VPN yn Tor, Tor yn VPN: wêrom't de keatling brekt
As in VPN, Tor en in proxy opinoar steapele wurde, beslút de folchoarder wat oplost wurdt en wat droegen wurdt. Fyn de earste brutsen grins foardat jo alle trije feroarje.
In VPN, Tor en in applikaasjeproxy opinoar steapelje fielt as it fermannichfâldigjen fan privacy, en it fermannichfâldiget it oantal plakken dêr't in ferbining stjerre kin. It gewoane resultaat is in browser dy't draait wylst trije ark harsels sûn neame. Alle trije ynstellings tagelyk feroarje nimt dan de iennige oanwizing fuort oer wa't der ljocht.
Tekenje earst it bedoelde paad yn folchoarder, en neam hokker programma elke ferbining iepenet en hokker namme by elke stap oplost wurdt.
Lagen telle net op, se beynfloedzje inoar
In VPN foar Tor betsjut dat de yngongsferbining fan 'e Tor-klant binnen de tunnel reizget. In VPN dy't troch Tor droegen wurdt betsjut dat it eigen einpunt fan 'e VPN-klant oer Tor berikber wêze moat, wat in hiel oare eask is. De proxy fan 'e browser foeget noch in hop ta dêr't it bestjoeringssysteem neat fan wit. Trije opstellings, trije aparte ôfhinklikheidslisten.
Elke opstelling feroaret wat oplost wurde kin, wat droegen wurde kin, en wa't it earste pakket sjocht. Mar ien fan harren kin de konfiguraasje wêze dy't jo bedoelden.
Foegje it direkte paad ek ta oan it diagram. In fallback-rûte, in útsluting foar split-tunnel of in proxy-omgong kinne in side lade litte wylst se de keatling dy't jo teste woene stil oerslaan, en dat súkses misliedt mear as de flater.
De folchoarder beslút wat droegen wurde kin
Tor draacht TCP-streams troch syn SOCKS-ynterface, en in klant dy't de proxy freget de hostnamme op te lossen hâldt de syktocht binnen it circuit. UDP reizget net sa yn gewoane konfiguraasjes, dêrom kin in WireGuard-tunnel net yn Tor nêste wurde sûnder in ekstra TCP-relay yn 'e midden.
OpenVPN kin twongen wurde nei TCP, dus dy opstelling is teminsten beskriuwber. Hy is ek stadiger en breisiger, en de flatermodus as er brekt liket identyk op in blokkearre poarte. Ferwachtsje langer te besteegjen oan it ûnderskieden fan dy beiden as oan it reparearjen fan ien fan beide.
Oplossen is de oare helte. Mei --socks5-hostname lost de proxy it bestimmingsadres op, wylst gewoane --socks5 earst de lokale resolver freget en de namme bûten it circuit lekket. Krekt dy iene flagge beslút oft de nammesyktocht by de keatling of by jo provider heart.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
De earste brutsen grins fine
Test de fazen yn 'e folchoarder dêr't de pakketten reizgje, mei harmless fersiken, en stop by de earste dy't misrint. Skriuw op hokker kommando earst rûn, want de folchoarder is diel fan it bewiis. Twa kommando's skiede in dea circuit fan in deade útgong:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
De earste rapportearret oft in fersyk überhaupt troch de SOCKS-proxy foltôge wurdt, en de twadde lit it adres sjen dat it netwurk op dit stuit presintearret. As de earste misrint en de twadde slagget, sit it probleem by de Tor-klant of dêrfoar. As beide slagje en de browser misrint noch, brûkt de applikaasje in oar paad as de shell.
In side mei iepenbiere IP beskriuwt ek allinnich de lêste sichtbere útgong. It kin net sizze hoefolle hops derfoar kamen, dus keppelje it oan 'e stipe statusútfier fan elk ark ynstee fan ien getal as diagram te behanneljen.
Wannear't jo ophâlde moatte mei lagen tafoegje
As jo net yn ien sin sizze kinne wat in laach bydraacht, helje it fuort. In keatling waans doel net dúdlik is, is in keatling dy't nimmen om trije oere nachts debugge kin, en de privacywinst fan in ûnferklearre hop is meastentiids lytser as de beskikberens dy't jo ferlieze.
As in laach wol syn plak fertsjinnet, test it dan earst allinnich, foegje dan de folgjende ta en befêstigje it paad wer mei deselde twa kommando's. Werstel de folsleine keatling foar gewoan gebrûk, en hâld TLS-falidaasje en autentikaasje oan; in sertifikaatwarskôging dy't akseptearre wurdt om in side te laden is in routing-omgong, gjin reparaasje. Skriuw de folchoarder op dêr't jo by útkaam binne, wylst it noch farsk is.
Skriuw dy folchoarder op, ynklusyf de resolver dy't by elke faze antwurdet. In wurkjende keatling dy't jo beskriuwe kinne oerlibbet de folgjende fernijing, wylst in wurkjende keatling dy't jo troch besykjen gearstald hawwe dermei ferdwynt. Foegje de datum en de ferzjes ta, sadat in lettere flater fergelike wurde kin mei in bekend-goede steat ynstee fan út it ûnthâld beargumintearre te wurden. Tsien rigels yn in tekstbestân sparje in jûn fan rieden.