Tor caur VPN: kas redz tavu IP un kas redz, ka lieto Tor?

Tu pieslēdz VPN klientu, gaidīt tuneli, pēc tam atver Tor Browser un ļauj tam uzbūvēt ķēdi. Tieši šī parastā secība nosaka, kas ko redz. Šajā kārtībā Tor ieejas relejs sveicina tavu VPN izejas adresi, un tavs VPN pakalpojumu sniedzējs sveicina publisku aizsardzības releju. Dari otrādi un abi novērotāji mainās. Abas kārtības ir vērts izskatīt, jo klienta iestatījumi klusi salauž kārtību, kuru cilvēki uzskatīja par spēkā esošu, un pārbaude, kas to pārtver, abos gadījumos ir viena un tā pati.

Sāc ar kārtību, nevis produktu

Divus izkārtojumus sauc par „VPN ar Tor“, un parasts ir tikai pirmais. Tor caur VPN gadījumā tunelis jau ir uzcelts, kad Tor startē, tāpēc tor process sūta savu aizsardzības savienojumu tunelī kā jebkuru citu izejošo satiksmi. VPN caur Tor gadījumā vispirms ceļas Tor, un pati VPN sesija ceļo pa ķēdi, nonākot pie pakalpojumu sniedzēja no Tor izejas.

Tas, kas starp tiem mainās, ir tas, kura adrese atrodas vistālākajā ārējā posma galā. Katrs novērotājs redz tikai iepriekšējo lēcienu, nekad visu ceļu: aizsardzība redz, kas tai pievienojās, un VPN serveris redz, kas tam pievienojās. Tor nepārnes tavu vietējo tuneļa adresi uz āru, un protokolā nav lauka, kur tas varētu to darīt.

Abās kārtībās galamērķa vietne joprojām redz Tor izeju, un neviena kārtība nemaina to, ko šī vietne uzzina no tavas pieteikšanās. Atšķirība ir ierobežota ar divām malām.

Ko redz Tor ieejas relejs

Ieeja jeb aizsardzība pieņem parastu TCP savienojumu releja portā un sāk TLS rokasspiedienu ar klientu. Tor-caur-VPN izkārtojumā šī savienojuma avots ir tava VPN izeja. Tor-vispirms izkārtojumā tas ir adrese, kuru tava mašīna izmantoja, lai sasniegtu Tor tīklu, parasti tava mājas savienojums.

Tas atbild uz jautājuma IP pusi, bet tikai tad, ja tunelis patiešām nesa savienojumu. Tor process sasniedz aizsardzību ar savu ligzdu, un šī ligzda nav pakļauta Tor Browser starpniekservera iestatījumiem. Pārlūks runā ar iekļauto tor procesu caur SOCKS 9150 portā, un tad tor atver savu savienojumu, izmantojot kodola maršrutēšanas tabulu. Rinda Socks5Proxy torrc failā vai klienta transports maina šo ceļu. Nekas cits.

Linux sistēmā atbildi vari nolasīt no mašīnas. Pajautā kodolam, kuru saskarni tas izmantotu patvaļīgai publiskai adresei, tad paskaties uz izveidotā savienojuma vietējo adresi:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ja maršruts saka dev wg0 vai dev tun0 un izveidotā savienojuma vietējā adrese ir tuneļa adrese, Tor ir VPN iekšpusē. Ja maršruts nosauc tavu fizisko saskarni, tas ir ārpusē, lai ko apgalvotu paša klienta indikators.

Ko var redzēt tavs VPN pakalpojumu sniedzējs

Pakalpojumu sniedzējs pārtrauc tavu VPN sesiju, tāpēc tas redz adreses, kurām pievienojies. Aizsardzības releju adreses tiek publicētas publiskajā konsensā un to porti ir labi zināmi, tāpēc viena saskaņošana ir saraksta meklēšana, nevis dziļa pakešu pārbaude. Pakalpojumu sniedzējam nav jāsalauž Tor, lai zinātu, ka sesija ir Tor.

Ko tas neredz, ir pārējā ķēde. Vidējais relejs un izeja tiek izvēlēti Tor iekšpusē, un pakalpojumu sniedzējs apstrādā tikai posmu līdz aizsardzībai. Lapas saturs paliek TLS, kas beidzas izejā, un Tor satiksmes vārdu izšķiršana notiek arī izejā, tāpēc pakalpojumu sniedzējam nav neviena DNS vaicājuma, ko korelēt ar galamērķi.

Tilti ar obfs4 maina meklēšanu, nevis topoloģiju. Tilta adrese nav publiskajā releju sarakstā, un satiksme tiek veidota tā, lai neizskatītos pēc Tor, tāpēc operators, kas tikai salīdzina adreses, to neatzīmēs. Sesija joprojām nāk no tava VPN klienta, un pakalpojumu sniedzējs joprojām redz vienu galapunktu, vienu apjomu un vienu grafiku.

Spēja nav uzglabāšanas politika

Operators, kas var novērot savienojumu, nav apsolījis to glabāt. Žurnalēšana ir atsevišķs lēmums, ierakstīts politikā, ierobežots ar jurisdikciju un pārbaudāms tikai ar pierādījumiem, kuriem jau uzticies. Apzīmējums bez žurnāliem nemaina iepriekš aprakstīto tīkla lomu.

Konta identitāte parasti ir svarīgāka par izejas adresi. Ja pieteicies ar e-pasta adresi vai maksāji ar karti, pakalpojumu sniedzējs var saistīt sesiju ar tevi, nereģistrējot nevienu galamērķi. Izejas IP rotācija tam neko nemaina.

Pārbaudi pārklājumu, pirms uzticies kādai no abām atbildēm

Lielākā daļa to, kas domā, ka darbina Tor caur VPN, darbina tikai tā daļu. Sadalītā tuneļošana, kas izslēdz Tor Browser, izslēdzējs, kas aptver pārlūku, bet ne tor pakalpojumu, starta vienība, kas darbojas pirms tuneļa uzcelšanas, un IPv6 ceļš ap tuneli ir parastie četri.

Klienta statusa ekrāna lasīšana nepārbauda nevienu no tiem. Tests, kas to dara: atstāj Tor Browser darboties, nolaid tuneli un vēro, vai aizsardzības savienojums izdzīvo fiziskajā saskarnē.

Kārtība, kādā es pārbaudu, apstājoties pie pirmās kļūmes:

• ip route get 203.0.113.10 atgriež tuneļa ierīci.
• ss -tnp | grep -i tor parāda aizsardzības savienojumu ar vietējo tuneļa adresi.
• ip -6 route nav noklusējuma maršruta ārpus tuneļa, vai klientā ir izslēgts IPv6.
• VPN nomešana izbeidz vai novirza tor savienojumu, nevis atstāj to fiziskajā posmā.

Kura kārtība atbilst tam, ko aizstāvi

Abas kārtības kaut ko slēpj un kaut ko atklāj, tāpēc atbilde ir izvēle par novērotāju, kas tev rūp.

Lasi pa kolonnām, līdz rinda atbilst tam, ko centies novērst. Ja uztraukums ir vietējais tīkls vai ISP, kas reģistrē vai bloķē Tor, Tor caur VPN ar to tiek galā. Ja uztraukums ir, ka VPN operators uzzina tavu mājas adresi, VPN caur Tor ar to tiek galā un par to samaksā, atklājot Tor lietojumu tavam paša tīklam un mājas adresi aizsardzībai.

Neviens izkārtojums neatstāj abas malas aklo. Novērotāja pievienošana neizslēdz citu. Tor Project piezīme par VPN darbināšanu ar Tor saka to pašu no otras puses: tunelis maina, kam uzticas un kādi atteices ceļi pastāv, tāpēc tas nav uzlabojums, ko pievieno, neizlemjot, ko gribēji noslēpt.

Vispirms izlem par novērotāju, pēc tam izvēlies kārtību un pārbaudi ar ip route get un ss, nevis ar klienta indikatoru. Ja novērotājs ir kāds, kas var piespiest pašu VPN pakalpojumu sniedzēju, nekāda kārtības izvēle to nelabo.