Tor-útgangsrelay á móti VPN-útgangsþjóni: hvað hvor veit
Tor-útgangsrelay og VPN-útgangsþjónn sýna bæði eitt opinbert vistfang, en skipta þekkingunni á mismunandi hátt. Berðu saman sýnileika, umfang og portastefnu.
Báðar hönnunin fela vistfangið þitt bak við eitt opinbert IP, og vefsíða sem prentar vistfangið sem hún sér getur ekki greint þær að. Munurinn er hver lærir hvað á leiðinni, hversu mikilli umferð er náð og hvaða portum er leyft að virka. Tor-útgangsrelay er síðasta stökkið í hringrás þriggja relaya; VPN-útgangsþjónninn endar göngin þín og opnar sjálfur útleiðina. Hér er hvernig ég ákveð hvaða kerfi verk þarf, og hvað ég athuga áður en ég geri ráð fyrir að annað hagi sér eins og hitt.
Tvær leiðir sem enda á einu vistfangi
Tor byggir hringrás gegnum vörð, miðrelay og útgang og dulkóðar farminn í lögum þannig að hvert relay afhýðir aðeins sitt lag. Útgangurinn gerir venjulega TCP-tenginguna við áfangastaðinn, þess vegna sér áfangastaðurinn útgangsvistfangið. Biðlarinn þinn talar aldrei beint við áfangastaðinn, og vörðurinn sér hann ekki heldur.
VPN er eitt göng að einum endapunkti. Þjónn rekstraraðilans fjarlægir göngin og opnar útleiðina, svo áfangastaðurinn sér líka eitt vistfang, að þessu sinni það sem rekstraraðilinn á. Sýnilega niðurstaðan er sú sama; þekkingin ekki. Próf sem prentar IP svarar því á hvaða kerfi þú ert og segir ekkert um skiptingu trausts sem raunverulega er öðruvísi.
Hver veit hvað að lokum
VPN-endapunkturinn sér upprunavistfangið, áfangastaðinn, tímann og magnið á einum stað. Þessi einbeiting er hönnunin: einn rekstraraðili, eitt loggflötur, einn staður fyrir stefnu eða rangar stillingar. Allt sem þú vinnur kemur frá trausti á þann aðila og frá útleiðarstefnu endapunktsins.
Tor skiptir þeirri þekkingu. Vörðurinn veit vistfangið þitt en ekki áfangastaðinn; útgangurinn veit áfangastaðinn en ekki vistfangið þitt. Relay á ekki að læra bæði. Þetta er formgerðareiginleiki, ekki loforð gegn alheimsathuganda, relayi sem fylgir tímasetningum eða endapunkti sem er brotinn, svo farðu með það sem aðra dreifingu sömu áhættu en ekki sem nafnleysi sem getur ekki klikkað.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Umfangið er ákvörðun vafrans eða leiðarinnar
Tor-vafrinn leiðir eigin umferð og bætir við vernd sem venjulegur VPN-biðlari endurgerir ekki: mótstöðu gegn fingraförum, einangrun fyrsta aðila, fasta gluggastærð og aðgerð Ný sjálfsmynd sem hendir lotuástandinu. Önnur forrit nota ekki þá hringrás nema þau séu stillt til þess, og uppsetning Tor á öllu kerfinu er sér verkefni frá uppsetningu vafrans.
VPN hefur gagnstæða lögun. Umfangið fylgir leiðatöflunni, svo WireGuard-snið með AllowedIPs = 0.0.0.0/0 grípur allt og listi yfir skipt göng grípur aðeins forskeytin sem hann nefnir. Í þeirri aðferð búa líka lekin: DNS-fyrirspurnir, IPv6 og WebRTC geta hvert farið leið sem leiðastefnan náði ekki til. Athugaðu innan frá forritinu sem brást, ekki frá vafraflipa sem kann að nota annað viðmót.
Portastefna, blokkuð áfangastaðir og HTTPS
Útgangsrelay má neita útleiðarportum, og sjálfgefin stefna hafnar lista yfir port sem eru líkleg til misnotkunar, þar á meðal SMTP-port 25. Þess vegna bregst póstbiðlari sem stilltur er gegnum Tor við útganginn, sem lítur út eins og nettruflun og er það ekki. Rekstraraðilar sem reka relay setja þetta skýrt:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Áfangastaðir loka líka, og þeir loka kerfunum tveimur á mismunandi hátt. Tor-útgangsvistföng eru birt, svo vefsíða getur hafnað öllum listanum; VPN-endapunktar liggja í sviðum gagnavers sem er hafnað jafn kæruleysislega. Þegar síða bregst skaltu aðskilja þrjá möguleika áður en þú breytir einhverju: útgangs- eða útleiðarstefnu, áfangastað sem hafnar upprunanum, eða gistiport sem rænir fyrstu beiðninni.
Hvort kerfið kemur ekki í stað flutningsdulkóðunar. Venjulegt HTTP er læsilegt á útgangsrelayinu og á VPN-endapunktinum eins, svo hafðu HTTPS kveikt og lestu vottorðsviðvörunina í stað þess að hunsa hana. Tvær athuganir leysa leiðarspurninguna fljótt: curl -s https://check.torproject.org/api/ip skilar IsTor þegar beiðnin fór um hringrás, og curl -s https://ifconfig.me sýnir útleiðarvistfangið sem VPN myndi sýna. Að keyra bæði segir þér hvaða leið skelinn notar í raun.
Notaðu ekki annað sem hitt
Vistfang útgangsrelays er ekki VPN-snið. Að beina OpenVPN- eða WireGuard-biðlara að relayi á porti 443 býr ekki til göng, því engin VPN-þjónusta hlustar þar; relayið er stökk í hringrás einhvers annars. Í hina áttina er VPN-endapunktur ekki inngangur fyrir Tor, og brúarstillingar Tor-vafrans eru ekki staður til að líma hostnafn verslunar-VPN. Ef þú keyrir Tor yfir VPN sér vörðurinn VPN-vistfangið í stað þíns, sem breytir skiptingunni án þess að sameina hlutverkin tvö.
Áður en þú velur skaltu svara fjórum spurningum í röð: hver rekur endapunktinn og hvað varðveitir hann, hvað nær verkfærið yfir á þessu tæki, hvaða portum og áfangastöðum útleiðarstefnan leyfir, og hvað forritið bætir við umfram netleiðina. Verk sem þarf venjulegan netaðgang fyrir mörg forrit vill VPN. Verk sem þarf verndina á vafrastigi og hringrásarlíkanið vill Tor-vafrann, hafðan uppfærðan. Ef svarið er „bæði“, keyrðu þau í yfirvegaðri röð og skrifaðu niður hvaða vistfang hvor hlið sér.