Tor를 통한 VPN: 먼저 전송 확인부터

Tor 우선은 VPN 클라이언트가 SOCKS 프록시 뒤에 앉고, 터널 자체가 Tor를 통해 구축되며 애플리케이션 트래픽이 VPN 엔드포인트에서 나간다는 뜻이다. 이것은 하나의 특정한 순서이며, 대부분의 사람들이 구축하는 것과 다르다. Tor Browser를 일반 VPN 클라이언트 옆에 열어도 두 프로그램 중 어느 쪽도 상대의 경로를 쓰도록 강제되지 않는다.

확인을 순서대로 진행한다. 각 확인은 다음 확인을 시작할 가치가 있는지 결정한다.

실제로 어떤 순서를 구축하고 있는가

두 순서가 같은 대화에서 혼동된다. Tor 우선은 VPN 클라이언트가 SOCKS 프록시를 통해 서버에 도달하므로 터널이 Tor 위에 구축된다는 뜻이다. VPN 우선은 Tor 트래픽이 터널을 통해 나간다는 뜻이며, 대부분의 사람들은 이것을 우연히 구축한 뒤 다른 것이라고 설명한다. 전자는 전달 경계를 VPN 사업자에게 모으고, 후자는 Tor의 입구와 출구에 모은다. 둘 다 두 애플리케이션을 동시에 열어 둔다고 해서 얻는 것이 아니다.

무언가를 설정하기 전에 작업에 어느 순서가 필요한지 적는다. 둘은 서로 다른 소프트웨어 설정을 요구하고 서로 다른 지점에서 실패하기 때문이다. 순서를 잘못 붙이면 한 시간 동안 잘못된 계층을 디버깅하게 되며, 아래의 모든 내용은 Tor 우선을 전제로 한다.

무엇보다 먼저 전송을 확인한다

Tor의 SOCKS 인터페이스는 TCP 스트림을 운반하며 일반적인 UDP 연결을 제공하지 않는다. 전송이 UDP인 VPN은 그 프록시를 평범한 네트워크 인터페이스로 다룰 수 없고, 어떤 클라이언트 설정도 프록시가 전달하려는 범위를 바꾸지 못한다. 일반적인 형태의 WireGuard는 명백한 희생자다. TCP 모드의 OpenVPN 프로필이 흔한 해결책이며, 그것에게도 프록시를 쓰라고 명시해야 한다.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

그것을 통해 터널을 디버깅하기 전에 프록시가 듣고 있으며 단순한 HTTPS 요청 하나를 운반할 수 있는지 확인한다. 단순 요청이 실패하면 VPN 클라이언트는 절대 성공하지 못하며 그 로그는 이유를 알려 주지 않는다.

관찰자 지도를 다시 쓴다

Tor 입구는 Tor로 연결되는 출발지를 볼 수 있다 더 이른 무언가가 그것을 바꾸지 않았다면, 그래서 그 홉은 당신의 주소를 알게 된다. VPN 제공자는 Tor 쪽에서 오는 연결을 받지만 터널 안에서 보낸 계정, 결제 기록, 자격 증명을 여전히 알 수 있다. VPN을 통해 도달한 목적지는 Tor 출구가 아니라 VPN의 출구를 보며, 그것은 최종 전달 경계를 한 사업자에게 모은다.

그것은 또한 각 목적지로 분산된 경로를 다시 만들지 않는다. Tor Browser는 사이트마다 새 회로를 구축하지만, Tor 위에 실린 VPN은 터널 하나를 구축하고 그 뒤의 모든 사이트가 그 엔드포인트를 공유한다. 차이를 없애야 할 제약이 아니라 설계 사실로 다룬다.

깨질 때 실패 계층을 세어 본다

깨진 구성에는 SOCKS 연결, VPN 서버와의 TLS 핸드셰이크, VPN 자체의 핸드셰이크, 그리고 터널 안의 라우팅 또는 이름 해석이라는 적어도 네 개의 독립 계층이 있다. 각각 다른 증상으로 실패하고 각각 다른 수리가 필요하다. 터널이 올라오지 않는다고 인증서 검사를 완화하는 것은 전형적인 오진이며, 전송 문제를 보안 문제로 바꾼다.

실패한 첫 계층을 기록하고 거기서 멈춘다. 프록시 거부와 거부된 키는 같은 사건의 변형이 아니다.

위협 모델이 Tor Browser의 방어를 필요로 하면 멈춘다

Tor가 운반하는 VPN을 통해 임의의 애플리케이션을 라우팅해도 그 애플리케이션에 Tor Browser의 지문과 격리 기능이 생기지 않는다. 그들의 계정, 식별자, 자체 네트워크 행동은 여전히 관련이 있으며, 터널은 그중 어느 것도 정규화하지 않는다. 목표가 다른 사용자들과 섞이는 브라우저라면 이 순서는 그것을 제공하지 않는다.

Tor Project 스스로 사용자가 올바르게 구성할 수 없는 조합을 경고하며, 이것은 대부분의 사람에게 해당한다. 이것은 좁은 위협 모델을 위한 의도적 설계이지, 기기 전체의 익명 트래픽으로 가는 지름길이 아니다.