Tor yfir VPN: hver sér IP-töluna þína og hver sér að þú notar Tor?

Þú tengir VPN-biðlarann, bíður eftir göngunum og opnar svo Tor Browser og lætur hann byggja hringrás. Þessi hversdagslega röð ræður því hver sér hvað. Í þeirri röð heilsar inngangsrelæi Tor VPN-útgangsheimilinu þínu, og VPN-veitandinn þinn heilsar opinberu gæslurelæi. Gerðu það öfugt og báðir athugendur breytast. Báðar raðir eru þess virði að fara í gegnum, því stillingar biðlarans brjóta hljóðlaust röðina sem fólk hélt að væri til staðar, og prófið sem grípur það er það sama í báðum tilvikum.

Byrjaðu á röðinni, ekki vörunni

Tvær uppsetningar kallast „VPN með Tor“, og aðeins fyrri er algeng. Í Tor yfir VPN eru göngin þegar uppi þegar Tor byrjar, svo tor-ferlið sendir gæslutenginguna sína inn í göngin eins og alla aðra útleiðandi umferð. Í VPN yfir Tor fer Tor fyrst upp og VPN-lotan sjálf fer í gegnum hringrásina og kemur að veitandanum frá Tor-útgangi.

Það sem breytist á milli þeirra er hvaða heimilisfang stendur við fjarlæga enda ystu hlekksins. Hver athugandi sér aðeins fyrra stökkið, aldrei alla leiðina: gæslan sér hver tengdist henni, og VPN-þjónninn sér hver tengdist honum. Tor ber ekki staðbundið gönguheimilisfang þitt út, og ekkert svið er í samskiptareglunum þar sem það gæti gert það.

Í báðum röðum sér áfangavefurinn enn Tor-útgang, og hvorug röðin breytir því sem sá vefur lærir af innskráningunni þinni. Munurinn takmarkast við tvær brúnirnar.

Hvað inngangsrelæi Tor sér

Inngangurinn, eða gæslan, tekur við venjulegri TCP-tengingu á relæporti og byrjar TLS-handaband með biðlaranum. Í Tor-yfir-VPN uppsetningu er uppruni þeirrar tengingar VPN-útgangurinn þinn. Í Tor-fyrst uppsetningu er það heimilisfangið sem vélin þín notaði til að ná Tor-netinu, venjulega heimatengingin þín.

Það svarar IP-helmingi spurningarinnar, en aðeins ef göngin báru tenginguna í raun. Tor-ferlið nær gæslunni með eigin sökkli, og sá sökkull er ekki undir stjórn milliþjónsstillinga Tor Browser. Vafrinn talar við innbyggða tor-ferlið um SOCKS á 9150, og tor opnar svo eigin tengingu með leiðartöflu kjarnans. Socks5Proxy-lína í torrc, eða biðlarasending, breytir þeirri leið. Ekkert annað.

Á Linux geturðu lesið svarið af vélinni. Spurðu kjarnann hvaða tengi hann myndi nota fyrir handahófskennt opinbert heimilisfang, og skoðaðu svo staðbundið heimilisfang komnu tengingarinnar:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ef leiðin segir dev wg0 eða dev tun0, og staðbundið heimilisfang komnu tengingarinnar er gönguheimilisfangið, þá er Tor inni í VPN. Ef leiðin nefnir líkamlega tengið þitt er það fyrir utan, hvað sem vísir biðlarans sjálfs heldur fram.

Hvað VPN-veitandinn þinn getur séð

Veitandinn lýkur VPN-lotu þinni, svo hann sér heimilisföngin sem þú tengist. Heimilisföng gæslurelæa eru birt í opinberu samkomulagi og port þeirra eru vel þekkt, svo að para eitt er listaleit frekar en djúp pakkaskoðun. Veitandi þarf ekki að brjóta Tor til að vita að lota er Tor.

Það sem hann sér ekki er afgangur hringrásarinnar. Miðrelæið og útgangurinn eru valin inni í Tor, og veitandinn sér aðeins hlekkinn að gæslunni. Efni síðunnar er inni í TLS sem endar við útganginn, og nafnleysing fyrir Tor-umferð fer einnig fram við útganginn, svo ekkert DNS-fyrirspurn er hjá veitandanum til að tengja við áfangastað.

Brýr með obfs4 breyta leitinni, ekki gerðinni. Brúarheimilisfang vantar á opinberu relælistann og umferðinni er mótað svo hún líti ekki út eins og Tor, svo rekstraraðili sem aðeins ber saman heimilisföng mun ekki merkja hana. Lotan kemur enn frá VPN-biðlaranum þínum, og veitandinn sér enn einn endapunkt, eitt rúmmál og eitt tímaplan.

Getan er ekki varðveislustefna

Rekstraraðili sem getur fylgst með tengingu hefur ekki lofað að halda henni. Skráning er sérstök ákvörðun, skrifuð í stefnu, takmörkuð af lögsögu og aðeins sannreynanleg með sönnunargögnum sem þú treystir þegar. Merkið án skráa breytir ekki net hlutverkinu sem lýst er hér að ofan.

Auðkenni reiknings skiptir venjulega meira máli en útgangsheimilisfangið. Ef þú skráðir þig inn með netfangi, eða borgaðir með korti, getur veitandinn tengt lotuna við þig án þess að skrá eitt einasta áfangastað. Að snúa útgangs-IP-tölum gerir ekkert í því.

Athugaðu þekju áður en þú treystir öðru svarinu

Flestir sem halda að þeir keyri Tor yfir VPN keyra aðeins hluta þess. Skipt göng sem útiloka Tor Browser, neyðarrofi sem nær yfir vafrann en ekki tor-þjónustuna, ræsingareining sem keyrir áður en göngin fara upp, og IPv6-leið fram hjá göngunum eru hin venjulegu fjögur.

Að lesa stöðuskjá biðlarans prófar ekkert af þessu. Prófið sem gerir það: láttu Tor Browser keyra, taktu göngin niður og fylgstu með hvort gæslutengingin lifi á líkamlega tenginu.

Röðin sem ég athuga í, og stöðva við fyrsta mistök:

• ip route get 203.0.113.10 skilar göngutækinu.
• ss -tnp | grep -i tor sýnir gæslutenginguna með staðbundnu gönguheimilisfangi.
• ip -6 route hefur enga sjálfgefna leið utan ganganna, eða IPv6 er slökkt í biðlaranum.
• Að taka VPN niður endar eða beinir tor-tengingunni á ný í stað þess að skilja hana eftir á líkamlega hlekknum.

Hvaða röð hentar því sem þú verndar

Báðar raðir fela eitthvað og afhjúpa eitthvað, svo svarið er val um athugandann sem þér er annt um.

Lestu það dálk fyrir dálk þar til röð passar við það sem þú ert að reyna að koma í veg fyrir. Ef áhyggjuefnið er staðbundið net eða ISP sem skráir eða blokkar Tor, sér Tor yfir VPN um það. Ef áhyggjuefnið er að VPN-rekstraraðilinn læri heimilisfang þitt, sér VPN yfir Tor um það, og borgar fyrir það með því að afhjúpa Tor-notkun fyrir eigin neti þínu og heimilisfangið fyrir gæslunni.

Hvorug uppsetningin skilur báðar brúnir blindar. Að bæta við athuganda fjarlægir engan annan. Athugasemd Tor Project um að keyra VPN með Tor segir það sama frá hinni hliðinni: göngin breyta því hverjum er treyst og hvaða mistakaleiðir eru til, svo það er ekki uppfærsla að bæta því við án þess að ákveða hvað þú vildir fela.

Ákveddu athugandann fyrst, veldu röðina næst og sannreyna með ip route get og ss í stað vísis biðlarans. Ef athugandinn er einhver sem getur þvingað VPN-veitandann sjálfan, lagar engin raðarval það.