud profyl by de earste útwikseling mislearret, net by it ferbinen.

As jo in profyl oerhanne krije, ferifiearje it tsjin in einpunt dat jo kontrolearje of in provider dy't jo identifisearje kinne:

wg show
openvpn --config client.ovpn --verb 4

Yn it OpenVPN-logboek neamt in TLS-ûnderhannelingsflater de ôfwiking direkt; yn wg show hat in oare kant sûnder handshake-rige nea ien foltôge. Beide binne ynformativever dan de draaiende oanwizer fan 'e klant, en beide wize op kaaibeskikking of protokol ynstee fan op Tor.

Kontrolearje hokker beskerming jo echt nedich hawwe

Dit is de kontrôle dy't de arsjitektuer beslút. Tor Browser jout jo sirkelisolaasje en fingerôfdrukferskerming dy't in VPN net hat; in VPN feroaret it adres dat in bestimming sjocht en autentisearret jo by in provider. Tusken beide kieze is in fraach fan bedrigingsmodel, gjin fraach fan kompatibiliteit, en se trochinoar helje jout in opset dy't privee liket en it net is.

Keatling hat in oarder. In VPN dy't Tor-ferkear draacht is in stipe opstelling, om't de klant fan Tor allinnich útgeand TCP nedich hat. In VPN-klant dy't binnen Tor tunnele is is net itselde en is net wat de Tor-klant ymplemintearret, dus plan net op basis dêrfan.

Foardat jo wat ymlade, befêstigje alle fjouwer:

• De poarte foltôget de handshake fan jo protokol, net allinnich in TCP-ferbining.
• Jo kenne de rol fan 'e host en behannelje trochstjoeren net as tastimming.
• De SOCKS-harker dy't jo brûke is loopback en fan jo, net in iepenbiere poarte op 'e relay fan in oar.
• De kaaien of sertifikaten fan it profyl hearre by it einpunt dêr't jo mei ferbine.