Tor izejas relejs pret VPN izejas serveri: ko zina katrs
Tor izejas relejs un VPN izejas serveris abi rāda vienu publisku adresi, bet zināšanas sadala atšķirīgi. Salīdziniet redzamību, pārklājumu un ostu politiku.
Abas konstrukcijas slēpj jūsu adresi aiz viena publiska IP, un vietne, kas izdrukā redzamo adresi, nevar tās atšķirt. Atšķirība ir tajā, kas ceļā ko uzzina, cik liela daļa trafika ir pārklāta un kurām ostām ir atļauts darboties. Tor izejas relejs ir pēdējais lēciens trīs releju ķēdē; VPN izejas serveris pabeidz jūsu tuneli un pats atver izejošo savienojumu. Lūk, kā es izlemju, kurš nepieciešams uzdevumam, un ko pārbaudu pirms pieņemu, ka viens uzvedas kā otrs.
Divi ceļi, kas beidzas vienā adresē
Tor veido ķēdi caur sargu, vidējo releju un izeju un šifrē kravu slāņos, tā ka katrs relejs noņem tikai savu slāni. Izeja izveido parasto TCP savienojumu ar galamērķi, tāpēc galamērķis redz izejas adresi. Jūsu klients nekad nerunā tieši ar galamērķi, un sargs to arī neredz.
VPN ir viens tunelis uz vienu galapunktu. Operatora serveris noņem tuneli un atver izejošo savienojumu, tāpēc arī galamērķis redz vienu adresi, šoreiz operatora adresi. Novērojamais rezultāts ir tāds pats; zināšanas nav. Tests, kas izdrukā IP, atbild, kurā sistēmā jūs esat, un neko nepasaka par uzticības sadalījumu, kas patiešām atšķiras.
Kas galu galā ko zina
VPN galapunkts vienā vietā redz avota adresi, galamērķi, laiku un apjomu. Šī koncentrācija ir konstrukcija: viens operators, viena žurnālu virsma, viena vieta pavēstei vai nepareizai konfigurācijai. Viss, ko iegūstat, nāk no uzticēšanās šai pusei un galapunkta izejas politikai.
Tor sadala šīs zināšanas. Sargs zina jūsu adresi, bet ne galamērķi; izeja zina galamērķi, bet ne jūsu adresi. Relejam nevajadzētu uzzināt abus. Tā ir strukturāla īpašība, nevis solījums pret globālu novērotāju, laikus korelējošu releju vai kompromitētu galapunktu, tāpēc uztveriet to kā citādu tās pašas riska sadalījumu, nevis kā anonimitāti, kas nevar neizdoties.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Pārklājums ir pārlūka vai maršruta lēmums
Tor pārlūks maršrutē savu trafiku un pievieno aizsardzību, ko parasts VPN klients neatkārto: noturību pret pirkstu nospiedumiem, pirmās puses izolāciju, fiksētu loga izmēru un darbību Jauna identitāte, kas izmet sesijas stāvokli. Citas programmas šo ķēdi neizmanto, ja vien tām nav šāda konfigurācija, un visas sistēmas Tor uzstādīšana ir atsevišķs projekts no pārlūka instalēšanas.
VPN ir pretējā formā. Pārklājums seko maršrutēšanas tabulai, tāpēc WireGuard profils ar AllowedIPs = 0.0.0.0/0 pārtver visu, bet sadalītā tuneļa saraksts pārtver tikai tajā nosauktos prefiksus. Tieši šajā mehānismā dzīvo arī noplūdes: DNS vaicājumi, IPv6 un WebRTC katrs var iet ceļu, ko maršrutēšanas politika neietvēra. Pārbaudiet tās programmas iekšpusē, kas neizdevās, nevis pārlūka cilnē, kas varbūt izmanto citu saskarni.
Ostu politika, bloķēti galamērķi un HTTPS
Izejas relejs drīkst atteikt izejošās ostas, un noklusējuma politika noraida ļaunprātīgai izmantošanai pakļautu ostu sarakstu, tostarp SMTP ostu 25. Tāpēc pasta klients, kas konfigurēts caur Tor, neizdodas izejā, kas izskatās pēc tīkla kļūmes un tā nav. Operatoriem, kas uztur releju, tas jānorāda skaidri:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Arī galamērķi bloķē, un tie bloķē abas sistēmas atšķirīgi. Tor izejas adreses tiek publicētas, tāpēc vietne var noraidīt visu sarakstu; VPN galapunkti atrodas datu centru diapazonos, ko noraida tikpat viegli. Kad lapa neizdodas, pirms kaut ko mainīt atdaliet trīs kandidātus: izejas vai izejošo politiku, avotu noraidošu galamērķi vai piesaistes portālu, kas pārtver pirmo pieprasījumu.
Neviena sistēma neaizstāj transporta šifrēšanu. Vienkāršs HTTP ir lasāms gan izejas relejā, gan VPN galapunktā, tāpēc atstājiet HTTPS ieslēgtu un izlasiet sertifikāta brīdinājumu, nevis noraidiet to. Divas pārbaudes ātri izšķir maršruta jautājumu: curl -s https://check.torproject.org/api/ip atgriež IsTor, kad pieprasījums gāja caur ķēdi, un curl -s https://ifconfig.me parāda izejas adresi, ko uzrādītu VPN. Abu palaišana pasaka, kuru ceļu čaula patiešām izmanto.
Neizmantojiet vienu kā otru
Izejas releja adrese nav VPN profils. OpenVPN vai WireGuard klienta vēršana uz releju ostā 443 tuneli neizveido, jo tur neklausās neviens VPN pakalpojums; relejs ir lēciens kāda cita ķēdē. Pretējā virzienā VPN galapunkts nav Tor ieejas punkts, un Tor pārlūka tilta iestatījumi nav vieta, kur ielīmēt komerciāla VPN resursdatora nosaukumu. Ja darbinat Tor virs VPN, sargs redz VPN adresi jūsu vietā, kas maina sadalījumu, nesavienojot abas lomas.
Pirms izvēles atbildiet uz četriem jautājumiem pēc kārtas: kas pārvalda galapunktu un ko tas saglabā, ko rīks aptver šajā ierīcē, kuras ostas un galamērķus atļauj izejas politika un ko programma pievieno ārpus tīkla ceļa. Uzdevumam, kam daudzām programmām nepieciešama parasta tīkla piekļuve, vajag VPN. Uzdevumam, kam nepieciešama pārlūka līmeņa aizsardzība un ķēdes modelis, vajag Tor pārlūku, uzturētu aktuālu. Ja atbilde ir «abas», darbiniet tās apdomātā secībā un pierakstiet, kuru adresi redz katra puse.