VPN לפני Tor: מה הסדר באמת משנה

חיבור ה-VPN תחילה יוצר שרשרת מסוימת: מכשיר, נקודת קצה של VPN, כניסת Tor, מעגל Tor, יעד. הרשת המקומית שלך רואה חיבור מוצפן אחד ל-VPN, וצומת הכניסה של Tor רואה את יציאת ה-VPN כמקור מיידי במקום כתובת הספק שלך. מפעיל ה-VPN, לעומת זאת, רואה חיבורים לעבר תשתית הכניסה של Tor ויכול להסיק שימוש ב-Tor מהיעדים. כל צופה מפסיד משהו ומרוויח משהו, ולכן הסדר הוא חליפין ולא שדרוג.

שום דבר בשרשרת הזו לא משנה את מה שהאתר לומד מהחשבון, מקובצי העוגיות או מהפרטים שהקלדת.

מה הסדר משנה

הרשת המקומית וספק האינטרנט מאבדים את הראייה הישירה של תעבורת Tor, כי הקפיצה הראשונה היא כעת מנהרה מוצפנת לספק. שומר הכניסה של Tor מאבד את כתובת הבית שלך ורואה את יציאת ה-VPN. ספק ה-VPN מקבל את המטא-נתונים שהיו קודם לספק האינטרנט שלך: אילו כתובות אתה יוצר קשר איתן, באילו שעות וכמה נתונים עוברים.

מעבר לשומר הכניסה המעגל מתנהג כמו קודם. הממסרים עדיין מפרידים בין תפקידי הכניסה, האמצע והיציאה, וה-VPN לא רואה את התוכן הסופי יותר ממה שהספק שלך ראה.

אמת את המסלול שבאמת משמש

מנהרה מפוצלת היא הסיבה הרגילה לכך שהשרשרת המתוכננת אינה זו האמיתית.אם Tor Browser מוחרג מהמנהרה, או שפרופיל שני מנתב אחרת, שומר הכניסה רואה שוב את כתובת הספק בזמן שהממשק עדיין נראה מחובר. בדוק את המסלול ואת היציאה הנצפית ולא את הסמל.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

בקשת SOCKS דרך פורט 9150 נענית על ידי הלקוח של Tor Browser עצמו, כך שתשובת IsTor true מאשרת את המעגל של הדפדפן, לא שכל תוכנית אחרת משתמשת בו. כדאי לתעד את פלט הפותר כי DNS יכול לצאת במסלול שהמנהרה אינה מכסה. שמור את שני הפלטים עם חותמת זמן. הם קו הבסיס להשוואה הבאה.

השווה לבקשה ישירה ממסוף רגיל: אם גם היא מדווחת על Tor, משהו אחר מפנה את התעבורה והשרשרת אינה מה שהתכנון הניח.

שים לב מה קורה כשהמנהרה נופלת

לקוח שנופל בשקט בחזרה לממשק המקומי משנה את המקור ששומר הכניסה רואה, והמשתמש בדרך כלל לא יודע כי הדף עדיין נטען. זה הכשל ששווה לבדוק, לא המסלול השמח. נתק את המנהרה בכוונה וראה אם תעבורת Tor נעצרת או ממשיכה ללא הגנה.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

כללי חומת אש שחוסמים תעבורה יוצאת מחוץ למנהרה הם הבקרה החלופית האמינה היחידה, והם חייבים לכסות גם את לקוח ה-SOCKS של הדפדפן וגם כל תוכנית אחרת שחשובה לך. הרחבת דפדפן אינה VPN של מכשיר ואינה משפיעה על תוכניות אחרות או על צופים חיצוניים.

החלט אם השכבה הנוספת ראויה לאמון שלה

פרויקט Tor ממליץ לא לערום VPN מתחת ל-Tor אלא אם אתה יכול להעריך את ההגדרה בעצמך. הסיבה שהם מציינים היא התלות הנוספת: צד נוסף, חשבון נוסף ומצב כשל נוסף. אם המטרה היא למנוע מהספק שלך לראות שאתה משתמש ב-Tor, ה-VPN פונה בדיוק לאותו צופה. אם המטרה היא אנונימיות חזקה יותר מול צופה גלובלי, ה-VPN אינו מספק אותה.

קיים גם הסדר ההפוך, והשמות אינם ניתנים להחלפה:Tor over VPN ו-VPN over Tor מתארים יחסי אמון שונים והתנהגות כשל שונה. קרא את ההשוואה לפני שתערבב ביניהם.

רשום איזה צופה אתה מנסה להזיז, ואז אמת שהמסלול האמיתי תואם לתכנון, ואז אמת את התנהגות הכשל. אם שלוש התשובות האלה אינן מצדיקות את החשבון וההגדרה הנוספים, להגדרה המתועדת של Tor Browser יש פחות חלקים שאפשר לטעות בהם.