Tor kilépési relay kontra VPN kilépési kiszolgáló: mit tud mindegyik
A Tor kilépési relay és a VPN kilépési kiszolgáló egyaránt egy nyilvános címet mutat, de másképp osztják meg a tudást. Hasonlítsa össze a láthatóságot, a lefedettséget és a portszabályt.
Mindkét felépítés egy nyilvános IP mögé rejti a címét, és egy webhely, amely kiírja a látott címet, nem tudja megkülönböztetni őket. A különbség az, hogy ki mit tud meg az úton, mennyi forgalmat takar a rendszer, és mely portok működhetnek. A Tor kilépési relay egy három relayből álló áramkör utolsó ugrása; a VPN kilépési kiszolgáló lezárja az alagútját, és maga hozza létre a kimenő kapcsolatot. Így döntöm el, melyik kell egy feladathoz, és mit ellenőrzök, mielőtt feltételezem, hogy az egyik úgy viselkedik, mint a másik.
Két útvonal, amely egy címnél ér véget
A Tor egy őrön, egy középső relayen és egy kilépésen keresztül épít áramkört, és rétegenként titkosítja a hasznos terhet, így minden relay csak a saját rétegét hámozza le. A kilépés hozza létre a szokásos TCP-kapcsolatot a céllal, ezért a cél a kilépés címét látja. Az ügyfele soha nem beszél közvetlenül a céllal, és az őr sem látja azt.
A VPN egy alagút egy végponthoz. Az üzemeltető kiszolgálója eltávolítja az alagutat, és megnyitja a kimenő kapcsolatot, így a cél is egyetlen címet lát, ezúttal az üzemeltetőét. A megfigyelhető eredmény ugyanaz; a tudás nem. Egy IP-t kiíró teszt megválaszolja, melyik rendszeren van, és semmit nem mond a bizalom azon megosztásáról, amely valóban különbözik.
Ki tud végül mit
A VPN végpont egy helyen látja a forráscímet, a célt, az időzítést és a mennyiséget. Ez a koncentráció a tervezés: egy üzemeltető, egy naplófelület, egy hely a megidézésre vagy a hibás beállításra. Minden, amit nyer, az iránta való bizalomból és a végpont kimenő szabályából származik.
A Tor megosztja ezt a tudást. Az őr ismeri a címét, de a célt nem; a kilépés ismeri a célt, de a címét nem. Egy relaynek nem kellene mindkettőt megtudnia. Ez szerkezeti tulajdonság, nem ígéret globális megfigyelő, időzítéseket összekapcsoló relay vagy kompromittált végpont ellen, ezért ugyanazon kockázat eltérő megosztásaként kezelje, ne olyan anonimitásként, amely nem tud meghiúsulni.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
A lefedettség böngésződöntés vagy útvonaldöntés
A Tor Browser a saját forgalmát irányítja, és olyan védelmeket ad hozzá, amelyeket egy általános VPN-kliens nem reprodukál: ujjlenyomat-ellenállás, első féltől származó elkülönítés, rögzített ablakméret és az Új identitás művelet, amely eldobja a munkamenet állapotát. Más alkalmazások nem használják ezt az áramkört, hacsak nincsenek erre beállítva, és a rendszerszintű Tor-beállítás külön projekt a böngésző telepítésétől.
A VPN ellentétes formájú. A lefedettség az útvonaltáblát követi, így a AllowedIPs = 0.0.0.0/0 beállítást tartalmazó WireGuard-profil mindent befog, a megosztott alagút listája pedig csak az általa megnevezett előtagokat. Ebben a mechanizmusban élnek a szivárgások is: a DNS-lekérdezések, az IPv6 és a WebRTC egyaránt olyan útvonalat vehetnek, amelyet az útvonalszabály nem tartalmazott. Annak az alkalmazásnak a belsejéből ellenőrizze, amely meghiúsult, ne egy böngészőlapon, amely esetleg más felületet használ.
Portszabály, blokkolt célok és HTTPS
A kilépési relay szabadon elutasíthat kimenő portokat, és az alapértelmezett szabály elutasítja a visszaélésre hajlamos portok listáját, köztük az SMTP 25-ös portot. Ezért a Toron keresztül beállított levelező kliens a kilépésnél meghiúsul, ami hálózati hibának tűnik, és nem az. A relayt üzemeltetők ezt kifejezetten beállítják:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25A célok is blokkolnak, és a két rendszert eltérően blokkolják. A Tor kilépési címek nyilvánosak, így egy webhely az egész listát elutasíthatja; a VPN végpontok adatközponti tartományokban vannak, amelyeket ugyanilyen könnyedén utasítanak el. Amikor egy oldal meghiúsul, bontsa szét a három jelöltet, mielőtt bármit módosítana: kilépési vagy kimenő szabály, a forrást elutasító cél, vagy az első kérést eltérítő captive portal.
Egyik rendszer sem helyettesíti a szállítási titkosítást. Az egyszerű HTTP a kilépési relayen és a VPN végponton egyaránt olvasható, ezért hagyja bekapcsolva a HTTPS-t, és olvassa el a tanúsítványfigyelmeztetést ahelyett, hogy elutasítaná. Két ellenőrzés gyorsan eldönti az útvonalkérdést: a curl -s https://check.torproject.org/api/ip IsTor eredményt ad, ha a kérés áramkörön haladt át, a curl -s https://ifconfig.me pedig a kimenő címet mutatja, amelyet egy VPN bemutatna. Mindkettő futtatása megmondja, melyik útvonalat használja a héj valójában.
Ne használja az egyiket a másik helyett
A kilépési relay címe nem VPN-profil. Az OpenVPN vagy WireGuard kliens 443-as porton lévő relayre irányítása nem hoz létre alagutat, mert ott nem figyel VPN-szolgáltatás; a relay egy ugrás valaki más áramkörében. A másik irányban a VPN végpont nem belépési pont a Tor számára, és a Tor Browser hídbeállításai nem hely a kereskedelmi VPN állomásnevének beillesztésére. Ha a Tor-t VPN fölött futtatja, az őr az Ön címe helyett a VPN címét látja, ami megváltoztatja a megosztást anélkül, hogy egyesítené a két szerepet.
Választás előtt válaszoljon négy kérdésre sorrendben: ki üzemelteti a végpontot, és mit őriz meg, mit takar az eszköz ezen az eszközön, mely portokat és célokat engedélyezi a kimenő szabály, és mit ad az alkalmazás a hálózati útvonalon túl. Egy feladat, amely sok programhoz szokásos hálózati hozzáférést igényel, VPN-t akar. Egy feladat, amely a böngészőszintű védelmeket és az áramkör-modellt igényli, Tor Browsert akar, naprakészen tartva. Ha a válasz „mindkettő”, futtassa őket megfontolt sorrendben, és írja le, melyik címet látja mindkét fél.