Tor-Ausgangsrelay géint VPN-Ausgangsserver: wat jidderee weess

Béid Konstruktioune verstoppen Är Adress hannert enger ëffentlecher IP, an eng Websäit, déi d'Adress dréckt, déi se gesäit, kann se net ënnerscheeden. Den Ënnerscheed ass, wien ënnerwee wat léiert, wéi vill Trafik ofgedeckt ass a wéi eng Porte funktionéiere kënnen. En Tor-Ausgangsrelay ass de leschte Sprong vun engem Circuit aus dräi Relaien; en VPN-Ausgangsserver terminéiert Ären Tunnel an opent d'Verbindung no baussen selwer. Hei ass, wéi ech décidéieren, wat eng Aufgab brauch, a wat ech kontrolléieren, ier ech unhuelen, datt dee sech wéi deen aneren hält.

Zwéi Weeër, déi op enger Adress ophalen

Tor baut en Circuit duerch e Wuechter, e Mëttelrelais an en Ausgang an encrypt d'Laascht a Schichten, sou datt all Relais nëmmen seng eege Schicht schält. Den Ausgang mécht déi gewéinlech TCP-Verbindung zum Zil, dofir gesäit d'Zil d'Ausgangsadress. Aree Client schwätzt ni direkt mat dem Zil, an de Wuechter gesäit et och net.

En VPN ass ee Tunnel zu engem Endpunkt. De Server vum Bedreiwer hëlt den Tunnel ewech an opent d'Verbindung no baussen, sou datt d'Zil och eng eenzeg Adress gesäit, dëst Kéier déi vum Bedreiwer. D'observéierbar Resultat ass datselwecht; d'Wëssen net. En Test, deen eng IP dréckt, äntwert op wéi engem System Dir sidd an seet näischt iwwer d'Vertrauensverdeelung, déi sech tatsächlech ënnerscheet.

Wien am End wat weess

Den VPN-Endpunkt gesäit d'Quelladress, d'Zil, den Timing an de Volume op enger Plaz. Dës Konzentratioun ass den Design: ee Bedreiwer, eng Logfläch, eng Plaz fir eng Zeienausso oder eng falsch Konfiguratioun. Alles, wat Dir gewënnt, kënnt aus dem Vertrauen an déi Partei an aus der Ausgangspolitik vum Endpunkt.

Tor deelt dëst Wëssen. De Wuechter kennt Är Adress awer net d'Zil; den Ausgang kennt d'Zil awer net Är Adress. En Relais soll net béides léieren. Dat ass eng strukturell Eigenschaft, keen Verspriechen géint e globalen Observateur, en Relais deen Zäiten korreléiert oder en Endpunkt, deen iwwerholl gouf, also behandelt et als eng aner Verdeelung vum selwechte Risiko an net als Anonymitéit, déi net ka versoen.

D'Ofdeckung ass eng Browser- oder eng Route-Entscheedung

Den Tor Browser routet säin eegene Trafik a bäisetzt Schutz, deen e gewéinleche VPN-Client net reproduzéiert: Widderstand géint Fingerofdréck, Isolatioun vun der éischter Partei, eng fix Fënstergréisst an eng Aktioun Nei Identitéit, déi de Sitzungszoustand ewechgeheit. Aner Applikatiounen benotzen deen Circuit net, ausser se sinn dofir konfiguréiert, an eng systemwäit Tor-Astellung ass en eegene Projet vun der Installatioun vum Browser.

En VPN huet déi ëmgekéiert Form. D'Ofdeckung follegt der Routentabell, sou datt e WireGuard-Profil mat AllowedIPs = 0.0.0.0/0 alles fänkt an eng Split-Tunnel-Lëscht nëmmen d'Präfixer, déi se nennt. Genau an deem Mechanismus wunnen och d'Lächer: DNS-Ufroen, IPv6 an WebRTC kënnen all ee Wee huelen, deen d'Routpolitik net abegraff huet. Kontrolléiert vun bannen an der Applikatioun, déi versot huet, net vun engem Browser-Tab, deen eventuell eng aner Schnëttstell benotzt.

Portpolitik, blockéiert Ziler an HTTPS

En Ausgangsrelais däerf auslännesch Porten ofleenen, an d'Standardpolitik verwërft eng Lëscht vu mëssbrauchsufällege Porten, dorënner SMTP-Port 25. Dofir versot e Mailclient, deen iwwer Tor konfiguréiert ass, um Ausgang, wat wéi e Netzwierkfehler ausgesäit an et net ass. Bedreiwer, déi e Relais bedreiwen, setzen dat explizit:

# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25

D'Ziler blockéieren och, a si blockéieren déi zwéi Systemer anescht. Tor-Ausgangsadresse ginn publizéiert, sou datt eng Säit déi ganz Lëscht ofleene kann; VPN-Endpunkte sëtzen a Rechenzentrumsberäicher, déi genee esou liicht ofgeleent ginn. Wann eng Säit versot, trennt déi dräi Kandidaten, ier Dir eppes ännert: Ausgangs- oder Auslänneschpolitik, en Zil, dat d'Quell ofleent, oder e Captive Portal, deen déi éischt Ufro kapert.

Keen vun deenen zwéi Systemer ersetzt d'Transportverschlësselung. Einfache HTTP ass um Ausgangsrelais an um VPN-Endpunkt gläichermoossen liesbar, also loosst HTTPS un an liest d'Zertifikatswarnung, amplaz se ze verwerfen. Zwou Kontrollen entscheeden d'Routfro séier: curl -s https://check.torproject.org/api/ip gëtt IsTor zréck, wann d'Ufro duerch e Circuit gaangen ass, an curl -s https://ifconfig.me weist d'Ausgangsadress, déi en VPN présentéiere géif. Béid lafe loossen Iech wëssen, wéi ee Wee d'Shell tatsächlech benotzt.

Benotzt deen een net wéi deen aneren

D'Adress vun engem Ausgangsrelais ass kee VPN-Profil. En OpenVPN- oder WireGuard-Client op e Relais op Port 443 ze riichten, schaaft keen Tunnel, well do keng VPN-Service lauschtert; d'Relais ass e Sprong am Circuit vun engem aneren. An déi aner Richtung ass en VPN-Endpunkt keen Entréespunkt fir Tor, an d'Bréckeastellunge vum Tor Browser sinn net d'Plaz, fir en Hostnumm vun engem kommerziellen VPN ze pechen. Wann Dir Tor iwwer e VPN bedreift, gesäit de Wuechter d'VPN-Adress amplaz vun Ärer, wat d'Verdeelung ännert, ouni déi zwou Rollen ze fusionéieren.

Ier Dir wielt, beäntwert véier Froen an der Rei: wien den Endpunkt bedreift a wat en hält, wat d'Instrument op dësem Apparat ofdeckt, wéi eng Pforten an Ziler d'Ausgangspolitik erlaabt, a wat d'Applikatioun iwwer de Netzwierkwee eraus bäisetzt. Eng Aufgab, déi gewéinlechen Netzwierkzougang fir vill Programmer brauch, wëll en VPN. Eng Aufgab, déi de Schutz op Browser-Niveau an de Circuitmodell brauch, wëll den Tor Browser, aktuell gehal. Wann d'Äntwert «béides» ass, lafe se an enger bewosster Rei an schreift op, wéi eng Adress all Säit gesäit.