מעגל Tor חדש מול החלפת שרת VPN: מה באמת משתנה
שינוי מעגל מזיז את נתיב Tor; החלפת שרת מזיזה את נקודת הקצה של המנהרה. איזה מהשניים משנה את הכתובת שהאתר רואה תלוי בסדר.
החלפת מעגל Tor והחלפת שרת VPN שתיהן מרגישות כמו קבלת נתיב חדש, אבל הן נשברות במקומות שונים כשמתייחסים אליהן כאל אותו כפתור. האחת מבקשת מלקוח Tor לבנות נתיב אחר לאתר; השנייה מבקשת מלקוח VPN להתחבר לנקודת קצה אחרת. אף אחת מהן אינה איפוס, והכתובת שהאתר רואה בסוף תלויה במי מהשניים קרוב יותר ליעד. כך אני מחליט באיזה בקרה להשתמש, ומה אני בודק אחר כך.
שתי פעולות בשתי שכבות שונות
Tor היא שכבת כיסוי. הלקוח בוחר ממסר שמירה, ממסר אמצעי וממסר יציאה, ואז מעביר זרמי TCP דרך המעגל הזה; היעד רואה את היציאה ושום דבר אחר. שינוי מעגל הוא החלטה בתוך Tor לגבי אילו ממסרים נושאים זרם.
VPN היא מנהרה מתחת. הלקוח בוחר נקודת קצה, עוטף את התעבורה בשכבה חיצונית, וכל מה שבא אחר כך רואה את כתובת נקודת הקצה. החלפת שרת היא החלטה היכן הנתיב החיצוני מסתיים.
כיוון שהשכבות עצמאיות, פעולה אחת יכולה להיות בלתי נראית בקצה הרחוק של החיבור. האסימטריה הזו מסבירה את רוב הבלבול סביב שתי הבקרות האלה.
מה עושה «מעגל Tor חדש לאתר הזה»
«מעגל Tor חדש לאתר הזה», בלוח מידע האתר, סוגר את הזרמים שTor נושא עבור אותו אתר ובונה מעגל חדש לבקשה הבאה. כרטיסיות, קוקיז, התחברויות ושאר ההפעלה נשארים בדיוק במקום שבו היו, וזה העניין: שומרים על ההפעלה ומחליפים את הנתיב.
זה הופך אותו לכלי הנכון לתקלה צרה: ממסר יציאה שהיעד חוסם, לולאת קפצ’ה שעוקבת אחרי היציאה, או אתר אחד שנתקע בזמן שכל האחרים בסדר. תצוגת המעגל באותו לוח מפרטת את שלושת הממסרים, כך שאפשר לאמת שהיציאה באמת השתנתה במקום להניח זאת.
שימו לב לשומר. Tor מחזיק קבוצה קטנה של שומרי כניסה, ושינוי מעגל בדרך כלל עושה שימוש חוזר באותו שומר, כך שהצעד הראשון ברשת לא זז. «זהות חדשה» היא האיפוס הגדול יותר: היא סוגרת כרטיסיות ומנקה את מצב הגלישה לפני בניית מעגל חדש, ומסיבה לכך בקרות הזהות מתועדות בנפרד: זו פעולה אחרת עם מחיר אחר.
מה עושה החלפת שרת VPN
הלקוח מפרק את המנהרה ומתחבר לנקודת קצה אחרת. הצעד הבא מחוץ למנהרה, בין אם מדובר בשומר Tor או ביעד עצמו, רואה כתובת מקור אחרת. חיבורים בתוך המנהרה נשברים וחייבים להיות מוקמים מחדש, כך שדפים יכולים להיתקע עד לפקיעת הזמן במקום להיטען מחדש בצורה נקייה.
שום דבר מעל המנהרה לא נכתב מחדש, אבל הפירוק אינו בלתי נראה. בהגדרה של VPN תחילה, היציאה עדיין נבחרת על ידי Tor, אך נפילת המנהרה הורגת את חיבורי ה-TCP שTor מחזיק לשומר שלו, ולכן Tor מפרק את המעגלים האלה ובונה חדשים, ובוחר שוב יציאה. האתר יכול אפוא לראות כתובת יציאה אחרת אחרי החלפה, למרות שההחלפה עצמה מעולם לא בחרה אחת. מה שההחלפה מחליטה הוא הכתובת שהשומר רואה; המעגל שנבנה מחדש הוא מה שבוחר את היציאה שוב. אם החלפתם שרתים רק כדי לשנות את מה שאתר רואה בזמן שTor מקדימה, הזזתם שכבה שהאתר אף פעם לא צופה בה ישירות, וכל שינוי שהאתר מבחין בו הגיע מהבנייה מחדש, לא מההחלפה.
החלפה גם משפיעה רק על הנתיב שהלקוח מחזיק בו. דפדפן שעושה שימוש חוזר בחיבור פתוח עשוי להיראות תקוע בנתיב הישן עד שיתחבר מחדש, ותשובת DNS שמורה במטמון היא הסיבה הנפוצה האחרת. טענו מחדש קודם, ואז שפטו.
הסדר קובע מה היעד רואה
שני הסדרים עונים על שאלות שונות. כשה-VPN לפני Tor, השומר והממסרים רואים את נקודת הקצה של ה-VPN בעוד היעד רואה את יציאת Tor. כשTor לפני ה-VPN, היעד רואה את נקודת הקצה של ה-VPN, כי המנהרה היא הדבר האחרון שהתעבורה עוברת דרכו.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
לכן בדיקת IP מדווחת מה היעד ראה, לא את הנתיב שנשא אותו. שירות שמציג את היציאה בהגדרה אחת ואת ה-VPN בשנייה מתנהג נכון, לא מדליף.
מה שאף אחת משתי הפעולות לא עושה
אף אחת מהן לא מוחקת זהות של חשבון. הפעלה מחוברת היא קוקי ועוד רשומה בצד השרת, ושינוי נתיב לא נוגע באף אחת מהן. פרופיל דפדפן יציב, אותה התחברות ואותה טביעת אצבע שורדים את שתי הפעולות.
אף אחת מהן גם אינה ראיה. אתר מדווח על כתובת שהוא הבחין בה במהלך בקשה; הוא לא יכול לדווח על נתיב הממסרים שלכם או אם ה-VPN שלכם נפל לפני עשר דקות. אם אתם צריכים את ציר הזמן הזה, רשמו אותו בזמן אמת, כי אי אפשר לשחזר אותו מהקצה הרחוק אחר כך.
התאימו את הבקרה לתסמין
התחילו ממה שנכשל, לא מכפתור שנראה יסודי יותר:
- אתר אחד חוסם אתכם, קפצ’ות מסתובבות, או אתר אחד איטי: מעגל חדש לאותו אתר.
- הגדרה של VPN בלבד צריכה כתובת גלויה אחרת: החליפו את השרת.
- ציפיתם ליציאה אבל האתר מדווח על ה-VPN שלכם: בדקו את הסדר, Tor נמצא מאחורי המנהרה.
- הכרטיסיות נסגרו והכול אופס: השתמשתם ב«זהות חדשה», לא בשינוי מעגל.
- היציאה נראית ללא שינוי אחרי שינוי מעגל: ממסרים יכולים לחזור באופן לגיטימי, והשומר לא יזוז בכלל.
רשמו את הפעולה ואת התסמין שהיא הייתה אמורה לתקן לפני שאתם משנים משהו אחר. שתי החלפות ברצף מייצרות השוואה שאי אפשר לפרש, וחזרה על שתיהן כשרק שכבה אחת מתנהגת רע היא הדרך שבה בדיקה של חמש דקות הופכת לצהריים שלמים.