VPN a Torba, Tor a VPN-be: miért szakad el a lánc
Amikor egy VPN-t, a Tort és egy proxyt egymásra rétegezünk, a sorrend dönti el, mi oldódik fel és mi kerül továbbításra. Találja meg az első elszakadt határt, mielőtt mindhármat megváltoztatja.
Egy VPN, a Tor és egy alkalmazásproxy egymásra rétegzése a magánszféra megsokszorozásának tűnik, valójában megsokszorozza azoknak a helyeknek a számát, ahol egy kapcsolat meghalhat. A szokásos eredmény egy pörgő böngésző, miközben mindhárom eszköz magát egészségesnek jelenti. Ha mindhárom beállítást egyszerre változtatjuk meg, akkor eltűnik az egyetlen nyom arra nézve, melyik hazudik.
Először rajzolja fel a szándékolt útvonalat sorrendben, megnevezve, melyik program nyitja az egyes kapcsolatokat, és melyik név oldódik fel az egyes lépésekben.
A rétegek nem adódnak össze, hanem hatnak egymásra
Ha a VPN a Tor előtt van, az azt jelenti, hogy a Tor kliens belépő kapcsolata az alagúton belül halad. A Toron keresztül vitt VPN azt jelenti, hogy a VPN kliens saját végpontjának elérhetőnek kell lennie a Toron keresztül, ami egészen más követelmény. A böngésző proxyja még egy ugrást hozzáad, amelyről az operációs rendszer mit sem tud. Három elrendezés, három külön függőségi lista.
Minden elrendezés megváltoztatja, mi oldható fel, mi vihető át, és ki látja az első csomagot. Csak az egyikük lehet az a konfiguráció, amelyet szándékolt.
A közvetlen útvonalat is vegye fel az ábrára. Egy tartalék útvonal, egy osztott alagút kivétel vagy egy proxy-megkerülés betölthet egy oldalt, miközben csendben kihagyja a tesztelni kívánt láncot, és az ilyen siker jobban félrevezet, mint a hiba.
A sorrend dönti el, mi vihető át
A Tor TCP-folyamokat visz át a SOCKS interfészén, és az a kliens, amely a proxytól a gazdagépnév feloldását kéri, a körön belül tartja a lekérdezést. Az UDP rendes konfigurációkban nem így utazik, ezért egy WireGuard-alagút nem fészkelhető a Torba egy további TCP-átjátszó nélkül a közepén.
OpenVPN TCP-re kényszeríthető, így ez az elrendezés legalább leírható. Ez is lassabb és törékenyebb, és a meghibásodási mód összetöréskor pontosan úgy néz ki, mint egy blokkolt port. Számítson rá, hogy több időt tölt a kettő megkülönböztetésével, mint bármelyikük javításával.
A feloldás a másik fél. Ezzel: --socks5-hostname a proxy oldja fel a célt, míg a sima --socks5 először a helyi feloldót kérdezi, és a nevet a körön kívülre szivárogtatja. Pontosan ez az egy kapcsoló dönti el, hogy a névkeresés a lánchoz vagy a szolgáltatójához tartozik-e.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Az első elszakadt határ megkeresése
Tesztelje a szakaszokat abban a sorrendben, ahogy a csomagok haladnak, ártalmatlan kérésekkel, és álljon meg az elsőnél, amelyik elbukik. Jegyezze fel, melyik parancs futott először, mert a sorrend a bizonyíték része. Két parancs választja el a halott kört a halott kijárattól:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Az első azt jelenti, hogy a kérés egyáltalán befejeződik-e a SOCKS proxyn keresztül, a második pedig azt mutatja, milyen címet mutat jelenleg a hálózat. Ha az első elbukik és a második sikerül, a probléma a Tor kliensnél vagy előtte van. Ha mindkettő sikerül és a böngésző mégis elbukik, az alkalmazás más utat használ, mint a héj.
A nyilvános IP-t mutató oldal szintén csak az utolsó látható kijáratot írja le. Nem tudja megmondani, hány ugrás előzte meg, ezért párosítsa az egyes eszközök támogatott állapotkimenetével, ahelyett hogy egyetlen számot ábrának tekintene.
Mikor hagyja abba a rétegek hozzáadását
Ha nem tudja egy mondatban megmondani, mit ad hozzá egy réteg, távolítsa el. Az a lánc, amelynek célja nem világos, olyan lánc, amelyet senki nem tud hajnali háromkor hibakeresni, és egy megmagyarázatlan ugrás magánszféra-nyeresége rendszerint kisebb, mint az elveszített elérhetőség.
Ha egy réteg valóban kiérdemli a helyét, először egyedül tesztelje, aztán adja hozzá a következőt, és ugyanazzal a két paranccsal erősítse meg újra az útvonalat. Állítsa vissza a teljes láncot a rendes használat előtt, és tartsa bekapcsolva a TLS-ellenőrzést és a hitelesítést; az a tanúsítványfigyelmeztetés, amelyet egy oldal betöltése miatt elfogadnak, útvonal-megkerülés, nem javítás. Jegyezze fel a sorrendet, amelyben megállapodott, amíg friss.
Írja le ezt a sorrendet, beleértve azt a feloldót, amely minden szakaszban válaszol. Egy működő lánc, amelyet le tud írni, túléli a következő frissítést, míg a próbálgatással összerakott működő lánc eltűnik vele. Adja hozzá a dátumot és a verziókat, hogy egy későbbi hiba összehasonlítható legyen egy ismerten jó állapottal, ahelyett hogy emlékezetből vitatkoznának róla. Tíz sor egy szövegfájlban megspórol egy estét a találgatásból.