Tor preko VPN-a: ko vidi vašu IP adresu i ko vidi da koristite Tor?

Povežete VPN klijent, pričekate tunel, zatim otvorite Tor Browser i pustite ga da izgradi krug. Taj običan slijed odlučuje tko što vidi. U tom redoslijedu Tor ulazni relej pozdravlja adresu vašeg VPN izlaza, a vaš VPN pružatelj pozdravlja javni guard relej. Učinite obrnuto i oba se promatrača mijenjaju. Oba redoslijeda vrijedi proći, jer postavke klijenta tiho lome slijed za koji su ljudi vjerovali da postoji, a provjera koja to hvata ista je u oba slučaja.

Počnite s redoslijedom, ne s proizvodom

Dva se rasporeda nazivaju „VPN s Torom“, a samo je prvi uobičajen. Kod Tora preko VPN-a tunel je već podignut kada Tor starta, pa tor proces šalje svoju vezu prema guardu u tunel kao i svaki drugi izlazni promet. Kod VPN-a preko Tora prvo se diže Tor i sama VPN sesija putuje kroz krug, stižući do pružatelja s Tor izlaza.

Ono što se mijenja između njih je koja adresa stoji na daljem kraju najvanjskije veze. Svaki promatrač vidi samo prethodni skok, nikada cijelu putanju: guard vidi onoga tko se s njim povezao, a VPN poslužitelj vidi onoga tko se s njim povezao. Tor ne nosi vašu lokalnu adresu tunela prema van i u protokolu nema polja gdje bi to mogao.

U oba redoslijeda odredišno web-mjesto još uvijek vidi Tor izlaz i nijedan redoslijed ne mijenja ono što to mjesto nauči iz vaše prijave. Razlika je ograničena na dva ruba.

Što vidi Tor ulazni relej

Ulaz, ili guard, prihvaća običnu TCP vezu na relejnom portu i započinje TLS rukovanje s klijentom. U postavci Tor preko VPN-a izvor te veze je vaš VPN izlaz. U postavci Tor prvi to je adresa koju je vaše računalo koristilo da dosegne Tor mrežu, obično vaša kućna veza.

To odgovara na IP polovicu pitanja, ali samo ako je tunel doista prenio vezu. Tor proces doseže guard svojim vlastitim socketom, a taj socket nije pod kontrolom proxy postavki Tor Browsera. Preglednik razgovara s ugrađenim tor procesom preko SOCKS-a na 9150, a tor zatim otvara vlastitu vezu koristeći kernel tablicu usmjeravanja. Linija Socks5Proxy u torrc-u, ili klijentski transport, mijenja tu putanju. Ništa drugo.

Na Linuxu odgovor možete pročitati s računala. Pitajte kernel koji bi interfejs koristio za proizvoljnu javnu adresu, zatim pogledajte lokalnu adresu uspostavljene veze:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ako ruta kaže dev wg0 ili dev tun0, a lokalna adresa na uspostavljenoj vezi je adresa tunela, Tor je unutar VPN-a. Ako ruta navodi vaš fizički interfejs, on je izvana, što god tvrdio klijentov vlastiti indikator.

Što može vidjeti vaš VPN pružatelj

Pružatelj završava vašu VPN sesiju, pa vidi adrese s kojima se povezujete. Adrese guard releja objavljuju se u javnom konsenzusu i njihovi su portovi dobro poznati, pa je uparivanje pretraga popisa, a ne duboka inspekcija paketa. Pružatelj ne mora slomiti Tor da bi znao da je sesija Tor.

Ono što ne vidi je ostatak kruga. Srednji relej i izlaz biraju se unutar Tora, a pružatelj obrađuje samo vezu do guarda. Sadržaj stranice ostaje unutar TLS-a koji završava na izlazu, a razrješavanje imena za Tor promet također se događa na izlazu, pa nema DNS upita kod pružatelja koji bi se mogao povezati s odredištem.

Mostovi s obfs4 mijenjaju pretragu, ne topologiju. Adresa mosta nema na javnom popisu releja i promet se oblikuje da ne izgleda kao Tor, pa ga operater koji samo uspoređuje adrese neće označiti. Sesija i dalje dolazi s vašeg VPN klijenta, a pružatelj i dalje vidi jednu krajnju točku, jedan obujam i jedan raspored.

Sposobnost nije politika zadržavanja

Operater koji može promatrati vezu nije obećao da će je čuvati. Logiranje je zasebna odluka, zapisana u politici, ograničena jurisdikcijom i provjerljiva samo kroz dokaze kojima već vjerujete. Oznaka bez logova ne mijenja mrežnu ulogu opisanu gore.

Identitet računa obično je važniji od adrese izlaza. Ako ste se prijavili e-mail adresom ili platili karticom, pružatelj može vezati sesiju za vas bez logiranja ijednog odredišta. Rotiranje izlaznih IP adresa ne čini ništa u vezi s tim.

Provjerite pokrivenost prije nego što povjerujete bilo kojem od dva odgovora

Većina ljudi koji vjeruju da vrte Tor preko VPN-a vrti samo dio toga. Split tunneling koji isključuje Tor Browser, kill switch koji pokriva preglednik ali ne i tor uslugu, startup jedinica koja se pokreće prije nego što je tunel podignut, i IPv6 putanja oko tunela uobičajene su četiri.

Čitanje klijentovog ekrana stanja ne testira nijednu od njih. Test koji to radi: ostavite Tor Browser da radi, spustite tunel i gledajte preživljava li veza s guardom na fizičkom interfejsu.

Redoslijed u kojem provjeravam, zaustavljajući se na prvom neuspjehu:

• ip route get 203.0.113.10 vraća tunel uređaj.
• ss -tnp | grep -i tor prikazuje vezu s guardom s lokalnom adresom tunela.
• ip -6 route nema zadanu rutu izvan tunela, ili je IPv6 isključen u klijentu.
• Isključivanje VPN-a prekida ili preusmjerava tor vezu umjesto da je ostavi na fizičkoj vezi.

Koji redoslijed odgovara onome što branite

Oba redoslijeda nešto skrivaju i nešto otkrivaju, pa je odgovor izbor o promatraču do kojeg vam je stalo.

Čitajte po stupcu dok red ne odgovori onome što pokušavate spriječiti. Ako je briga lokalna mreža ili ISP koji bilježi ili blokira Tor, Tor preko VPN-a to rješava. Ako je briga da VPN operater sazna vašu kućnu adresu, VPN preko Tora to rješava i plaća za to izlažući korištenje Tora vašoj vlastitoj mreži, a kućnu adresu guardu.

Nijedan raspored ne ostavlja oba ruba slijepa. Dodavanje promatrača ne uklanja drugoga. Napomena Tor Projecta o pokretanju VPN-a s Torom kaže istu stvar s druge strane: tunel mijenja kome se vjeruje i koje putanje kvara postoje, pa nije nadogradnja koju dodajete bez odluke o tome što ste htjeli sakriti.

Prvo odlučite o promatraču, drugo birajte redoslijed i provjeravajte s ip route get i ss, a ne s klijentovim indikatorom. Ako je promatrač netko tko može prisiliti samog VPN pružatelja, nikakav izbor redoslijeda to ne ispravlja.