Tor-ის გამომავალი რელე VPN-ის გამომავალი სერვერის წინააღმდეგ: რა იცის თითოეულმა
Tor-ის გამომავალი რელე და VPN-ის გამომავალი სერვერი ორივე ერთ საჯარო მისამართს აჩვენებს, მაგრამ ცოდნას სხვაგვარად ანაწილებს. შეადარეთ ხილვადობა, დაფარვა და პორტების პოლიტიკა.
ორივე კონსტრუქცია მალავს თქვენს მისამართს ერთი საჯარო IP-ის უკან, და საიტი, რომელიც ბეჭდავს მისამართს, რომელსაც ხედავს, ვერ გაარჩევს მათ. განსხვავება იმაშია, თუ ვინ რას იგებს გზაზე, რა მოცულობის ტრაფიკია დაფარული და რომელ პორტებს აქვთ მუშაობის უფლება. Tor-ის გამომავალი რელე სამი რელესგან შემდგარი წრედის ბოლო ნაბიჯია; VPN-ის გამომავალი სერვერი ამთავრებს თქვენს გვირაბს და თავად ხსნის გამავალ კავშირს. აი, როგორ ვწყვეტ, რომელი სჭირდება დავალებას, და რას ვამოწმებ სანამ ვივარაუდებ, რომ ერთი მეორის მსგავსად იქცევა.
ორი გზა, რომლებიც ერთ მისამართზე მთავრდება
Tor აშენებს წრედს მცველის, შუა რელესა და გამომავალის მეშვეობით და შიფრავს დატვირთვას შრეებად, რათა თითოეულმა რელემ მხოლოდ საკუთარი შრე მოაცილოს. გამომავალი ამყარებს ჩვეულებრივ TCP კავშირს დანიშნულებასთან, ამიტომ დანიშნულება ხედავს გამომავალის მისამართს. თქვენი კლიენტი არასოდეს ესაუბრება დანიშნულებას პირდაპირ, და მცველიც ვერ ხედავს მას.
VPN ერთი გვირაბია ერთ ბოლო წერტილამდე. ოპერატორის სერვერი ხსნის გვირაბს და ხსნის გამავალ კავშირს, ამიტომ დანიშნულება ასევე ხედავს ერთ მისამართს, ამჯერად ოპერატორისას. დაკვირვებადი შედეგი იგივეა; ცოდნა არა. ტესტი, რომელიც IP-ს ბეჭდავს, პასუხობს რომელ სისტემაში ხართ და არაფერს ამბობს იმ ნდობის განაწილებაზე, რომელიც რეალურად განსხვავდება.
საბოლოოდ ვინ რა იცის
VPN-ის ბოლო წერტილი ერთ ადგილას ხედავს წყაროს მისამართს, დანიშნულებას, დროსა და მოცულობას. ეს კონცენტრაცია თავად კონსტრუქციაა: ერთი ოპერატორი, ერთი ჟურნალის ზედაპირი, ერთი ადგილი მოწვევისთვის ან არასწორი კონფიგურაციისთვის. ყველაფერი, რასაც იძენთ, მოდის ამ მხარის ნდობიდან და ბოლო წერტილის გამავალი პოლიტიკიდან.
Tor ანაწილებს ამ ცოდნას. მცველმა იცის თქვენი მისამართი, მაგრამ არა დანიშნულება; გამომავალმა იცის დანიშნულება, მაგრამ არა თქვენი მისამართი. რელეს არ უნდა ისწავლოს ორივე. ეს სტრუქტურული თვისებაა, არა დაპირება გლობალური დამკვირვებლის, დროების შემკვრელი რელეს ან კომპრომეტირებული ბოლო წერტილის წინააღმდეგ, ამიტომ მოეკიდეთ მას როგორც იმავე რისკის სხვაგვარ განაწილებას და არა როგორც ანონიმურობას, რომელიც ვერ ჩავარდება.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
დაფარვა ბრაუზერის გადაწყვეტილებაა თუ მარშრუტის
Tor ბრაუზერი თავის ტრაფიკს თავად მარშრუტირებს და ამატებს დაცვებს, რომლებსაც ჩვეულებრივი VPN კლიენტი არ იმეორებს: ანაბეჭდების წინააღმდეგობა, პირველი მხარის იზოლაცია, ფიქსირებული ფანჯრის ზომა და ახალი იდენტობის მოქმედება, რომელიც სესიის მდგომარეობას აგდებს. სხვა აპლიკაციები ამ წრედს არ იყენებენ, თუ ამისთვის არ არიან კონფიგურირებული, და სისტემური Tor-ის დაყენება ბრაუზერის დაყენებისგან ცალკე პროექტია.
VPN-ს საპირისპირო ფორმა აქვს. დაფარვა მიჰყვება მარშრუტების ცხრილს, ამიტომ AllowedIPs = 0.0.0.0/0-ის მქონე WireGuard პროფილი ყველაფერს იჭერს, ხოლო გაყოფილი გვირაბის სია მხოლოდ იმ პრეფიქსებს, რომლებსაც ასახელებს. სწორედ ამ მექანიზმში ცხოვრობს გაჟონვებიც: DNS მოთხოვნები, IPv6 და WebRTC თითოეული შეიძლება წავიდეს გზაზე, რომელიც მარშრუტის პოლიტიკაში არ იყო. შეამოწმეთ იმ აპლიკაციის შიგნიდან, რომელიც ჩავარდა, და არა ბრაუზერის ჩანართიდან, რომელიც შესაძლოა სხვა ინტერფეისს იყენებდეს.
პორტების პოლიტიკა, დაბლოკილი დანიშნულებები და HTTPS
გამომავალ რელეს შეუძლია უარი თქვას გამავალ პორტებზე, და ნაგულისხმევი პოლიტიკა უარყოფს ბოროტად გამოყენებისკენ მიდრეკილ პორტების სიას, მათ შორის SMTP პორტ 25-ს. ამიტომ Tor-ით კონფიგურირებული ფოსტის კლიენტი გამომავალზე ჩავარდება, რაც ქსელის ხარვეზად გამოიყურება და ასე არ არის. რელეს მოქმედი ოპერატორები ამას ცალსახად აყენებენ:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25დანიშნულებებიც ბლოკავენ, და ისინი ორ სისტემას სხვადასხვაგვარად ბლოკავენ. Tor-ის გამომავალი მისამართები გამოქვეყნებულია, ამიტომ საიტს შეუძლია მთელი სია უარყოს; VPN-ის ბოლო წერტილები მონაცემთა ცენტრების დიაპაზონებშია, რომლებსაც იმავე სიმარტივით უარყოფენ. როცა გვერდი ჩავარდება, სამი კანდიდატი გამოყავით სანამ რამეს შეცვლით: გამომავალი ან გასასვლელი პოლიტიკა, წყაროს უარმყოფი დანიშნულება, ან პირველი მოთხოვნის გამტაცებელი captive პორტალი.
არც ერთი სისტემა არ ცვლის ტრანსპორტის შიფრაციას. ჩვეულებრივი HTTP წაკითხვადია როგორც გამომავალ რელეზე, ისე VPN-ის ბოლო წერტილზე, ამიტომ დატოვეთ HTTPS ჩართული და წაიკითხეთ სერტიფიკატის გაფრთხილება უარყოფის ნაცვლად. ორი შემოწმება სწრაფად წყვეტს მარშრუტის საკითხს: curl -s https://check.torproject.org/api/ip აბრუნებს IsTor-ს, როცა მოთხოვნა წრედში გაიარა, და curl -s https://ifconfig.me აჩვენებს იმ გამომავალ მისამართს, რომელსაც VPN წარმოადგენდა. ორივეს გაშვება გეუბნებათ, რომელ გზას იყენებს shell რეალურად.
ნუ გამოიყენებთ ერთს მეორის ნაცვლად
გამომავალი რელეს მისამართი VPN პროფილი არ არის. OpenVPN ან WireGuard კლიენტის 443 პორტზე მდებარე რელესკენ მიმართვა გვირაბს არ ქმნის, რადგან იქ არავითარი VPN სერვისი არ უსმენს; რელე სხვის წრედში ერთი ნაბიჯია. საპირისპირო მიმართულებით, VPN-ის ბოლო წერტილი Tor-ის შესასვლელი არ არის, და Tor ბრაუზერის ხიდების პარამეტრები არ არის ადგილი კომერციული VPN-ის ჰოსტის სახელის ჩასასმელად. თუ Tor-ს VPN-ის ზევით ამუშავებთ, მცველი თქვენს ნაცვლად VPN-ის მისამართს ხედავს, რაც ცვლის განაწილებას ორი როლის გაერთიანების გარეშე.
არჩევამდე თანმიმდევრობით უპასუხეთ ოთხ კითხვას: ვინ მართავს ბოლო წერტილს და რას ინახავს, რას ფარავს ხელსაწყო ამ მოწყობილობაზე, რომელ პორტებსა და დანიშნულებებს უშვებს გამავალი პოლიტიკა, და რას ამატებს აპლიკაცია ქსელური გზის მიღმა. დავალებას, რომელსაც ბევრი პროგრამისთვის ჩვეულებრივი ქსელური წვდომა სჭირდება, VPN სჭირდება. დავალებას, რომელსაც ბრაუზერის დონის დაცვები და წრედის მოდელი სჭირდება, Tor ბრაუზერი სჭირდება, განახლებული. თუ პასუხი «ორივეა», გაუშვით ისინი განზრახ თანმიმდევრობით და ჩაწერეთ, რომელ მისამართს ხედავს თითოეული მხარე.