Tor-millistöð gegn VPN-þjóni: hvers vegna þær eru ekki skiptanlegar

Þú hefur vistfang, portið svarar og biðlari samþykkir það án kvartana. Ekkert af þessu gerir Tor-millistöð að VPN-endapunkti, og mistökin eru dýr því sniðið flyst inn hreint og bregst síðar við handabandið. Ég nota fjórar athuganir hér fyrir neðan í röð; hver hefur stöðvunarskilyrði og snemma stöðvun er einmitt tilgangurinn. Ef fyrsta athugunin bregst geta hinar ekki hjálpað þér.

Athugaðu hvað portið þjónar í raun

Opið port sannar hlustara, ekkert meira. ORPort millistöðvar talar eigin frumum Tor eftir TLS-handaband, svo árangursrík TLS-prófun segir þér næstum ekkert um hvort VPN-siðareglur séu samþykktar þar:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Lestu skírteinið frekar en staðreyndina að eitt sé til. Millistöðvar sýna sjálfundað skírteini með viljandi áberandi litlu nafni, því millistöðvarumferð á að líkjast venjulegu HTTPS; skírteini VPN-þjóns ber nafnið sem sniðið þitt væntir. Ef gagnaðilinn svarar aldrei fyrstu pakkningu VPN-siðareglunnar mun engin breyting á sniðinu breyta niðurstöðunni.

Stoppaðu hér ef vistfangið klárar ekki handabandið sem biðlarinn þinn sendir. Það er svar siðareglna, ekki stillingarvandamál, og það er algengasta ástæðan fyrir því að innflutt snið situr á 'connecting' að eilífu.

Athugaðu hlutverk millistöðvarinnar, ekki stærð netkerfisins

Hlutverk millistöðva sinna mismunandi verkum. Guard er fyrsta stökkið fyrir biðlara, miðmillistöð sendir hringrásir milli annarra millistöðva, exit er sú sem snertir áfangastaði, og brú er óopinber inngangspunktur sem dreift er með BridgeDB. Hugtakasafn Tor heldur þessum skilgreiningum aðskildum, og aðgengi er hluti af hverju hlutverki en leyfi til að þjóna handahófskenndum biðlarum er ekki hluti af neinu þeirra.

Exit-stefnan er þess virði að lesa því hún er eini hlutinn sem líkist framsendingarreglu, og hún stýrir þeim áfangastöðum sem exit leyfir út, ekki biðlurunum sem leyft er inn. Takmarkandi exit-stefna sem lokar porti 25 segir eitthvað um stjórn á misnotkun útáleiðis, ekki um hvort þú megir beina OpenVPN-biðlara að vélinni.

Stoppaðu ef þú rökræðir út frá orðspori: því millistöðvar senda umferð áfram verður vistfangið að samþykkja þitt. Tor velur leiðir með samstöðu og eigin siðareglum; VPN-biðlari er ekki þátttakandi og hefur enga hringrás til að ganga í.

Athugaðu hvort SOCKS-hlustarinn er staðbundinn eða opinber

Biðlari Tor birtir SOCKS-viðmót fyrir forrit á sömu vél, sjálfgefið á loopback. Sá hlustari er staðbundin þægindi, ekki þjónusta sem millistöð býður internetinu, og að meðhöndla hann sem opinbert milliþjón er leiðin sem fólk endar á að reka opna millistöð sem það ætlaði ekki:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Bind-vistfangið er vísbendingin. SocksPort á 127.0.0.1:9050 sinnir sínu; sá sem hlustar á 0.0.0.0 og er aðgengilegur utan frá er opinn milliþjónn, og eigin aðgangstefnustýringar Tor eru til einmitt vegna þess að þessi afhjúpun er vandamál en ekki eiginleiki.

Fyrir forrit sem þarf Tor skaltu beina því að loopback-portinu og láta Tor leysa nöfn, sem formið socks5h hér að ofan gerir. Skiptu ekki vistfangi millistöðvar út fyrir það port; millistöðin býður ekki viðmótið sem forritið þitt biður um.

Athugaðu að VPN-sniðið passi við raunverulegan endapunkt

VPN-snið er safn væntinga: OpenVPN þarf skírteini þjónsins eða CA, biðlaraskírteini og lykil, og venjulega TLS-lykil, en WireGuard þarf opinberan lykil gagnaðilans, endapunkt og leyfð IP-tölur. Ekkert þessara er hægt að leiða af vistfangi og opnu porti, og þess vegna bregst snið byggt þannig í fyrstu skiptum en ekki við tengingu.

Þegar þér er afhent snið skaltu sannreyna það gagnvart endapunkti sem þú stýrir eða þjónustuveitanda sem þú getur borið kennsl á:

wg show
openvpn --config client.ovpn --verb 4

Í OpenVPN-skrá nafngreinir TLS-samningavilla misræmið beint; í wg show hefur gagnaðili án handabandslínu aldrei klárað eitt. Bæði eru upplýsandi en snúningsvísir biðlarans, og bæði benda á lyklaefni eða siðareglur frekar en Tor.

Athugaðu hvaða vernd þú þarft í raun

Þessi athugun ræður arkitektúrnum. Tor-vafrinn gefur þér einangrun hringrása og varnir gegn fingraförum sem VPN veitir ekki; VPN breytir vistfanginu sem áfangastaður sér og sannar þig gagnvart þjónustuveitanda. Að velja á milli er spurning um ógnarlíkan, ekki samhæfni, og að blanda þeim saman skapar uppsetningu sem lítur út fyrir að vera einkaleg og er það ekki.

Keðjutenging hefur röð. VPN sem ber Tor-umferð er studd skipan, því biðlari Tor þarf aðeins útáleiðis TCP. VPN-biðlari sem er jarðgönguð inni í Tor er ekki sama hlut og ekki það sem Tor-biðlarinn útfærir, svo skipuleggðu ekki út frá því.

Áður en þú flytur eitthvað inn skaltu staðfesta alla fjóra:

• Portið klárar handaband siðareglna þinna, ekki bara TCP-tengingu.
• Þú þekkir hlutverk hýsilsins og lítur ekki á framsendingu sem leyfi.
• SOCKS-hlustarinn sem þú notar er loopback og þinn, ekki opið port á millistöð annars.
• Lykar eða skírteini sniðsins tilheyra endapunktinum sem þú tengist.