Tor על גבי VPN: מי רואה את ה-IP שלך, ומי רואה שאתה משתמש ב-Tor?
ב-Tor על גבי VPN, ממסר הכניסה רואה את יציאת ה-VPN שלך, והספק שלך רואה ממסר שמירה. הפוך את הסדר ושני הצופים משתנים.
אתה מחבר את לקוח ה-VPN, ממתין למנהרה, ואז פותח את Tor Browser ונותן לו לבנות מעגל. דווקא הרצף השגרתי הזה קובע מי רואה מה. בסדר הזה ממסר הכניסה של Tor מברך את כתובת היציאה של ה-VPN שלך, וספק ה-VPN שלך מברך ממסר שמירה ציבורי. עשה זאת בסדר ההפוך ושני הצופים משתנים. כדאי לעבור על שני הסדרים, כי הגדרות הלקוח שוברות בשקט את הרצף שאנשים האמינו שקיים, והבדיקה שתופסת זאת זהה בשני המקרים.
התחל מהסדר, לא מהמוצר
שני סידורים נקראים «VPN עם Tor», ורק הראשון נפוץ. ב-Tor על גבי VPN המנהרה כבר פעילה כש-Tor מתחיל, ולכן תהליך tor שולח את חיבור השמירה שלו לתוך המנהרה כמו כל תעבורה יוצאת אחרת. ב-VPN על גבי Tor, Tor עולה קודם והפעלת ה-VPN עצמה עוברת במעגל ומגיעה לספק מיציאת Tor.
מה שמשתנה ביניהם הוא איזו כתובת עומדת בקצה הרחוק של החוליה החיצונית ביותר. כל צופה רואה רק את הקפיצה הקודמת, אף פעם לא את כל הנתיב: השמירה רואה מי התחבר אליה, ושרת ה-VPN רואה מי התחבר אליו. Tor לא נושא את כתובת המנהרה המקומית שלך החוצה, ואין שדה בפרוטוקול שבו הוא יכול לעשות זאת.
בשני הסדרים אתר היעד עדיין רואה יציאת Tor, ושני הסדרים לא משנים את מה שהאתר הזה לומד מההתחברות שלך. ההבדל מוגבל לשני הקצוות.
מה רואה ממסר הכניסה של Tor
הכניסה, או השמירה, מקבלת חיבור TCP רגיל בפורט ממסר ומתחילה לחיצת יד TLS עם הלקוח. בהגדרת Tor על גבי VPN מקור החיבור הזה הוא יציאת ה-VPN שלך. בהגדרת Tor קודם זה הכתובת שהמכונה שלך השתמשה בה כדי להגיע לרשת Tor, בדרך כלל החיבור הביתי שלך.
זה עונה על חצי שאלת ה-IP, אבל רק אם המנהרה באמת נשאה את החיבור. תהליך Tor מגיע לשמירה עם שקע משלו, והשקע הזה לא כפוף להגדרות הפרוקסי של Tor Browser. הדפדפן מדבר עם תהליך tor המצורף דרך SOCKS בפורט 9150, ואז tor פותח חיבור משלו באמצעות טבלת הניתוב של הליבה. שורת Socks5Proxy ב-torrc, או תעבורת לקוח, משנה את הנתיב הזה. שום דבר אחר.
ב-Linux אפשר לקרוא את התשובה מהמכונה. שאל את הליבה באיזה ממשק היא תשתמש עבור כתובת ציבורית שרירותית, ואז הבט בכתובת המקומית של החיבור שנוצר:
ip route get 203.0.113.10
sudo ss -tnp | grep -i torאם הנתיב אומר dev wg0 או dev tun0, והכתובת המקומית בחיבור שנוצר היא כתובת המנהרה, Tor נמצא בתוך ה-VPN. אם הנתיב נוקב בשם הממשק הפיזי שלך, הוא בחוץ, יהיה אשר יהיה מה שהמחוון של הלקוח טוען.
מה ספק ה-VPN שלך יכול לראות
הספק מסיים את הפעלת ה-VPN שלך, ולכן הוא רואה את הכתובות שאליהן אתה מתחבר. כתובות ממסרי השמירה מתפרסמות בקונצנזוס הציבורי והפורטים שלהן ידועים, ולכן התאמה שלהן היא חיפוש ברשימה ולא בדיקה עמוקה של מנות. ספק לא צריך לשבור את Tor כדי לדעת שהפעלה היא Tor.
מה שהוא לא רואה זה שאר המעגל. הממסר האמצעי והיציאה נבחרים בתוך Tor, והספק מטפל רק בחוליה אל השמירה. תוכן העמוד נשאר בתוך TLS שמסתיים ביציאה, וגם פתרון השמות לתעבורת Tor קורה ביציאה, ולכן אין שאילתת DNS אצל הספק שאפשר לקשר ליעד.
גשרים עם obfs4 משנים את החיפוש, לא את הטופולוגיה. כתובת גשר חסרה ברשימת הממסרים הציבורית והתעבורה מעוצבת כך שלא תיראה כמו Tor, ולכן מפעיל שרק משווה כתובות לא יסמן אותה. ההפעלה עדיין מגיעה מלקוח ה-VPN שלך, והספק עדיין רואה נקודת קצה אחת, נפח אחד ולוח זמנים אחד.
יכולת אינה מדיניות שמירה
מפעיל שיכול לצפות בחיבור לא הבטיח לשמור אותו. תיעוד הוא החלטה נפרדת, כתובה במדיניות, מוגבלת בתחום שיפוט וניתנת לבדיקה רק באמצעות ראיות שאתה כבר סומך עליהן. תווית ללא לוגים לא משנה את תפקיד הרשת שתואר למעלה.
זהות החשבון חשובה בדרך כלל יותר מכתובת היציאה. אם נכנסת עם כתובת דואר אלקטרוני, או שילמת בכרטיס, הספק יכול לקשור את ההפעלה אליך בלי לתעד אף יעד אחד. החלפת כתובות IP של יציאה לא עושה דבר בנוגע לזה.
בדוק כיסוי לפני שאתה סומך על אחת משתי התשובות
רוב האנשים שמאמינים שהם מריצים Tor על גבי VPN מריצים רק חלק ממנו. מנהרה מפוצלת שמחריגה את Tor Browser, מתג הרג שמכסה את הדפדפן אבל לא את שירות tor, יחידת אתחול שרצה לפני שהמנהרה עולה, ונתיב IPv6 שעוקף את המנהרה הם ארבעת המקרים הרגילים.
קריאת מסך המצב של הלקוח לא בודקת אף אחד מהם. הבדיקה שכן עושה זאת: השאר את Tor Browser פועל, הורד את המנהרה ובדוק אם חיבור השמירה שורד בממשק הפיזי.
הסדר שבו אני בודק, ועצור בכשל הראשון:
ip route get 203.0.113.10מחזיר את התקן המנהרה.ss -tnp | grep -i torמציג את חיבור השמירה עם כתובת מקומית של מנהרה.ip -6 routeאין לו נתיב ברירת מחדל מחוץ למנהרה, או ש-IPv6 כבוי בלקוח.- הורדת ה-VPN מסיימת או מנתבת מחדש את חיבור tor במקום להשאיר אותו בקישור הפיזי.
איזה סדר מתאים למה שאתה מגן עליו
שני הסדרים מסתירים משהו וחושפים משהו, ולכן התשובה היא בחירה לגבי הצופה שאכפת לך ממנו.
| Observer | Tor over VPN | VPN over Tor |
|---|---|---|
| Your ISP or local network | Sees a VPN connection, not Tor | Sees a Tor guard connection |
| Your VPN provider | Sees Tor use, and your home address | Sees a Tor exit as the client, not your home address |
| Tor entry relay | Sees the VPN exit | Sees your home address |
| Destination website | Sees a Tor exit | Sees a Tor exit |
קרא לפי עמודות עד ששורה מתאימה למה שאתה מנסה למנוע. אם החשש הוא רשת מקומית או ספק אינטרנט שמתעד או חוסם את Tor, Tor על גבי VPN מטפל בכך. אם החשש הוא שמפעיל ה-VPN ילמד את כתובת הבית שלך, VPN על גבי Tor מטפל בכך, ומשלם על זה בכך שהוא חושף את השימוש ב-Tor לרשת שלך ואת כתובת הבית לשמירה.
אף סידור לא משאיר את שני הקצוות עיוורים. הוספת צופה לא מסירה אחר. ההערה של Tor Project על הרצת VPN עם Tor אומרת את אותו הדבר מהכיוון השני: המנהרה משנה במי בוטחים ואילו נתיבי כשל קיימים, ולכן זה לא שדרוג שמוסיפים בלי להחליט מה רצית להסתיר.
החלט קודם על הצופה, בחר שני את הסדר, ואמת עם ip route get ו-ss ולא עם המחוון של הלקוח. אם הצופה הוא מישהו שיכול לכפות על ספק ה-VPN עצמו, שום בחירת סדר לא מתקנת את זה.