Tor релесі мен VPN сервері: неге олар бірін-бірі алмастырмайды

Tor релесіндегі ашық порт VPN соңғы нүктесі емес. Алдымен порттың неге қызмет ететінін, реленің рөлін, SOCKS тыңдаушысының ауқымын және профильді тексеріңіз.

Сізде мекенжай бар, порт жауап береді және клиент оны ешқандай шағымсыз қабылдайды. Бұлардың ешқайсысы Tor релесін VPN соңғы нүктесі етпейді және қате қымбатқа түседі, өйткені профиль таза импортталып, кейін қол алысу кезінде сәтсіз аяқталады. Мен төмендегі төрт тексеруді ретімен қолданамын; әрқайсысының тоқтау шарты бар және ерте тоқтау — бұл басты мәселе. Бірінші тексеру сәтсіз болса, қалғандары көмектесе алмайды.

Порттың шын мәнінде неге қызмет ететінін тексеріңіз

Ашық порт тек тыңдаушының бар екенін дәлелдейді, одан артық емес. Реленің ORPort-ы TLS қол алысуынан кейін Tor-дың өз ұяшықтарымен сөйлеседі, сондықтан сәтті TLS тексеруі онда VPN протоколының қабылданатыны туралы ештеңе дерлік айтпайды:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Сертификаттың барын емес, сертификаттың өзін оқыңыз. Релелер әдейі көзге түспейтін атаумен өзі қол қойған сертификат ұсынады, өйткені реле трафигі қарапайым HTTPS-ке ұқсауы керек; ал VPN серверінің сертификаты профиліңіз күтетін атауды алып жүреді. Егер қарсы тарап VPN протоколының бірінші пакетіне ешқашан жауап бермесе, профильді қанша өңдесеңіз де нәтиже өзгермейді.

Егер мекенжай клиентіңіз жіберетін қол алысуды аяқтамаса, осы жерде тоқтаңыз. Бұл протоколдың жауабы, конфигурация мәселесі емес, және импортталған профильдің мәңгі 'connecting' күйінде қалуының ең жиі себебі осы.

Желінің мөлшерін емес, реленің рөлін тексеріңіз

Реле рөлдері түрлі жұмыс атқарады. Guard клиенттер үшін бірінші секіріс, ортаңғы реле тізбектерді басқа релелер арасында жібереді, exit мақсаттарға жанасатын рөл, ал көпір BridgeDB арқылы таратылатын жария емес кіру нүктесі. Tor-дың сөздігі бұл анықтамаларды бөлек ұстайды, қолжетімділік әр рөлдің бөлігі, ал кез келген клиентке қызмет көрсету рұқсаты олардың ешқайсысының бөлігі емес.

Exit саясатын оқыған жөн, өйткені ол қайта жіберу ережесіне ұқсайтын жалғыз бөлік және exit қай мақсаттарға сыртқа шығуға рұқсат беретінін реттейді, ішке кіруге рұқсат етілген клиенттерді емес. 25-портты бөгейтін қатаң exit саясаты сыртқа шығатын теріс пайдалануды бақылау туралы бірдеңе айтады, OpenVPN клиентін машинаға бағыттауға болатыны туралы емес.

Егер беделге сүйеніп пайымдасаңыз, тоқтаңыз: релелер трафикті жіберетіндіктен, мекенжай сіздікін қабылдауы керек деген қате. Tor жолдарды консенсус және өз протоколы арқылы таңдайды; VPN клиенті қатысушы емес және қосылатын тізбегі жоқ.

SOCKS тыңдаушысының жергілікті немесе жария екенін тексеріңіз

Tor клиенті сол машинадағы қолданбаларға SOCKS интерфейсін ұсынады, әдепкі бойынша loopback-та. Бұл тыңдаушы жергілікті қолайлық, реленің интернетке ұсынатын қызметі емес, және оны жария прокси ретінде қарау адамдардың өздері ойламаған ашық релені іске қосуына әкеледі:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Байланыстыру мекенжайы — белгі. 127.0.0.1:9050-дегі SocksPort өз жұмысын істеп тұр; 0.0.0.0-де тыңдап, сырттан қолжетімді болғаны ашық прокси, ал Tor-дың өз қатынау саясатын бақылауы дәл осы әшкерелеу функция емес, мәселе болғандықтан бар.

Tor қажет қолданба үшін оны loopback портына бағыттап, атауларды Tor шешсін, жоғарыдағы socks5h пішімі соны жасайды. Ол портқа реленің мекенжайын қоймаңыз; реле қолданбаңыз сұрайтын интерфейсті ұсынбайды.

VPN профилінің нақты соңғы нүктеге сәйкестігін тексеріңіз

VPN профилі — күтулер жиынтығы: OpenVPN-ге сервер сертификаты немесе CA, клиент сертификаты мен кілт, әдетте TLS кілті қажет, ал WireGuard-қа қарсы тараптың ашық кілті, соңғы нүкте және рұқсат етілген IP қажет. Бұлардың ешқайсын мекенжай мен ашық порттан шығаруға болмайды, сондықтан осылай құрылған профиль қосылу кезінде емес, бірінші алмасуда сәтсіз аяқталады.

Сізге профиль берілгенде, оны өзіңіз басқаратын соңғы нүктеге немесе тани алатын провайдерге қарсы тексеріңіз:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN журналында TLS келіссөз қатесі сәйкессіздікті тікелей атайды; wg show шығысында қол алысу жолы жоқ қарсы тарап ешқашан оны аяқтамаған. Екеуі де клиенттің айналмалы көрсеткішінен гөрі ақпараттырақ және екеуі де Tor-ға емес, кілт материалына немесе протоколға нұсқайды.

Шын мәнінде қандай қорғаныс қажет екенін тексеріңіз

Бұл — архитектураны шешетін тексеру. Tor Browser сізге VPN-де жоқ тізбек оқшаулауын және саусақ іздеріне қарсы қорғанысты береді; VPN мақсат көретін мекенжайды өзгертіп, сізді провайдер алдында аутентификациялайды. Екеуінің арасында таңдау — қауіп моделінің мәселесі, үйлесімділік мәселесі емес, ал оларды шатастыру жеке көрінетін, бірақ ондай болмайтын конфигурация тудырады.

Тізбектеудің реті бар. Tor трафигін тасымалдайтын VPN — қолдау көрсетілетін орналасу, өйткені Tor клиентіне тек шығыс TCP қажет. Tor ішінде туннельденген VPN клиенті бір нәрсе емес және Tor клиенті жүзеге асыратын нәрсе де емес, сондықтан соған сүйеніп жоспарламаңыз.

Бірдеңе импорттамас бұрын төртеуін де растаңыз:

  • Порт протоколыңыздың қол алысуын аяқтайды, тек TCP қосылысын емес.
  • Хосттың рөлін білесіз және қайта жіберуді рұқсат деп санамайсыз.
  • Пайдаланатын SOCKS тыңдаушысы loopback және сіздікі, біреудің релесіндегі жария порт емес.
  • Профильдің кілттері немесе сертификаттары қосылатын соңғы нүктеге тиесілі.

Қатысты мақалалар