VPN į Tor, Tor į VPN: kodėl grandinė nutrūksta
Kai VPN, Tor ir tarpinis serveris sukraunami vienas ant kito, tvarka lemia, kas išsprendžiama ir kas perduodama. Raskite pirmą nutrūkusią ribą prieš keisdami visus tris.
VPN, Tor ir programos tarpinio serverio sukrovimas vienas ant kito atrodo kaip privatumo dauginimas, o iš tikrųjų padaugina vietų, kuriose ryšys gali mirti, skaičių. Įprastas rezultatas – besisukanti naršyklė, nors visi trys įrankiai praneša esą sveiki. Pakeitus visus tris nustatymus iš karto, dingsta ir vienintelė užuomina, kuris jų meluoja.
Pirmiausia nubrėžkite numatytą kelią iš eilės, nurodydami, kuri programa atidaro kiekvieną ryšį ir kuris vardas išsprendžiamas kiekviename žingsnyje.
Sluoksniai nesudedami, jie veikia vienas kitą
VPN prieš Tor reiškia, kad Tor kliento įėjimo ryšys keliauja tunelio viduje. VPN, perduodamas per Tor, reiškia, kad paties VPN kliento galinis taškas turi būti pasiekiamas per Tor, o tai visiškai kitas reikalavimas. Naršyklės tarpinis serveris prideda dar vieną šuolį, apie kurį operacinė sistema nieko nežino. Trys išdėstymai, trys atskiri priklausomybių sąrašai.
Kiekvienas išdėstymas keičia, kas gali būti išspręsta, kas perduota ir kas mato pirmąjį paketą. Tik vienas jų gali būti ta konfigūracija, kurią turėjote omenyje.
Pridėkite prie schemos ir tiesioginį kelią. Atsarginis maršrutas, padalinto tunelio išimtis ar tarpinio serverio apėjimas gali įkelti puslapį tylėdami praleisdami grandinę, kurią norėjote patikrinti, ir tokia sėkmė klaidina labiau nei nesėkmė.
Tvarka lemia, kas gali būti perduota
Tor perduoda TCP srautus per savo SOCKS sąsają, o klientas, kuris prašo tarpinio serverio išspręsti prieglobos vardą, paiešką palieka grandinės viduje. UDP įprastose konfigūracijose taip nekeliauja, todėl WireGuard tunelio negalima įdėti į Tor be papildomo TCP releto viduryje.
OpenVPN galima priversti naudoti TCP, tad šis išdėstymas bent jau aprašomas. Jis taip pat lėtesnis ir trapesnis, o gedimo vaizdas nutrūkus atrodo lygiai taip pat kaip užblokuotas prievadas. Tikitės daugiau laiko praleisti skirdami šiuos du atvejus nei taisydami bet kurį iš jų.
Sprendimas yra kita pusė. Naudojant --socks5-hostname tarpinis serveris išsprendžia paskirties vietą, o paprastas --socks5 pirmiausia klausia vietinio sprendiklio ir nutekina vardą už grandinės ribų. Būtent ši viena vėliavėlė lemia, ar vardo paieška priklauso grandinei, ar jūsų tiekėjui.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Pirmos nutrūkusios ribos paieška
Tikrinkite etapus ta tvarka, kuria keliauja paketai, nekenksmingomis užklausomis ir sustokite prie pirmojo, kuris nepavyks. Užsirašykite, kuri komanda įvykdyta pirma, nes tvarka yra įrodymo dalis. Dvi komandos atskiria negyvą grandinę nuo negyvos išėjimo:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Pirmoji praneša, ar užklausa apskritai užbaigiama per SOCKS tarpinį serverį, o antroji parodo adresą, kurį tinklas šiuo metu pateikia. Jei pirmoji nepavyksta, o antroji pavyksta, problema yra ties Tor klientu arba prieš jį. Jei abi pavyksta, o naršyklė vis tiek nepavyksta, programa naudoja kitą kelią nei apvalkalas.
Viešo IP puslapis taip pat aprašo tik paskutinę matomą išėjimą. Jis negali pasakyti, kiek šuolių buvo prieš tai, todėl derinkite jį su kiekvieno įrankio palaikomu būsenos išvedimu, o ne traktuokite vieną skaičių kaip schemą.
Kada nustoti pridėti sluoksnius
Jei negalite vienu sakiniu pasakyti, ką sluoksnis prideda, pašalinkite jį. Grandinė, kurios tikslas neaiškus, yra grandinė, kurios niekas negali derinti trečią valandą nakties, o nepaaiškinto šuolio privatumo nauda paprastai būna mažesnė už prarandamą prieinamumą.
Jei sluoksnis tikrai vertas savo vietos, pirmiausia išbandykite jį atskirai, tada pridėkite kitą ir dar kartą patvirtinkite kelią tomis pačiomis dviem komandomis. Prieš įprastą naudojimą atkurkite visą grandinę ir palikite TLS patvirtinimą bei autentifikavimą įjungtus; sertifikato įspėjimas, priimtas kad puslapis įsikeltų, yra maršrutizavimo apėjimas, o ne taisymas. Užsirašykite tvarką, kurią pasirinkote, kol ji dar šviežia.
Užrašykite tą tvarką, įskaitant sprendiklį, kuris atsako kiekviename etape. Veikianti grandinė, kurią galite aprašyti, išgyvena kitą atnaujinimą, o bandymais surinkta veikianti grandinė su juo dingsta. Pridėkite datą ir versijas, kad vėlesnis gedimas būtų lyginamas su žinoma gera būsena, o ne ginčijamasi iš atminties. Dešimt eilučių tekstiniame faile sutaupo vakarą spėlionių.