Tor-Relay géint VPN-Server: firwat si se net austauschbar

En oppene Port op engem Tor-Relay ass keen VPN-Endpunkt. Préift als éischt, wat de Port servéiert, d'Roll vum Relay, de Beräich vum SOCKS-Lauschterer an de Profil.

Dir hutt eng Adress, de Port äntwert, an e Client akzeptéiert se ouni Klag. Näischt dovu mécht en Tor-Relay zu engem VPN-Endpunkt, an de Feeler ass deier, well de Profil propper importéiert gëtt an duerno beim Handshake versot. Ech benotzen déi véier Kontrollen hei drënner an der Rei; all huet eng Stoppbedingung, an et fréi ze stoppen ass just de Punkt. Wann déi éischt Kontroll versot, kënnen déi aner Iech net hëllefen.

Préift, wat de Port tatsächlech servéiert

En oppene Port beweist en Zuhörer, méi net. Den ORPort vun engem Relay schwätzt no engem TLS-Handshake d'eegen Zellen vum Tor, dofir seet eng gelungen TLS-Prüfung bal näischt doriwwer, ob do e VPN-Protokoll akzeptéiert gëtt:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Liest d'Zertifikat amplaz vun der Tatsaach, datt eng existéiert. Relays presentéieren en selbstsignéierten Zertifikat mat engem bewosst onopfällegen Numm, well den Traffic vum Relay engem normalen HTTPS gläiche soll; den Zertifikat vun engem VPN-Server dréit den Numm, deen Äre Profil erwaart. Wann de Géigeniwwer ni op dat éischt Paket vum VPN-Protokoll äntwert, ännert keng nach esou vill Profilännerung d'Resultat.

Stoppt hei, wann d'Adress de Handshake net fäerdeg mécht, deen Äre Client schéckt. Dat ass eng Äntwert vum Protokoll, kee Konfiguratiounsproblem, an dat ass dee meescht heefegste Grond, firwat en importéierte Profil fir ëmmer op 'connecting' steet.

Préift d'Roll vum Relay, net d'Gréisst vum Netz

Relayrollen maachen ënnerschiddlech Aarbecht. E Guard ass den éischten Hopp fir Cliente, e Mëttelrelay leet Circuiten tëschent aneren Relays virun, en Exit ass deen, deen Destinatiounen beréiert, an eng Bréck ass en net-ëffentlechen Entréespunkt, dee iwwer BridgeDB verdeelt gëtt. D'Glossar vum Tor hält déi Definiziounen getrennt, an d'Erreechbarkeet ass Deel vun all Roll, wärend d'Erlaabnis, arbiträr Clienten ze servéieren, zu kenger gehéiert.

D'Exit-Politik ass d'Liesen wäert, well se deen eenzege Deel ass, deen enger Weiderleesungsregel gläicht, an se regelt d'Destinatiounen, déi den Exit erausloossen, net d'Clienten, déi eragee gelooss ginn. Eng restriktiv Exit-Politik, déi de Port 25 blockéiert, seet eppes iwwer d'Kontroll vum erausgehe missbrauch, net doriwwer, ob Dir en OpenVPN-Client op d'Maschinn ausrichte kënnt.

Stoppt, wann Dir vum Ruff hier argumentéiert: well Relays Traffic weiderleeden, muss d'Adress Ären akzeptéieren. Tor wielt Weeër iwwer Konsens a säin eegene Protokoll; en VPN-Client ass keen Deelhueler an huet kee Circuit, deem en sech uschléisse kënnt.

Préift, ob de SOCKS-Zuhörer lokal oder ëffentlech ass

De Client vum Tor exponéiert eng SOCKS-Schnittstell fir Applikatiounen op der selwechter Maschinn, standardméisseg um Loopback. Dee Zuhörer ass eng lokal Bequemlechkeet, keen Déngscht, deen en Relay dem Internet ubitt, an en als ëffentlechen Proxy ze behandelen ass de Wee, wéi d'Leit am Schluss en oppene Relay bedreiwen, deen se net gemengt haten:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

D'Bindadress ass den Hiwäis. En SocksPort op 127.0.0.1:9050 mécht seng Aarbecht; een, deen op 0.0.0.0 lauschtert an dobaussen erreechbar ass, ass en oppene Proxy, an dem Tor seng eege Zougrëffspolitik-Kontrollen existéieren just well déi Expositioun e Problem an net eng Funktioun ass.

Fir eng Applikatioun, déi Tor brauch, richt se op de Loopback-Port an a loosst den Tor Nimm opléisen, wat d'Form socks5h hei uewen mécht. Ersetzt keng Relayadress duerch dee Port; de Relay bitt déi Schnittstell net un, déi Är Applikatioun freet.

Préift, ob de VPN-Profil zu engem richtegen Endpunkt passt

E VPN-Profil ass e Bündel vun Erwaardungen: OpenVPN brauch den Zertifikat vum Server oder d'CA, e Clientzertifikat an e Schlëssel, an normalerweis en TLS-Schlëssel, wärend WireGuard de publique Schlëssel vum Géigeniwwer, en Endpunkt an erlaabt IPe brauch. Näischt dovu kann aus enger Adress an engem oppenen Port ofgeleet ginn, dofir versot esou e gebaute Profil beim éischten Austausch an net beim Verbannen.

Wann Iech e Profil iwwerreecht gëtt, iwwerpréift en géint en Endpunkt, deen Dir kontrolléiert, oder en Ubieder, deen Dir identifizéiere kënnt:

wg show
openvpn --config client.ovpn --verb 4

Am OpenVPN-Log nennt en TLS-Verhandlungsfeeler d'Differenz direkt; an wg show huet en Géigeniwwer ouni Handshake-Zeil ni eng fäerdeg bruecht. Béides ass méi informativ wéi dem Client säin dréiende Indikator, a béides weist op Schlësselmaterial oder Protokoll an net op Tor.

Préift, wéi eng Schutz Dir tatsächlech braucht

Dëst ass d'Kontroll, déi d'Architektur entscheet. Den Tor Browser gëtt Iech Circuit-Isolatioun a Fingerofdrock-Verteidegung, déi eng VPN net huet; eng VPN ännert d'Adress, déi eng Destinatioun gesäit, an authentifizéiert Iech bei engem Ubieder. Tëschent deenen zwee ze wielen ass eng Fro vum Bedroungsmodell, keng Fro vun der Kompatibilitéit, an se ze vermëschen ergëtt eng Konfiguratioun, déi privat ausgesäit an et net ass.

Verkettung huet eng Rei. Eng VPN, déi Tor-Traffic dréit, ass eng ënnerstëtzt Arrangement, well de Client vum Tor just erausgehend TCP brauch. En VPN-Client, deen am Tor getunnelt ass, ass net d'selwecht a net dat, wat den Tor-Client ëmsetzt, also plangt net drop.

Ier Dir eppes importéiert, bestätegt all véier:

  • De Port fäerdeg de Handshake vun Ärem Protokoll, net just eng TCP-Verbindung.
  • Dir kennt d'Roll vum Host a behandelt d'Weiderleeung net als Erlaabnis.
  • Den SOCKS-Zuhörer, deen Dir benotzt, ass Loopback an Äre, keen ëffentleche Port op engem aneren sengem Relay.
  • D'Schlëssele oder Zertifikater vum Profil gehéieren zum Endpunkt, mat deem Dir Iech verbënnt.

Ähnlech Artikelen