Tor relejas prieš VPN serverį: kodėl jie nepakeičiami

Atviras portas Tor relejuje nėra VPN galinis taškas. Pirmiausia patikrinkite, ką aptarnauja portas, relejo vaidmenį, SOCKS klausytojo aprėptį ir profilį.

Turite adresą, portas atsako, o klientas jį priima be jokių priekaištų. Nė vienas iš to nepaverčia Tor relejo VPN galiniu tašku, o klaida brangi, nes profilis įkeliamas švariai ir vėliau nepavyksta per rankos paspaudimą. Žemiau pateiktus keturis patikrinimus naudoju iš eilės; kiekvienas turi sustojimo sąlygą, ir sustoti anksti yra esmė. Jei pirmasis patikrinimas nepavyksta, kiti jums nepadės.

Patikrinkite, ką portas iš tikrųjų aptarnauja

Atviras portas įrodo klausytoją, nieko daugiau. Relejo ORPort po TLS rankos paspaudimo kalba savo Tor celėmis, todėl sėkmingas TLS patikrinimas beveik nieko nesako apie tai, ar ten priimamas VPN protokolas:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Skaitykite sertifikatą, o ne faktą, kad jis egzistuoja. Relejai pateikia savarankiškai pasirašytą sertifikatą tyčia neįsidėmėtinu vardu, nes relejo srautas turi priminti įprastą HTTPS; o VPN serverio sertifikatas turi vardą, kurio tikisi jūsų profilis. Jei priešinga pusė niekada neatsako į pirmąjį VPN protokolo paketą, joks profilio redagavimas rezultato nepakeis.

Sustokite čia, jei adresas nebaigia rankos paspaudimo, kurį siunčia jūsų klientas. Tai protokolo atsakymas, o ne konfigūracijos problema, ir tai yra dažniausia priežastis, kodėl įkeltas profilis amžinai lieka ties 'connecting'.

Patikrinkite relejo vaidmenį, o ne tinklo dydį

Relejo vaidmenys atlieka skirtingą darbą. Guard yra pirmasis šuolis klientams, vidurinis relejas perduoda grandines tarp kitų relejų, exit yra tas, kuris paliečia paskirties vietas, o tiltas yra neviešas įėjimo taškas, platinamas per BridgeDB. Tor žodynas laiko šiuos apibrėžimus atskirai, o pasiekiamumas yra kiekvieno vaidmens dalis, tuo tarpu leidimas aptarnauti savavališkus klientus nėra nė vieno iš jų dalis.

Exit politika verta skaityti, nes tai vienintelė dalis, primenanti persiuntimo taisyklę, ir ji reguliuoja paskirties vietas, į kurias exit leis išeiti, o ne klientus, kuriems leidžiama patekti. Ribojanti exit politika, blokuojanti 25 portą, kai ką sako apie išeinančio piktnaudžiavimo kontrolę, o ne apie tai, ar galite nukreipti OpenVPN klientą į mašiną.

Sustokite, jei samprotaujate iš reputacijos: kadangi relejai perduoda srautą, adresas turi priimti jūsų. Tor renkasi kelius pagal konsensusą ir savo protokolą; VPN klientas nėra dalyvis ir neturi grandinės, prie kurios prisijungtų.

Patikrinkite, ar SOCKS klausytojas yra vietinis, ar viešas

Tor klientas atveria SOCKS sąsają tos pačios mašinos programoms, pagal nutylėjimą loopback adresu. Tas klausytojas yra vietinė patogybė, o ne paslauga, kurią relejas siūlo internetui, ir jo traktavimas kaip viešo proxy yra kelias, kuriuo žmonės galiausiai paleidžia atvirą releją, kurio neketino:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Susiejimo adresas yra užuomina. SocksPort adresu 127.0.0.1:9050 daro savo darbą; tas, kuris klausosi adresu 0.0.0.0 ir pasiekiamas iš išorės, yra atviras proxy, o paties Tor prieigos politikos kontrolė egzistuoja būtent todėl, kad šis atskleidimas yra problema, o ne funkcija.

Programai, kuriai reikia Tor, nukreipkite ją į loopback portą ir leiskite Tor išspręsti vardus, ką ir daro aukščiau pateikta socks5h forma. Nekeiskite relejo adreso šiuo portu; relejas nesiūlo sąsajos, kurios prašo jūsų programa.

Patikrinkite, ar VPN profilis atitinka tikrą galinį tašką

VPN profilis yra lūkesčių rinkinys: OpenVPN reikia serverio sertifikato arba CA, kliento sertifikato ir rakto, ir dažniausiai TLS rakto, o WireGuard reikia kitos pusės viešo rakto, galinio taško ir leidžiamų IP. Nė vieno iš jų negalima išvesti iš adreso ir atviro porto, todėl taip sukurtas profilis nepavyksta per pirmąjį pasikeitimą, o ne jungiantis.

Kai jums perduodamas profilis, patikrinkite jį pagal jūsų kontroliuojamą galinį tašką arba tiekėją, kurį galite atpažinti:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN žurnale TLS derybų klaida tiesiogiai įvardija neatitikimą; wg show išvestyje kita pusė be rankos paspaudimo eilutės niekada nė vieno nebaigė. Abi yra informatyvesnės už kliento besisukantį indikatorių, ir abi nurodo raktų medžiagą arba protokolą, o ne Tor.

Patikrinkite, kokios apsaugos jums iš tikrųjų reikia

Tai patikrinimas, kuris nulemia architektūrą. Tor naršyklė suteikia grandinių izoliaciją ir apsaugą nuo pirštų atspaudų, kurios VPN nesuteikia; VPN pakeičia adresą, kurį mato paskirties vieta, ir autentifikuoja jus pas tiekėją. Pasirinkimas tarp jų yra grėsmių modelio klausimas, o ne suderinamumo, ir jų painiojimas sukuria sąranką, kuri atrodo privati, bet tokia nėra.

Grandinė turi tvarką. VPN, perduodantis Tor srautą, yra palaikoma sąranka, nes Tor klientui reikia tik išeinančio TCP. VPN klientas, tuneliuojamas Tor viduje, nėra tas pats ir nėra tai, ką įgyvendina Tor klientas, todėl neplanuokite tuo remdamiesi.

Prieš ką nors įkeldami, patvirtinkite visus keturis:

  • Portas užbaigia jūsų protokolo rankos paspaudimą, o ne tik TCP ryšį.
  • Žinote pagrindinio kompiuterio vaidmenį ir nelaikote persiuntimo leidimu.
  • Naudojamas SOCKS klausytojas yra loopback ir jūsų, o ne viešas portas kito relejuje.
  • Profilio raktai arba sertifikatai priklauso galiniam taškui, prie kurio jungiatės.

Susiję straipsniai