VPN prieš Tor: ką iš tiesų keičia tvarka

Pirmiausia prisijungus VPN sukuriama konkreti grandinė: įrenginys, VPN galinis taškas, Tor įėjimas, Tor grandinė, paskirties vieta. Jūsų vietinis tinklas mato vieną šifruotą ryšį su VPN, o Tor įėjimo mazgas mato VPN išėjimą kaip tiesioginį šaltinį vietoj jūsų tiekėjo adreso. VPN operatorius savo ruožtu mato ryšius link Tor įėjimo infrastruktūros ir gali iš paskirties vietų nuspėti Tor naudojimą. Kiekvienas stebėtojas ką nors praranda ir ką nors gauna, todėl tvarka yra mainai, o ne patobulinimas.

Niekas toje grandinėje nekeičia to, ką svetainė sužino iš jūsų paskyros, slapukų ar įvestų duomenų.

Ką keičia tvarka

Vietinis tinklas ir ISP praranda tiesioginį Tor srauto matomumą, nes pirmasis šuolis dabar yra šifruotas tunelis pas tiekėją. Tor įėjimo sargas praranda jūsų namų adresą ir mato VPN išėjimą. VPN tiekėjas gauna metaduomenis, kuriuos anksčiau turėjo jūsų ISP: kokius adresus lankote, kokiu metu ir kiek duomenų juda.

Už įėjimo sargo grandinė elgiasi kaip anksčiau. Relės vis dar atskiria įėjimo, vidurio ir išėjimo vaidmenis, o VPN nemato galutinio turinio daugiau nei jūsų ISP.

Patvirtinkite maršrutą, kuris iš tikrųjų naudojamas

Padalinta tunelinė apsauga yra įprasta priežastis, kodėl numatyta grandinė nėra tikroji.Jei Tor Browser neįtrauktas į tunelį, arba antrasis profilis nukreipia kitaip, įėjimo sargas vėl mato tiekėjo adresą, nors sąsaja vis dar atrodo prijungta. Tikrinkite maršrutą ir stebimą išėjimą, o ne piktogramą.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

SOCKS užklausą per 9150 prievadą atsako paties Tor Browser klientas, todėl atsakymas IsTor true patvirtina naršyklės grandinę, o ne tai, kad ją naudoja kiekviena kita programa. Verta užsirašyti resolverio išvestį, nes DNS gali išeiti keliu, kurio tunelis neapima. Išsaugokite abi išvestis su laiko žyma. Jos yra kito palyginimo pagrindas.

Palyginkite su tiesiogine užklausa iš įprasto terminalo: jei ji taip pat praneša apie Tor, kažkas kita nukreipia srautą ir grandinė nėra tokia, kokią numatė dizainas.

Stebėkite, kas nutinka, kai tunelis nukrenta

Klientas, kuris tyliai grįžta prie vietinės sąsajos, pakeičia šaltinį, kurį mato įėjimo sargas, ir naudotojas paprastai to nežino, nes puslapis vis dar kraunasi. Būtent šis gedimas vertas bandymo, o ne sklandus kelias. Sąmoningai atjunkite tunelį ir stebėkite, ar Tor srautas sustoja, ar tęsiasi neapsaugotas.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Ugniasienės taisyklės, blokuojančios išeinantį srautą už tunelio, yra vienintelė patikima atsarginė kontrolė, ir jos turi apimti tiek naršyklės SOCKS klientą, tiek bet kurią kitą jums svarbią programą. Naršyklės plėtinys nėra įrenginio VPN ir neveikia kitų programų ar išorinių stebėtojų.

Nuspręskite, ar papildomas sluoksnis vertas pasitikėjimo

Tor projektas nerekomenduoja dėti VPN po Tor, nebent patys galite įvertinti sąranką. Jų nurodyta priežastis yra papildoma priklausomybė: dar viena šalis, dar viena paskyra ir dar vienas gedimo režimas. Jei tikslas yra neleisti jūsų ISP matyti, kad naudojate Tor, VPN kreipiasi būtent į tą stebėtoją. Jei tikslas yra stipresnis anonimiškumas prieš pasaulinį stebėtoją, VPN to nesuteikia.

Yra ir atvirkštinė tvarka, o pavadinimai nėra sukeičiami:Tor per VPN ir VPN per Tor apibūdina skirtingus pasitikėjimo santykius ir skirtingą gedimo elgseną. Perskaitykite palyginimą prieš juos maišydami.

Užsirašykite, kurį stebėtoją bandote perkelti, tada patikrinkite, ar tikrasis maršrutas atitinka dizainą, tada patikrinkite gedimo elgseną. Jei tie trys atsakymai nepateisina papildomos paskyros ir konfigūracijos, dokumentuotoje Tor Browser sąrankoje mažiau dalių, kurias galima padaryti neteisingai.