VPN tramite Tor: prima il controllo del trasporto

Tor prima significa che il client VPN si trova dietro un proxy SOCKS, quindi il tunnel stesso viene costruito attraverso Tor e il traffico delle applicazioni esce dal punto finale della VPN. È un ordine preciso, e non è quello che costruisce la maggior parte delle persone. Aprire Tor Browser accanto a un normale client VPN non obbliga nessuno dei due programmi a usare il percorso dell’altro.

Esaminate i controlli in ordine. Ognuno decide se vale la pena iniziare il successivo.

Quale ordine state costruendo davvero

Due ordini si confondono nella stessa conversazione. Tor prima significa che il client VPN raggiunge il suo server attraverso un proxy SOCKS, quindi il tunnel viene costruito sopra Tor. VPN prima significa che il traffico di Tor esce attraverso il tunnel, che è ciò che la maggior parte delle persone costruisce per caso e poi descrive come l’altro. Il primo concentra la frontiera di inoltro presso l’operatore VPN, il secondo la concentra all’ingresso e all’uscita di Tor. Nessuno dei due è ciò che si ottiene tenendo entrambe le applicazioni aperte contemporaneamente.

Annotate quale ordine richiede l’attività prima di configurare qualsiasi cosa, perché i due richiedono impostazioni software diverse e falliscono in punti diversi. Un ordine etichettato male vi manda a cercare errori nel livello sbagliato per un’ora. Tutto quanto segue presuppone Tor prima.

Controllate il trasporto prima di ogni altra cosa

L’interfaccia SOCKS di Tor trasporta flussi TCP e non fornisce un’associazione UDP generale. Una VPN il cui trasporto è UDP non può trattare quel proxy come una normale interfaccia di rete, e nessuna impostazione del client cambia ciò che il proxy è disposto a inoltrare. WireGuard nella sua forma abituale è la vittima ovvia. Un profilo OpenVPN in modalità TCP è la soluzione abituale, e gli va comunque detto esplicitamente di usare il proxy.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Confermate che il proxy sia in ascolto e possa trasportare una semplice richiesta HTTPS prima di cercare errori in un tunnel che lo attraversa. Se la richiesta semplice fallisce, il client VPN non avrà mai successo e i suoi registri non vi diranno perché.

Riscrivete la mappa dell’osservatore

L’ingresso di Tor può vedere la sorgente che si connette a Tor a meno che qualcosa di precedente non l’abbia cambiata, quindi quel salto apprende il vostro indirizzo. Il fornitore della VPN riceve una connessione che arriva dal lato Tor ma può ancora conoscere un account, un record di pagamento o una credenziale che avete inviato dentro il tunnel. Le destinazioni raggiunte attraverso la VPN vedono la sua uscita invece dell’uscita di Tor, e questo concentra la frontiera finale di inoltro presso un solo operatore.

Non ricrea nemmeno un percorso distribuito verso ogni destinazione. Tor Browser costruisce un circuito nuovo per ogni sito; una VPN portata su Tor costruisce un solo tunnel, e ogni sito dietro di esso condivide quel punto finale. Trattate la differenza come un fatto di progettazione e non come un limite da eliminare.

Contate i livelli di guasto quando si rompe

Una configurazione rotta ha almeno quattro livelli indipendenti: la connessione SOCKS, lo handshake TLS con il server VPN, lo handshake della VPN stesso e poi l’instradamento o la risoluzione dei nomi dentro il tunnel. Ognuno fallisce con un sintomo diverso e ognuno richiede una riparazione diversa. Allentare i controlli sui certificati perché il tunnel non sale è la diagnosi errata classica, e trasforma un problema di trasporto in un problema di sicurezza.

Registrate il primo livello che fallisce e fermatevi lì. Un rifiuto del proxy e una chiave rifiutata non sono varianti dello stesso evento.

Fermatevi se il modello di minaccia richiede le difese di Tor Browser

Instradare applicazioni arbitrarie attraverso una VPN portata da Tor non dà a quelle applicazioni le funzioni di impronta e isolamento di Tor Browser. I loro account, identificatori e il loro comportamento di rete restano rilevanti, e un tunnel non ne normalizza nessuno. Se l’obiettivo è un browser che si confonde con gli altri utenti, questo ordine non lo offre.

Il Tor Project stesso avverte contro combinazioni che gli utenti non possono configurare correttamente, e questa vale per la maggior parte delle persone. È un progetto deliberato per un modello di minaccia ristretto, non una scorciatoia verso il traffico anonimo di tutto il dispositivo.