Tor sobre VPN: quen ve o teu IP e quen ve que usas Tor?

Conectas o cliente VPN, esperas o túnel e despois abres Tor Browser para que constrúa un circuíto. Esa secuencia tan corrente é a que decide quen ve que. Nesa orde o relé de entrada de Tor saúda o enderezo de saída da túa VPN, e o teu provedor de VPN saúda un relé de garda público. Faino ao revés e ambos os observadores cambian. Paga a pena percorrer ambas as ordes, porque a configuración do cliente rompe en silencio a secuencia que a xente cría establecida, e a comprobación que o detecta é a mesma nos dous casos.

Comeza pola orde, non polo produto

Dúas disposicións chámanse «VPN con Tor», e só a primeira é habitual. Con Tor sobre VPN, o túnel xa está levantado cando arranca Tor, así que o proceso tor envía a súa conexión de garda dentro do túnel como calquera outro tráfico saínte. Con VPN sobre Tor, primeiro arranca Tor e a propia sesión VPN viaxa polo circuíto, chegando ao provedor desde unha saída de Tor.

O que cambia entre elas é que enderezo ocupa o extremo máis afastado da ligazón máis externa. Cada observador só ve o salto anterior, nunca a ruta completa: a garda ve quen se conectou con ela, e o servidor VPN ve quen se conectou con el. Tor non transporta cara a fóra o enderezo local do teu túnel, e non hai ningún campo no protocolo onde puidese facelo.

En ambas as ordes o sitio de destino segue vendo unha saída de Tor, e ningunha orde cambia o que ese sitio aprende do teu inicio de sesión. A diferenza limítase aos dous bordos.

Que ve o relé de entrada de Tor

A entrada, ou garda, acepta unha conexión TCP corrente nun porto de relé e comeza un intercambio TLS co cliente. Nunha configuración de Tor sobre VPN, a orixe desa conexión é a túa saída VPN. Nunha configuración con Tor primeiro, é o enderezo que usou a túa máquina para chegar á rede Tor, normalmente a túa conexión de casa.

Iso responde á metade da pregunta sobre o IP, pero só se o túnel levou realmente a conexión. O proceso Tor chega á garda co seu propio socket, e ese socket non se rexe pola configuración de proxy de Tor Browser. O navegador fala co proceso tor incluído mediante SOCKS no 9150, e despois tor abre a súa propia conexión usando a táboa de encamiñamento do núcleo. Unha liña Socks5Proxy en torrc, ou un transporte de cliente, cambian esa ruta. Nada máis o fai.

En Linux podes ler a resposta na propia máquina. Pregúntalle ao núcleo que interface usaría para un enderezo público calquera, e despois mira o enderezo local da conexión establecida:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Se a ruta di dev wg0 ou dev tun0, e o enderezo local da conexión establecida é o enderezo do túnel, Tor está dentro da VPN. Se a ruta nomea a túa interface física, está fóra, diga o que diga o indicador do cliente.

Que pode ver o teu provedor de VPN

O provedor termina a túa sesión VPN, así que ve os enderezos aos que te conectas. Os enderezos dos relés de garda publícanse no consenso público e os seus portos son ben coñecidos, así que emparellar un é unha busca nunha lista, non unha inspección profunda de paquetes. Un provedor non necesita romper Tor para saber que unha sesión é Tor.

O que non ve é o resto do circuíto. O relé intermedio e a saída elixen dentro de Tor, e o provedor só manexa a ligazón coa garda. O contido da páxina permanece dentro do TLS que termina na saída, e a resolución de nomes para o tráfico de Tor tamén ocorre na saída, así que non hai ningunha consulta DNS no provedor que correlacionar cun destino.

As pontes con obfs4 cambian a busca, non a topoloxía. O enderezo dunha ponte falta na lista pública de relés e o tráfico moldease para non parecer Tor, así que un operador que só compara enderezos non o marcará. A sesión segue vindo do teu cliente VPN, e o provedor segue vendo un extremo, un volume e un horario.

A capacidade non é unha política de retención

Un operador que pode observar unha conexión non prometeu conservala. O rexistro é unha decisión aparte, escrita nunha política, limitada pola xurisdición e comprobable só con probas nas que xa confías. A etiqueta de sen rexistros non cambia o papel de rede descrito arriba.

A identidade da conta adoita importar máis que o enderezo de saída. Se iniciaste sesión cun enderezo de correo ou pagaches con tarxeta, o provedor pode vincular a sesión contigo sen rexistrar un só destino. Rotar os IP de saída non fai nada ao respecto.

Comproba a cobertura antes de confiar en calquera das dúas respostas

A maioría de quen cre que executa Tor sobre VPN executa só unha parte. O encamiñamento dividido que exclúe Tor Browser, un interruptor de seguridade que cobre o navegador pero non o servizo tor, unha unidade de arranque que se executa antes de que o túnel estea levantado e unha ruta IPv6 que rodea o túnel son os catro habituais.

Ler a pantalla de estado do cliente non proba ningún deles. A proba que si o fai: deixa Tor Browser en marcha, baixa o túnel e observa se a conexión de garda sobrevive na interface física.

A orde na que comprobo, deténdome no primeiro fallo:

• ip route get 203.0.113.10 devolve o dispositivo do túnel.
• ss -tnp | grep -i tor mostra a conexión de garda cun enderezo local do túnel.
• ip -6 route non ten ruta por defecto fóra do túnel, ou IPv6 está desactivado no cliente.
• Baixar a VPN termina ou redirixe a conexión de tor en vez de deixala na ligazón física.

Que orde encaixa co que defendes

Ambas as ordes ocultan algo e expoñen algo, así que a resposta é unha elección sobre o observador que te importa.

Léoo por columnas ata que unha fila coincida co que intentas evitar. Se a preocupación é unha rede local ou un provedor de acceso que rexistra ou bloquea Tor, Tor sobre VPN resólveo. Se a preocupación é que o operador da VPN coñeza o teu enderezo de casa, VPN sobre Tor resólveo, e paga por iso expoñendo o uso de Tor á túa propia rede e o enderezo de casa á garda.

Ningunha das dúas disposicións deixa os dous bordos cegos. Engadir un observador non elimina outro. A nota do Tor Project sobre executar unha VPN con Tor di o mesmo desde o outro lado: o túnel cambia en quen se confía e que rutas de fallo existen, así que non é unha mellora que se engada sen decidir que querías ocultar.

Decide primeiro o observador, elixe despois a orde e verifica con ip route get e ss en lugar de co indicador do cliente. Se o observador é alguén que pode obrigar o propio provedor de VPN, ningunha elección de orde o arranxa.