VPN דרך Tor: קודם בדיקת התעבורה

Tor תחילה פירושו שקליינט ה-VPN יושב מאחורי פרוקסי SOCKS, ולכן המנהרה עצמה נבנית דרך Tor ותעבורת היישומים יוצאת מנקודת הקצה של ה-VPN. זהו סדר מסוים אחד, והוא לא מה שרוב האנשים בונים. פתיחת Tor Browser לצד קליינט VPN רגיל אינה מכריחה אף אחד משני התוכנות להשתמש במסלול של האחר.

עברו על הבדיקות לפי הסדר. כל אחת מחליטה אם כדאי להתחיל את הבאה.

איזה סדר אתם בונים בפועל

שני סדרים מתבלבלים באותה שיחה. Tor תחילה פירושו שקליינט ה-VPN מגיע לשרת שלו דרך פרוקסי SOCKS, ולכן המנהרה נבנית מעל Tor. VPN תחילה פירושו שתעבורת Tor יוצאת דרך המנהרה, וזה מה שרוב האנשים בונים בטעות ואז מתארים כסדר האחר. הראשון מרכז את גבול ההעברה אצל מפעיל ה-VPN, השני מרכז אותו בכניסה וביציאה של Tor. אף אחד מהם אינו מה שמקבלים כשמשאירים את שתי התוכנות פתוחות בו-זמנית.

רשמו איזה סדר המשימה דורשת לפני שמגדירים משהו, כי השניים דורשים הגדרות תוכנה שונות ונכשלים במקומות שונים. סדר שמתויג בטעות שולח אתכם לנפות את השכבה הלא נכונה במשך שעה. כל מה שלהלן מניח Tor תחילה.

בדקו את התעבורה לפני כל דבר אחר

ממשק ה-SOCKS של Tor מעביר זרמי TCP ואינו מספק שיוך UDP כללי. VPN שהתעבורה שלו היא UDP אינו יכול להתייחס לפרוקסי הזה כממשק רשת רגיל, ושום הגדרת קליינט לא משנה מה הפרוקסי מוכן להעביר. WireGuard בצורתו הרגילה הוא הקורבן הברור. פרופיל OpenVPN במצב TCP הוא הפתרון המקובל, ועדיין צריך לומר לו במפורש להשתמש בפרוקסי.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

ודאו שהפרוקסי מאזין ויכול להעביר בקשה אחת פשוטה ב-HTTPS לפני שאתם מנפים מנהרה דרכו. אם הבקשה הפשוטה נכשלת, קליינט ה-VPN לעולם לא יצליח והרשומות שלו לא יגידו לכם למה.

שכתבו את מפת הצופה

הכניסה של Tor יכולה לראות את המקור שמתחבר אל Tor אלא אם משהו קודם שינה אותו, ולכן הקפיצה הזו לומדת את הכתובת שלכם. ספק ה-VPN מקבל חיבור שמגיע מצד Tor אבל עדיין עשוי לדעת חשבון, רשומת תשלום או אישור ששלחתם בתוך המנהרה. היעדים שאליהם מגיעים דרך ה-VPN רואים את היציאה שלו ולא את היציאה של Tor, וזה מרכז את גבול ההעברה הסופי אצל מפעיל אחד.

הוא גם אינו יוצר מחדש מסלול מבוזר לכל יעד. Tor Browser בונה מעגל חדש לכל אתר; VPN שנישא דרך Tor בונה מנהרה אחת, וכל אתר שמאחוריה חולק את נקודת הקצה הזו. התייחסו להבדל כעובדת תכנון ולא כמגבלה שיש להסיר.

ספרו את שכבות הכשל כשזה נשבר

להגדרה שבורה יש לפחות ארבע שכבות בלתי תלויות: חיבור ה-SOCKS, לחיצת היד TLS עם שרת ה-VPN, לחיצת היד של ה-VPN עצמו, ואז ניתוב או פתרון שמות בתוך המנהרה. כל אחת נכשלת בסימפטום אחר וכל אחת זקוקה לתיקון אחר. הרפיה של בדיקות התעודה מפני שהמנהרה לא עולה היא האבחון השגוי הקלאסי, והיא הופכת בעיית תעבורה לבעיית אבטחה.

תעדו את השכבה הראשונה שנכשלת ועצרו שם. סירוב פרוקסי ומפתח שנדחה אינם וריאציות של אותו אירוע.

עצרו אם מודל האיומים דורש את ההגנות של Tor Browser

ניתוב יישומים שרירותיים דרך VPN שנישא על ידי Tor אינו מעניק לאותם יישומים את תכונות טביעת האצבע והבידוד של Tor Browser. החשבונות, המזהים והתנהגות הרשת שלהם עצמם נשארים רלוונטיים, ומנהרה אינה מנרמלת אף אחד מהם. אם המטרה היא דפדפן שמתמזג עם משתמשים אחרים, הסדר הזה אינו מספק אותה.

פרויקט Tor עצמו מזהיר מפני שילובים שמשתמשים אינם יכולים להגדיר נכון, וזה חל על רוב האנשים. זהו תכנון מכוון למודל איומים צר, לא קיצור דרך לתעבורה אנונימית של המכשיר כולו.