Tor relay nasuprot VPN poslužitelju: zašto nisu zamjenjivi

Imate adresu, port odgovara, a klijent je prihvaća bez prigovora. Ništa od toga ne čini Tor relay VPN endpointom, a pogreška je skupa jer se profil čisto uvozi i kasnije pada na handshakeu. Koristim četiri provjere ispod po redu; svaka ima uvjet zaustavljanja, a rano zaustavljanje je poanta. Ako prva provjera padne, ostale vam ne mogu pomoći.

Provjerite što port zapravo poslužuje

Otvoren port dokazuje prisutnost slušatelja, ništa više. ORPort relaya govori vlastitim Tor ćelijama nakon TLS handshakea, pa uspješna TLS provjera gotovo ništa ne govori o tome prihvaća li se tamo VPN protokol:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Čitajte certifikat, a ne činjenicu da postoji. Relayi predstavljaju samopotpisani certifikat s namjerno neupadljivim imenom, jer relay promet treba nalikovati običnom HTTPS-u; certifikat VPN poslužitelja nosi ime koje vaš profil očekuje. Ako druga strana nikada ne odgovori na prvi paket VPN protokola, nikakvo uređivanje profila neće promijeniti ishod.

Zaustavite se ovdje ako adresa ne završi handshake koji vaš klijent šalje. To je odgovor protokola, ne problem konfiguracije, i to je najčešći razlog zašto uvezeni profil zauvijek stoji na 'connecting'.

Provjerite ulogu relaya, a ne veličinu mreže

Uloge relaya rade različite poslove. Guard je prvi skok za klijente, srednji relay prosljeđuje krugove između drugih relaya, exit je onaj koji dotiče odredišta, a most je nejavna ulazna točka koja se dijeli kroz BridgeDB. Torov pojmovnik drži te definicije odvojenima, a dostupnost je dio svake uloge, dok dozvola da poslužujete proizvoljne klijente nije dio nijedne od njih.

Exit politika vrijedi čitanja jer je jedini dio koji nalikuje pravilu prosljeđivanja, i ona uređuje odredišta kojima exit dopušta izlaz, a ne klijente kojima se dopušta ulaz. Restriktivna exit politika koja blokira port 25 govori nešto o kontroli zloupotrebe odlaznog prometa, a ne o tome smijete li usmjeriti OpenVPN klijent na stroj.

Zaustavite se ako zaključujete iz reputacije: zato što relayi prosljeđuju promet, adresa mora prihvatiti vašu. Tor bira putanje kroz konsenzus i vlastiti protokol; VPN klijent nije sudionik i nema krug kojem bi se pridružio.

Provjerite je li SOCKS slušatelj lokalni ili javni

Torov klijent izlaže SOCKS sučelje za aplikacije na istom stroju, prema zadanim postavkama na loopbacku. Taj je slušatelj lokalna pogodnost, ne usluga koju relay nudi internetu, i tretirati ga kao javni proxy način je na koji ljudi završe s otvorenim relayem koji nisu namjeravali pokrenuti:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Adresa vezivanja je znak. SocksPort na 127.0.0.1:9050 radi svoj posao; onaj koji sluša na 0.0.0.0 i dostupan je izvana otvoreni je proxy, a Torove vlastite kontrole politike pristupa postoje upravo zato što je ta izloženost problem, a ne značajka.

Za aplikaciju kojoj treba Tor, usmjerite je na loopback port i pustite Tor da rješava imena, što radi oblik socks5h gore. Ne zamjenjujte adresu relaya tim portom; relay ne nudi sučelje koje vaša aplikacija traži.

Provjerite da VPN profil odgovara stvarnom endpointu

VPN profil je skup očekivanja: OpenVPN treba certifikat poslužitelja ili CA, klijentski certifikat i ključ, i obično TLS ključ, dok WireGuard treba javni ključ druge strane, endpoint i dopuštene IP adrese. Ništa od toga ne može se izvesti iz adrese i otvorenog porta, zato profil tako izgrađen pada na prvoj razmjeni, a ne pri povezivanju.

Kada vam predaju profil, provjerite ga prema endpointu koji kontrolirate ili pružatelju kojeg možete identificirati:

wg show
openvpn --config client.ovpn --verb 4

U OpenVPN zapisu greška TLS pregovaranja izravno imenuje nesklad; u wg show druga strana bez retka handshakea nikada nije završila nijedan. Oboje je informativnije od klijentova vrtećeg pokazatelja, i oboje upućuje na ključni materijal ili protokol, a ne na Tor.

Provjerite koja vam zaštita zapravo treba

Ovo je provjera koja odlučuje arhitekturu. Tor Browser vam daje izolaciju krugova i obranu od otiska prsta koju VPN ne daje; VPN mijenja adresu koju odredište vidi i autentificira vas kod pružatelja. Biranje između njih pitanje je modela prijetnji, ne kompatibilnosti, a njihovo miješanje daje postavku koja izgleda privatno i nije.

Lančano povezivanje ima redoslijed. VPN koji nosi Tor promet podržan je raspored, jer Torov klijent treba samo odlazni TCP. VPN klijent tuneliran unutar Tora nije ista stvar i nije ono što Tor klijent implementira, pa ne planirajte na temelju toga.

Prije nego što bilo što uvezete, potvrdite sve četiri:

• Port završava handshake vašeg protokola, ne samo TCP vezu.
• Znate ulogu hosta i ne tretirate prosljeđivanje kao dopuštenje.
• SOCKS slušatelj koji koristite je loopback i vaš, a ne javni port na tuđem relayu.
• Ključevi ili certifikati profila pripadaju endpointu na koji se povezujete.