VPN melalui Tor: periksa transportnya lebih dulu

Tor lebih dulu berarti klien VPN berada di belakang proksi SOCKS, jadi terowongannya sendiri dibangun melalui Tor dan lalu lintas aplikasi keluar dari titik akhir VPN. Itu satu urutan tertentu, dan bukan yang dibangun kebanyakan orang. Membuka Tor Browser di samping klien VPN biasa tidak memaksa salah satu dari kedua program untuk memakai jalur yang lain.

Lakukan pemeriksaan secara berurutan. Masing-masing menentukan apakah pemeriksaan berikutnya layak dimulai.

Urutan mana yang sebenarnya Anda bangun

Dua urutan tertukar dalam percakapan yang sama. Tor dulu berarti klien VPN mencapai servernya melalui proksi SOCKS, jadi terowongan dibangun di atas Tor. VPN dulu berarti lalu lintas Tor keluar melalui terowongan, yang dibangun kebanyakan orang secara tidak sengaja lalu digambarkan sebagai urutan yang lain. Yang pertama memusatkan batas penerusan pada operator VPN, yang kedua memusatkannya di pintu masuk dan keluaran Tor. Tidak ada yang sama dengan apa yang Anda dapatkan dengan membiarkan kedua aplikasi terbuka sekaligus.

Tuliskan urutan mana yang dibutuhkan tugas sebelum mengonfigurasi apa pun, karena keduanya memerlukan pengaturan perangkat lunak berbeda dan gagal di tempat berbeda. Urutan yang salah label mengirim Anda menelusuri lapisan yang salah selama satu jam. Semua di bawah ini mengasumsikan Tor lebih dulu.

Periksa transport sebelum hal lain

Antarmuka SOCKS Tor membawa aliran TCP dan tidak menyediakan asosiasi UDP umum. VPN yang transportnya UDP tidak dapat memperlakukan proksi itu sebagai antarmuka jaringan biasa, dan tidak ada pengaturan klien yang mengubah apa yang bersedia diteruskan proksi. WireGuard dalam bentuk biasanya adalah korban yang jelas. Profil OpenVPN dalam mode TCP adalah solusi umum, dan tetap harus diberi tahu secara eksplisit untuk memakai proksi.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Pastikan proksi mendengarkan dan dapat membawa satu permintaan HTTPS biasa sebelum Anda men-debug terowongan melaluinya. Jika permintaan biasa gagal, klien VPN tidak akan pernah berhasil dan lognya tidak akan memberi tahu Anda alasannya.

Tulis ulang peta pengamat

Pintu masuk Tor dapat melihat sumber yang terhubung ke Tor kecuali sesuatu sebelumnya mengubahnya, jadi lompatan itu mempelajari alamat Anda. Penyedia VPN menerima koneksi yang datang dari sisi Tor tetapi masih mungkin mengetahui akun, catatan pembayaran, atau kredensial yang Anda kirim di dalam terowongan. Tujuan yang dicapai melalui VPN melihat keluarnya, bukan keluaran Tor, dan itu memusatkan batas penerusan akhir pada satu operator.

Ia juga tidak membuat ulang jalur terdistribusi ke setiap tujuan. Tor Browser membangun sirkuit baru per situs; VPN yang dibawa lewat Tor membangun satu terowongan, dan setiap situs di belakangnya berbagi titik akhir itu. Perlakukan perbedaannya sebagai fakta desain, bukan batasan yang harus dihilangkan.

Hitung lapisan kegagalan saat rusak

Penyiapan yang rusak memiliki setidaknya empat lapisan independen: koneksi SOCKS, jabat tangan TLS dengan server VPN, jabat tangan VPN itu sendiri, lalu perutean atau resolusi nama di dalam terowongan. Masing-masing gagal dengan gejala berbeda dan masing-masing perlu perbaikan berbeda. Melonggarkan pemeriksaan sertifikat karena terowongan tidak menyala adalah kesalahan diagnosis klasik, dan itu mengubah masalah transport menjadi masalah keamanan.

Catat lapisan pertama yang gagal dan berhenti di situ. Penolakan proksi dan kunci yang ditolak bukan variasi dari peristiwa yang sama.

Berhentilah jika model ancaman membutuhkan pertahanan Tor Browser

Merutekan aplikasi sembarang melalui VPN yang dibawa Tor tidak memberi aplikasi itu fitur sidik jari dan isolasi Tor Browser. Akun, pengenal, dan perilaku jaringannya sendiri tetap relevan, dan terowongan tidak menormalkan satu pun darinya. Jika tujuannya peramban yang menyatu dengan pengguna lain, urutan ini tidak memberikannya.

Tor Project sendiri memperingatkan kombinasi yang tidak dapat dikonfigurasi pengguna dengan benar, dan yang ini berlaku bagi kebanyakan orang. Ini desain yang disengaja untuk model ancaman sempit, bukan jalan pintas menuju lalu lintas anonim seluruh perangkat.