Novo circuíto de Tor fronte ao cambio de servidor VPN: que cambia de verdade
Cambiar o circuíto move a ruta de Tor; cambiar de servidor move o extremo do túnel. Cal dos dous cambia o enderezo que ve un sitio depende da orde.
Cambiar un circuíto de Tor e cambiar de servidor VPN séntense ambos como obter unha ruta nova, pero rompen en lugares distintos cando os tratas como o mesmo botón. Un pide ao cliente de Tor que constrúa outra ruta para un sitio; o outro pide ao cliente VPN que se conecte a outro extremo. Ningún é un reinicio, e o enderezo que un sitio acaba vendo depende de cal dos dous está máis preto do destino. Así decido que control usar e que comprobo despois.
Dúas operacións en dúas capas distintas
Tor é unha capa superposta. O cliente escolle un relé gardián, un relé intermedio e un relé de saída, e despois leva fluxos TCP por ese circuíto; o destino ve a saída e nada máis. Un cambio de circuíto é unha decisión dentro de Tor sobre que relés levan un fluxo.
Unha VPN é un túnel por debaixo. O cliente escolle un extremo, envolve o tráfico nunha capa exterior, e o que veña despois ve o enderezo do extremo. Un cambio de servidor é unha decisión sobre onde remata a ruta exterior.
Como as capas son independentes, unha operación pode ser invisible no extremo afastado da conexión. Esa asimetría explica a maior parte da confusión arredor destes dous controis.
Que fai «Novo circuíto de Tor para este sitio»
«Novo circuíto de Tor para este sitio», no panel de información do sitio, pecha os fluxos que Tor leva para ese sitio e constrúe un circuíto novo para a seguinte petición. As lapelas, as cookies, os inicios de sesión e o resto da sesión quedan exactamente onde estaban, e esa é a idea: conservas a sesión e cambias a ruta.
Iso convérteo na ferramenta axeitada para un fallo concreto: un relé de saída que o destino bloquea, un bucle de captcha que segue a saída, ou un sitio que se atasca mentres todos os demais van ben. A vista do circuíto nese mesmo panel lista os tres relés, así que podes confirmar que a saída cambiou de verdade en lugar de supoñelo.
Vixía o gardián. Tor mantén un conxunto pequeno de gardiáns de entrada, e un cambio de circuíto normalmente reutiliza o mesmo gardián, así que o primeiro salto na rede non se move. Nova identidade é o reinicio maior: pecha lapelas e borra o estado de navegación antes de construír un circuíto novo, e os controis de identidade están documentados á parte por unha razón: é outra operación con outro custo.
Que fai un cambio de servidor VPN
O cliente derruba o túnel e conéctase a outro extremo. O seguinte salto fóra do túnel, sexa un gardián de Tor ou o propio destino, ve un enderezo de orixe distinto. As conexións dentro do túnel rompen e deben restablecerse, así que as páxinas poden quedar colgadas ata esgotar o tempo en vez de recargarse limpiamente.
Nada por riba do túnel se reescribe, pero o derrubamento non é invisible. Nunha configuración coa VPN diante, a saída ségea escollendo Tor, pero ao caer o túnel morren as conexións TCP que Tor mantén co seu gardián, así que Tor derruba eses circuítos e constrúe outros, volvendo escoller unha saída. O sitio pode ver, por tanto, outro enderezo de saída tras un cambio, aínda que o cambio en si nunca escolleu ningún. O que o cambio decide é o enderezo que ve o gardián; o circuíto reconstruído é o que volve escoller a saída. Se cambiaches servidores só para cambiar o que ve un sitio mentres Tor está diante, moviches unha capa que o sitio nunca observa directamente, e calquera cambio que note veu da reconstrución, non do cambio.
Un cambio ademais só afecta a ruta que posúe o cliente. Un navegador que reutiliza unha conexión aberta pode parecer atascado na ruta antiga ata que se reconecta, e unha resposta DNS en caché é a outra causa habitual. Recarga primeiro, logo xulga.
A orde decide que ve o destino
As dúas ordes responden preguntas distintas. Coa VPN diante de Tor, o gardián e os relés ven o extremo da VPN mentres o destino ve a saída de Tor. Con Tor diante da VPN, o destino ve o extremo da VPN, porque o túnel é o último por onde pasa o tráfico.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Así, unha consulta de IP informa do que viu o destino, non da ruta que o levou. Un servizo que mostra a saída nunha configuración e a VPN na outra compórtase correctamente, non filtra.
Que non fai ningunha das dúas operacións
Ningunha borra a identidade dunha conta. Unha sesión iniciada é unha cookie máis un rexistro no servidor, e cambiar unha ruta non toca ningunha das dúas. Un perfil de navegador estable, o mesmo inicio de sesión e a mesma pegada sobreviven a ambas accións.
Ningunha é proba tampouco. Un sitio informa dun enderezo que observou durante unha petición; non pode informar da túa ruta de relés nin de se a túa VPN caeu hai dez minutos. Se necesitas esa cronoloxía, apúntaa no momento, porque despois non se pode reconstruír desde o extremo afastado.
Emparella o control co síntoma
Comeza polo que fallou, non por que botón parece máis completo:
- Un sitio bloquéate, os captchas dan voltas ou un só sitio vai lento: circuíto novo para ese sitio.
- Unha configuración só con VPN necesita outro enderezo visible: cambia o servidor.
- Esperabas unha saída pero o sitio informa da túa VPN: revisa a orde, Tor está detrás do túnel.
- Lapelas pechadas e todo reiniciado: usaches Nova identidade, non un cambio de circuíto.
- A saída parece igual tras un cambio de circuíto: os relés poden repetirse lexitimamente, e o gardián non se moverá en absoluto.
Apunta a acción e o síntoma que debía corrixir antes de cambiar nada máis. Dous cambios seguidos producen unha comparación que non se pode interpretar, e repetir ambos cando só unha capa se comporta mal é como unha comprobación de cinco minutos se converte nunha tarde enteira.