Tor iwwer VPN: wien gesäit deng IP, a wien gesäit datt s du Tor benotz?

Du verbënns de VPN-Client, waarts op den Tunnel an danns du Tor Browser op a léisst en e Circuit bauen. Genee déi gewéinlech Rei entscheet, wien wat gesäit. An där Rei begréisst den Tor-Entrées-Relais deng VPN-Ausgangsadress, an däi VPN-Provider begréisst eng ëffentlech Guard-Relais. Maach et ëmgedréint an déi zwou Observateuren änneren sech. Béid Reien sinn et wäert duerchzegoen, well Client-Astellungen déi Rei, déi d'Leit gegleeft hunn wier a Kraaft, roueg briechen, an d'Prüfung déi dat fänkt ass a béide Fäll déi selwecht.

Fänk mat der Rei un, net mam Produkt

Zwou Opstellunge ginn „VPN mat Tor“ genannt, an nëmmen déi éischt ass heefeg. Bei Tor iwwer VPN ass den Tunnel schonn uewen, wann Tor start, also schéckt den tor-Prozess seng Guard-Verbindung an den Tunnel wéi all aner Ausgangsverkéier. Bei VPN iwwer Tor kënnt Tor als éischt erop an d'VPN-Sessioun selwer reest duerch de Circuit a kënnt beim Provider vun engem Tor-Ausgang un.

Wat sech tëschent hinnen ännert, ass wéi eng Adress um wäitem Enn vum baussechte Glidd steet. All Observateur gesäit nëmmen de virege Sprong, ni de ganze Wee: de Guard gesäit wien sech mat him verbonnen huet, an de VPN-Server gesäit wien sech mat him verbonnen huet. Tor dréit deng lokal Tunneladress net no baussen, an et gëtt kee Feld am Protokoll wou et dat kéint.

A béide Reien gesäit d'Destinatiounswebsäit nach ëmmer en Tor-Ausgang, an keng Rei ännert wat déi Säit aus dengem Login léiert. Den Ënnerscheed ass op déi zwou Kante beschränkt.

Wat den Tor-Entrées-Relais gesäit

Den Entrée, oder Guard, akzeptéiert eng gewéinlech TCP-Verbindung op engem Relais-Port a fänkt en TLS-Handshake mam Client un. An enger Tor-iwwer-VPN-Opstellung ass d'Quell vun där Verbindung deng VPN-Ausgang. An enger Tor-éischt-Opstellung ass et déi Adress déi deng Maschinn benotzt huet fir den Tor-Netzwierk z'erreechen, normalerweis deng Heemverbindung.

Dat beäntwert d'IP-Halschent vun der Fro, awer nëmmen wann den Tunnel d'Verbindung wierklech gedroen huet. Den Tor-Prozess erreecht de Guard mat sengem eigenen Socket, an dee Socket gëtt net vun den Proxy-Astellungen vum Tor Browser regéiert. De Browser schwätzt mam agebaute tor-Prozess iwwer SOCKS op 9150, an dann mécht tor seng eege Verbindung mat der Routingtabell vum Kernel op. Eng Socks5Proxy-Linn an torrc, oder en Client-Transport, ännert dee Wee. Soss näischt.

Op Linux kanns du d'Äntwert vun der Maschinn liesen. Fro de Kernel wéi eng Interface en fir eng arbiträr ëffentlech Adress géif benotzen, a kuck dann op déi lokal Adress vun der etabléierter Verbindung:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Wann d'Route dev wg0 oder dev tun0 seet, an déi lokal Adress op der etabléierter Verbindung d'Tunneladress ass, ass Tor bannent der VPN. Wann d'Route deng physesch Interface nennt, ass et dobaussen, wat och ëmmer den eegenen Indikator vum Client behaapt.

Wat däi VPN-Provider gesäit

De Provider terminéiert deng VPN-Sessioun, also gesäit en d'Adressen mat deenen s du sech verbënns. Guard-Relais-Adresse ginn am ëffentleche Konsens publizéiert an hir Porte si bekannt, also ass eng ze passen eng Lëschtsich, net eng déif Paketinspektioun. E Provider brauch Tor net ze briechen fir ze wëssen datt eng Sessioun Tor ass.

Wat en net gesäit, ass de Rescht vum Circuit. De Mëttel-Relais an den Ausgang ginn bannent Tor ausgewielt, an de Provider behandelt nëmmen d'Glidd bis zum Guard. De Säiteninhalt bleift bannent TLS deen um Ausgang ophält, an d'Nimmopliesung fir Tor-Verkéier geschitt och um Ausgang, also gëtt et keng DNS-Ufro beim Provider fir mat engem Destinatioun ze korreléieren.

Brücken mat obfs4 änneren d'Sich, net d'Topologie. Eng Brückenadress fehlt an der ëffentlecher Relaislëscht an de Verkéier gëtt geformt fir net wéi Tor auszegesinn, also en Operateur deen nëmmen Adressen vergläicht wäert se net markéieren. D'Sessioun kënnt nach ëmmer vun dengem VPN-Client, an de Provider gesäit nach ëmmer een Endpunkt, een Volumen an een Zäitplang.

Fäegkeet ass keng Opbewahrungspolitik

En Operateur deen eng Verbindung observéiere kann huet net versprach se ze halen. Logging ass eng separat Entscheedung, an enger Politik opgeschriwwen, duerch Jurisdiktioun begrenzt a nëmmen duerch Beweiser iwwerpréifbar déi s du schonn trausch. En Etikett ouni Loge ännert d'Netzwierkroll déi uewe beschriwwe steet net.

D'Kontoidentitéit ass normalerweis wichteger wéi d'Ausgangsadress. Wann s du sech mat enger E-Mailadress ugemellt hues, oder mat Kaart bezuelt hues, kann de Provider d'Sessioun mat dir verbannen ouni eng eenzeg Destinatioun ze loggen. Ausgangs-IPen ze rotéieren ännert dorun näischt.

Préif d'Ofdeckung ier s du eng vun den zwou Äntwerten trausch

Déi meescht Leit déi gleewen se bedreiwen Tor iwwer VPN bedreiwen nëmmen en Deel dovun. Split-Tunneling deen Tor Browser ausschléisst, e Kill-Switch deen de Browser awer net den tor-Service deckt, eng Starteenheet déi leeft ier den Tunnel uewen ass, an en IPv6-Wee ronderëm den Tunnel sinn déi gewéinlech véier.

D'Statusschirm vum Client liesen testt kee vun hinnen. Dee Test deen et mécht: loos Tor Browser lafen, zitt den Tunnel erof a kuckt ob d'Guard-Verbindung op der physescher Interface iwwerlieft.

D'Rei an där ech préifen, a stoppen beim éischte Fehler:

• ip route get 203.0.113.10 gëtt d'Tunnelapparat zréck.
• ss -tnp | grep -i tor weist d'Guard-Verbindung mat enger lokaler Tunneladress.
• ip -6 route huet keng Standardroute baussent dem Tunnel, oder IPv6 ass am Client aus.
• D'VPN erofzelen beendet oder leet d'tor-Verbindung ëm amplaz se um physesche Glidd ze loossen.

Wéi eng Rei passt zu deem wat s du verdeedegs

Béid Reien verstoppen eppes a leeën eppes oppen, also ass d'Äntwert eng Wiel iwwer den Observateur deen dir wichteg ass.

Lies et duerch Spalten bis eng Zeil zum deem passt wat s du wëlls verhënneren. Wann d'Suerg e lokalen Netzwierk oder en ISP ass deen Tor ophëlt oder blockéiert, këmmert sech Tor iwwer VPN dorëm. Wann d'Suer ass datt den VPN-Operateur deng Heemadress léiert, këmmert sech VPN iwwer Tor dorëm, an bezilt et doduerch datt en d'Tor-Benotzung dengem eegene Netzwierk an d'Heemadress dem Guard weist.

Keng Opstellung léisst déi zwou Kante blend. En Observateur derbäizesetzen hëlt keen aneren ewech. D'Notiz vum Tor Project iwwer eng VPN mat Tor bedreiwen seet datselwecht vun der anerer Säit: den Tunnel ännert wiem een traut a wéi eng Feelerweeër et gëtt, also ass et keen Upgrade deen een derbäisetzt ouni ze entscheeden wat s du wëlls verstoppen.

Entscheet d'éischt den Observateur, wielt dann d'Rei, a verifizéiert mat ip route get an ss amplaz mam Indikator vum Client. Wann den Observateur een ass deen de VPN-Provider selwer ka forcéieren, da mécht keng Reiwal dat richteg.