Relai keluar Tor versus server keluar VPN: apa yang diketahui masing-masing

Kedua rancangan menyembunyikan alamat Anda di balik satu IP publik, dan situs yang mencetak alamat yang dilihatnya tidak dapat membedakan keduanya. Perbedaannya adalah siapa yang mempelajari apa di sepanjang jalan, berapa banyak lalu lintas yang tercakup, dan port mana yang boleh bekerja. Relai keluar Tor adalah lompatan terakhir dari rangkaian tiga relai; server keluar VPN mengakhiri terowongan Anda dan membuat sendiri koneksi keluar. Berikut cara saya memutuskan mana yang dibutuhkan suatu tugas, dan apa yang saya periksa sebelum menganggap yang satu berperilaku seperti yang lain.

Dua jalur yang berakhir di satu alamat

Tor membangun rangkaian melalui penjaga, relai tengah, dan pintu keluar, lalu mengenkripsi muatan berlapis sehingga setiap relai hanya mengupas lapisannya sendiri. Pintu keluar membuat koneksi TCP biasa ke tujuan, itulah sebabnya tujuan melihat alamat keluar. Klien Anda tidak pernah berbicara langsung dengan tujuan, dan penjaga juga tidak pernah melihatnya.

VPN adalah satu terowongan ke satu titik akhir. Server operator melepas terowongan dan membuka koneksi keluar, sehingga tujuan juga melihat satu alamat, kali ini milik operator. Hasil yang teramati sama; pengetahuannya tidak. Uji yang mencetak IP menjawab sistem mana yang Anda pakai dan tidak mengatakan apa pun tentang pembagian kepercayaan yang sebenarnya berbeda.

Siapa yang akhirnya tahu apa

Titik akhir VPN melihat alamat sumber, tujuan, waktu, dan volume di satu tempat. Pemusatan itu adalah desainnya: satu operator, satu permukaan log, satu tempat untuk dipanggil atau salah dikonfigurasi. Semua yang Anda dapatkan berasal dari memercayai pihak itu dan dari kebijakan keluar titik akhir.

Tor membagi pengetahuan itu. Penjaga tahu alamat Anda tetapi tidak tahu tujuan; pintu keluar tahu tujuan tetapi tidak tahu alamat Anda. Sebuah relai tidak seharusnya mempelajari keduanya. Itu sifat struktural, bukan janji terhadap pengamat global, relai yang mengorelasikan waktu, atau titik akhir yang disusupi, jadi perlakukan itu sebagai pembagian risiko yang sama secara berbeda, bukan sebagai anonimitas yang tidak bisa gagal.

Cakupan adalah keputusan peramban atau keputusan rute

Peramban Tor merutekan lalu lintasnya sendiri dan menambahkan perlindungan yang tidak direproduksi klien VPN generik: ketahanan terhadap sidik jari, isolasi pihak pertama, ukuran jendela tetap, dan tindakan Identitas Baru yang membuang status sesi. Aplikasi lain tidak memakai rangkaian itu kecuali dikonfigurasi untuk itu, dan penyiapan Tor seluruh sistem adalah proyek terpisah dari memasang peramban.

VPN berbentuk sebaliknya. Cakupan mengikuti tabel rute, sehingga profil WireGuard dengan AllowedIPs = 0.0.0.0/0 menangkap semuanya dan daftar terowongan terpisah hanya menangkap prefiks yang disebutnya. Di mekanisme itulah kebocoran juga hidup: kueri DNS, IPv6, dan WebRTC masing-masing dapat mengambil jalur yang tidak dicakup kebijakan rute. Periksa dari dalam aplikasi yang gagal, bukan dari tab peramban yang mungkin memakai antarmuka lain.

Kebijakan port, tujuan yang diblokir, dan HTTPS

Relai keluar bebas menolak port keluar, dan kebijakan bawaannya menolak daftar port yang rawan penyalahgunaan, termasuk port SMTP 25. Karena itu klien surel yang dikonfigurasi melalui Tor gagal di pintu keluar, yang tampak seperti gangguan jaringan dan bukan. Operator yang menjalankan relai menetapkannya secara eksplisit:

# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25

Tujuan juga memblokir, dan mereka memblokir kedua sistem secara berbeda. Alamat keluar Tor dipublikasikan, sehingga situs dapat menolak seluruh daftar; titik akhir VPN berada di rentang pusat data yang ditolak sama gampangnya. Ketika halaman gagal, pisahkan tiga kandidat sebelum mengubah apa pun: kebijakan keluar atau egress, tujuan yang menolak sumber, atau portal tertawan yang membajak permintaan pertama.

Tidak ada dari kedua sistem yang menggantikan enkripsi transportasi. HTTP biasa dapat dibaca di relai keluar maupun di titik akhir VPN, jadi biarkan HTTPS menyala dan bacalah peringatan sertifikat alih-alih mengabaikannya. Dua pemeriksaan menyelesaikan pertanyaan rute dengan cepat: curl -s https://check.torproject.org/api/ip mengembalikan IsTor ketika permintaan melewati rangkaian, dan curl -s https://ifconfig.me menunjukkan alamat keluar yang akan ditampilkan VPN. Menjalankan keduanya memberi tahu Anda jalur mana yang benar-benar dipakai shell.

Jangan memakai yang satu sebagai yang lain

Alamat relai keluar bukan profil VPN. Mengarahkan klien OpenVPN atau WireGuard ke relai pada port 443 tidak membuat terowongan, karena tidak ada layanan VPN yang mendengarkan di sana; relai itu adalah lompatan dalam rangkaian orang lain. Sebaliknya, titik akhir VPN bukan titik masuk bagi Tor, dan pengaturan jembatan peramban Tor bukan tempat menempelkan nama host VPN komersial. Jika Anda menjalankan Tor di atas VPN, penjaga melihat alamat VPN alih-alih alamat Anda, yang mengubah pembagian tanpa menyatukan kedua peran.

Sebelum memilih, jawab empat pertanyaan secara berurutan: siapa yang mengoperasikan titik akhir dan apa yang disimpannya, apa yang dicakup alat ini pada perangkat ini, port dan tujuan apa yang diizinkan kebijakan keluar, dan apa yang ditambahkan aplikasi di luar jalur jaringan. Tugas yang membutuhkan akses jaringan biasa untuk banyak program menginginkan VPN. Tugas yang membutuhkan perlindungan tingkat peramban dan model rangkaian menginginkan peramban Tor, yang dijaga mutakhir. Jika jawabannya «keduanya», jalankan dalam urutan yang disengaja dan catat alamat mana yang dilihat tiap sisi.