Tor per VPN: kas mato jūsų IP, o kas mato, kad naudojatės Tor?

Prisijungiate VPN klientą, palaukiate tunelio, tada atidarote Tor Browser ir leidžiate jam sukurti grandinę. Būtent ši įprasta seka nulemia, kas ką mato. Šia tvarka Tor įėjimo relė pasveikina jūsų VPN išėjimo adresą, o jūsų VPN tiekėjas pasveikina viešą apsaugos relę. Padarykite atvirkščiai ir abu stebėtojai pasikeis. Abi tvarkas verta peržiūrėti, nes kliento nustatymai tyliai sulaužo tvarką, kurią žmonės manė esant, o patikra, kuri tai pagauna, abiem atvejais ta pati.

Pradėkite nuo tvarkos, o ne nuo produkto

Du išdėstymai vadinami „VPN su Tor“, ir įprastas tik pirmasis. Kai Tor eina per VPN, tunelis jau pakeltas, kai Tor paleidžiamas, todėl tor procesas siunčia savo apsaugos ryšį į tunelį kaip ir bet kurį kitą išeinantį srautą. Kai VPN eina per Tor, pirmiausia pakyla Tor, o pati VPN sesija keliauja grandine ir pasiekia tiekėją iš Tor išėjimo.

Skirtumas tarp jų yra tai, kuris adresas stovi tolimajame išorinės grandies gale. Kiekvienas stebėtojas mato tik ankstesnį šuolį, niekada viso kelio: apsauga mato, kas prie jos prisijungė, o VPN serveris mato, kas prie jo prisijungė. Tor neperneša jūsų vietinio tunelio adreso į išorę, ir protokole nėra lauko, kuriame galėtų tai padaryti.

Abiem atvejais paskirties svetainė vis dar mato Tor išėjimą, ir nė viena tvarka nekeičia to, ką ta svetainė sužino iš jūsų prisijungimo. Skirtumas apsiriboja dviem kraštais.

Ką mato Tor įėjimo relė

Įėjimas, arba apsauga, priima įprastą TCP ryšį relės prievade ir pradeda TLS rankos paspaudimą su klientu. Tor-per-VPN išdėstyme to ryšio šaltinis yra jūsų VPN išėjimas. Tor-pirmiau išdėstyme tai adresas, kurį jūsų mašina naudojo pasiekti Tor tinklą, paprastai jūsų namų ryšys.

Tai atsako į IP pusę klausimo, bet tik jei tunelis iš tikrųjų pernešė ryšį. Tor procesas pasiekia apsaugą savo lizdu, ir tas lizdas nepavaldus Tor Browser tarpinio serverio nustatymams. Naršyklė kalba su įtrauktu tor procesu per SOCKS 9150 prievade, o tada tor atidaro savo ryšį naudodamas branduolio maršrutizavimo lentelę. Socks5Proxy eilutė torrc faile arba kliento transportas pakeičia tą kelią. Niekas kitas.

Linux sistemoje atsakymą galite perskaityti iš mašinos. Paklauskite branduolio, kurią sąsają jis naudotų savavališkam viešam adresui, tada pažiūrėkite į nustatyto ryšio vietinį adresą:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Jei maršrutas sako dev wg0 arba dev tun0, o nustatyto ryšio vietinis adresas yra tunelio adresas, Tor yra VPN viduje. Jei maršrutas nurodo jūsų fizinę sąsają, jis yra lauke, ką bebūtų teigtų paties kliento indikatorius.

Ką gali matyti jūsų VPN tiekėjas

Tiekėjas užbaigia jūsų VPN sesiją, todėl mato adresus, prie kurių jungiatės. Apsaugos relių adresai skelbiami viešajame konsensuse, o jų prievadai gerai žinomi, todėl vieno sutapatinimas yra sąrašo paieška, o ne gili paketų inspekcija. Tiekėjui nereikia sulaužyti Tor, kad žinotų, jog sesija yra Tor.

Ko jis nemato, tai likusi grandinės dalis. Vidurinė relė ir išėjimas parenkami Tor viduje, o tiekėjas tvarko tik grandį iki apsaugos. Puslapio turinys lieka TLS, kuris baigiasi išėjime, o Tor srauto vardų skaidymas taip pat vyksta išėjime, todėl tiekėjui nėra jokios DNS užklausos, kurią būtų galima susieti su paskirties vieta.

Tiltai su obfs4 keičia paiešką, o ne topologiją. Tilto adreso nėra viešame relių sąraše, o srautas formuojamas taip, kad neatrodytų kaip Tor, todėl operatorius, kuris tik lygina adresus, jo nepažymės. Sesija vis dar ateina iš jūsų VPN kliento, o tiekėjas vis dar mato vieną galinį tašką, vieną apimtį ir vieną tvarkaraštį.

Gebėjimas nėra saugojimo politika

Operatorius, kuris gali stebėti ryšį, nepažadėjo jo saugoti. Registravimas yra atskiras sprendimas, užrašytas politikoje, apribotas jurisdikcijos ir patikrinamas tik tais įrodymais, kuriais jau pasitikite. Žymė „be žurnalų“ nekeičia aukščiau aprašyto tinklo vaidmens.

Paskyros tapatybė paprastai svarbesnė už išėjimo adresą. Jei prisijungėte el. pašto adresu arba mokėjote kortele, tiekėjas gali susieti sesiją su jumis neregistruodamas nė vienos paskirties vietos. Išėjimo IP keitimas tam nieko nedaro.

Patikrinkite aprėptį prieš pasitikėdami bet kuriuo iš dviejų atsakymų

Dauguma manančių, kad paleidžia Tor per VPN, paleidžia tik jo dalį. Padalintas tuneliavimas, kuris neapima Tor Browser, išjungiklis, kuris apima naršyklę, bet ne tor tarnybą, paleidimo blokas, veikiantis prieš tunelio pakėlimą, ir IPv6 kelias aplink tunelį yra įprasti keturi.

Kliento būsenos ekrano skaitymas netikrina nė vieno jų. Testas, kuris tai daro: palikite Tor Browser veikti, nuleiskite tunelį ir stebėkite, ar apsaugos ryšys išlieka fizinėje sąsajoje.

Tvarka, kuria tikrinu, sustodamas ties pirmąja nesėkme:

• ip route get 203.0.113.10 grąžina tunelio įrenginį.
• ss -tnp | grep -i tor rodo apsaugos ryšį su vietiniu tunelio adresu.
• ip -6 route neturi numatytojo maršruto už tunelio ribų, arba kliente išjungtas IPv6.
• VPN numetimas užbaigia arba nukreipia tor ryšį, o ne palieka jį fizinėje grandyje.

Kuri tvarka tinka tam, ką ginat

Abi tvarkos ką nors slepia ir ką nors atskleidžia, todėl atsakymas yra pasirinkimas dėl stebėtojo, kuris jums rūpi.

Skaitykite stulpeliu, kol eilutė atitiks tai, ką bandote užkirsti kelią. Jei nerimas yra vietinis tinklas arba ISP, kuris registruoja ar blokuoja Tor, Tor per VPN su tuo susitvarko. Jei nerimas yra tai, kad VPN operatorius sužinos jūsų namų adresą, VPN per Tor su tuo susitvarko ir už tai sumoka atskleisdamas Tor naudojimą jūsų pačių tinklui, o namų adresą apsaugai.

Nė vienas išdėstymas nepalieka abiejų kraštų aklų. Stebėtojo pridėjimas nepašalina kito. Tor Project pastaba apie VPN naudojimą su Tor sako tą patį iš kitos pusės: tunelis keičia, kuo pasitikima ir kokie gedimų keliai egzistuoja, todėl tai ne patobulinimas, kurį pridedate nenusprendę, ką norėjote paslėpti.

Pirmiausia nuspręskite dėl stebėtojo, po to rinkitės tvarką ir tikrinkite su ip route get bei ss, o ne kliento indikatoriumi. Jei stebėtojas yra tas, kuris gali priversti patį VPN tiekėją, jokia tvarkos pasirinkimas to neištaiso.