VPN prima di Tor: cosa cambia davvero l'ordine

Collegare prima la VPN produce una catena precisa: dispositivo, endpoint della VPN, ingresso Tor, circuito Tor, destinazione. La tua rete locale vede una connessione cifrata verso la VPN, e il nodo d'ingresso Tor vede l'uscita della VPN come origine immediata invece dell'indirizzo del tuo provider. L'operatore della VPN, a sua volta, vede connessioni verso l'infrastruttura d'ingresso Tor e può dedurre l'uso di Tor dalle destinazioni. Ogni osservatore perde qualcosa e guadagna qualcosa, per questo l'ordine è uno scambio e non un miglioramento.

Niente in quella catena cambia ciò che il sito impara dal tuo account, dai cookie o dai dati digitati.

Cosa cambia l'ordine

La rete locale e il provider perdono la visibilità diretta del tuo traffico Tor, perché il primo salto ora è un tunnel cifrato verso un provider. Il guardiano d'ingresso Tor perde il tuo indirizzo di casa e vede l'uscita della VPN. Il provider della VPN guadagna i metadati che prima aveva il tuo provider: quali indirizzi contatti, a che ore e quanti dati si muovono.

Oltre il guardiano d'ingresso il circuito si comporta come prima. I relay separano ancora i ruoli di ingresso, centro e uscita, e la VPN non vede il contenuto finale più di quanto lo vedesse il tuo provider.

Conferma il percorso che viene realmente usato

Il tunneling diviso è la ragione abituale per cui la catena prevista non è quella reale.Se Tor Browser è escluso dal tunnel, o un secondo profilo instrada diversamente, il guardiano d'ingresso rivede l'indirizzo del provider mentre l'interfaccia sembra ancora connessa. Controlla la rotta e l'uscita osservata, non l'icona.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

La richiesta SOCKS attraverso la porta 9150 è risposta dal client di Tor Browser stesso, quindi una risposta IsTor true conferma il circuito del browser, non che ogni altro programma lo usi. Vale la pena registrare l'output del resolver perché il DNS può uscire da un percorso che il tunnel non copre. Conserva entrambi gli output con un timestamp. Sono la base per il confronto successivo.

Confronta con una richiesta diretta da un terminale normale: se anche quella segnala Tor, qualcos'altro reindirizza il traffico e la catena non è quella ipotizzata dal progetto.

Osserva cosa succede quando il tunnel cade

Un client che ricade silenziosamente sull'interfaccia locale cambia l'origine che vede il guardiano d'ingresso, e l'utente di solito non lo sa perché la pagina si carica ancora. È quel guasto che vale la pena testare, non il percorso felice. Disconnetti il tunnel di proposito e osserva se il traffico Tor si ferma o continua senza protezione.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Le regole del firewall che bloccano il traffico in uscita fuori dal tunnel sono l'unico controllo di riserva affidabile, e devono coprire sia il client SOCKS del browser sia ogni altro programma che ti interessa. Un'estensione del browser non è una VPN di dispositivo e non influisce su altri programmi o osservatori esterni.

Decidi se lo strato extra merita la sua fiducia

Il Progetto Tor sconsiglia di impilare una VPN sotto Tor a meno che tu non possa valutare tu stesso la configurazione. La ragione che citano è la dipendenza aggiunta: un'altra parte, un altro account e un'altra modalità di guasto. Se l'obiettivo è impedire al tuo provider di vedere che usi Tor, la VPN si rivolge proprio a quell'osservatore. Se l'obiettivo è un anonimato più forte contro un osservatore globale, la VPN non lo fornisce.

Esiste anche l'ordine inverso, e i nomi non sono intercambiabili:Tor su VPN e VPN su Tor descrivono relazioni di fiducia diverse e comportamenti di guasto diversi. Leggi il confronto prima di mescolarli.

Annota quale osservatore stai cercando di spostare, poi verifica che il percorso reale corrisponda al progetto, poi verifica il comportamento in caso di guasto. Se quelle tre risposte non giustificano l'account e la configurazione extra, la configurazione documentata di Tor Browser ha meno parti da sbagliare.