Tor relejs pret VPN serveri: kāpēc tie nav savstarpēji aizvietojami

Atvērts ports Tor relejā nav VPN galapunkts. Vispirms pārbaudiet, ko apkalpo ports, releja lomu, SOCKS klausītāja tvērumu un profilu.

Jums ir adrese, ports atbild, un klients to pieņem bez jebkādām sūdzībām. Neviens no tā nepadara Tor releju par VPN galapunktu, un kļūda ir dārga, jo profils tiek importēts tīri un vēlāk neizdodas rokasspiedienā. Zemāk minētās četras pārbaudes lietoju pēc kārtas; katrai ir apstāšanās nosacījums, un agri apstāties ir būtība. Ja pirmā pārbaude neizdodas, pārējās nevarēs jums palīdzēt.

Pārbaudiet, ko ports patiešām apkalpo

Atvērts ports pierāda klausītāju, neko vairāk. Releja ORPort pēc TLS rokasspiediena runā ar paša Tor šūnām, tāpēc veiksmīga TLS pārbaude gandrīz neko nepasaka par to, vai tur tiek pieņemts VPN protokols:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Lasiet sertifikātu, nevis faktu, ka tāds pastāv. Releji uzrāda pašparakstītu sertifikātu ar apzināti neuzkrītošu nosaukumu, jo releja trafikam jālīdzinās parastam HTTPS; savukārt VPN servera sertifikāts nes nosaukumu, ko sagaida jūsu profils. Ja pretējā puse nekad neatbild uz VPN protokola pirmo paketi, nekāda profila rediģēšana rezultātu nemainīs.

Apstājieties šeit, ja adrese nepabeidz rokasspiedienu, ko sūta jūsu klients. Tā ir protokola atbilde, nevis konfigurācijas problēma, un tas ir visbiežākais iemesls, kāpēc importēts profils mūžīgi paliek pie 'connecting'.

Pārbaudiet releja lomu, nevis tīkla lielumu

Releja lomas veic dažādu darbu. Guard ir pirmais lēciens klientiem, vidējais relejs pārsūta ķēdes starp citiem relejiem, exit ir tas, kas pieskaras galamērķiem, un tilts ir ne publiska ieejas vieta, ko izplata caur BridgeDB. Tor vārdnīca tur šīs definīcijas atsevišķi, un sasniedzamība ir katras lomas daļa, bet atļauja apkalpot patvaļīgus klientus nav nevienas no tām daļa.

Exit politiku ir vērts lasīt, jo tā ir vienīgā daļa, kas atgādina pārsūtīšanas noteikumu, un tā regulē galamērķus, uz kuriem exit ļaus iziet, nevis klientus, kuriem ļauts ienākt. Ierobežojoša exit politika, kas bloķē portu 25, kaut ko saka par izejošās ļaunprātības kontroli, nevis par to, vai drīkstat vērst OpenVPN klientu uz mašīnu.

Apstājieties, ja spriežat no reputācijas: tā kā releji pārsūta trafiku, adresei jāpieņem jūsējā. Tor izvēlas ceļus ar konsensu un savu protokolu; VPN klients nav dalībnieks un tam nav ķēdes, kurai pievienoties.

Pārbaudiet, vai SOCKS klausītājs ir lokāls vai publisks

Tor klients atklāj SOCKS saskarni tās pašas mašīnas lietotnēm, pēc noklusējuma uz loopback. Šis klausītājs ir lokāla ērtība, nevis pakalpojums, ko relejs piedāvā internetam, un tā uztveršana kā publisks starpniekserveris ir ceļš, kā cilvēki beigās uztur atvērtu releju, ko negrasījās:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Sasaistes adrese ir pazīme. SocksPort uz 127.0.0.1:9050 dara savu darbu; tas, kas klausās uz 0.0.0.0 un ir sasniedzams no ārpuses, ir atvērts starpniekserveris, un paša Tor piekļuves politikas kontroles pastāv tieši tāpēc, ka šī atklāšanās ir problēma, nevis funkcija.

Lietotnei, kurai nepieciešams Tor, novirziet to uz loopback portu un ļaujiet Tor atrisināt nosaukumus, ko dara iepriekš minētā socks5h forma. Neaizstājiet releja adresi ar šo portu; relejs nepiedāvā saskarni, ko pieprasa jūsu lietotne.

Pārbaudiet, vai VPN profils atbilst īstam galapunktam

VPN profils ir gaidu kopums: OpenVPN nepieciešams servera sertifikāts vai CA, klienta sertifikāts un atslēga, un parasti TLS atslēga, savukārt WireGuard nepieciešama pretējās puses publiskā atslēga, galapunkts un atļautās IP. Neko no tā nevar atvasināt no adreses un atvērta porta, tāpēc šādi veidots profils neizdodas pirmajā apmaiņā, nevis savienojoties.

Kad jums nodod profilu, pārbaudiet to pret galapunktu, ko kontrolējat, vai pakalpojumu sniedzēju, ko varat identificēt:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN žurnālā TLS sarunu kļūda tieši nosauc neatbilstību; wg show izvadē pretējā puse bez rokasspiediena rindas nekad nav pabeigusi nevienu. Abi ir informatīvāki par klienta rotējošo indikatoru, un abi norāda uz atslēgu materiālu vai protokolu, nevis uz Tor.

Pārbaudiet, kāda aizsardzība jums patiešām nepieciešama

Šī ir pārbaude, kas nosaka arhitektūru. Tor pārlūks sniedz ķēžu izolāciju un aizsardzību pret pirkstu nospiedumiem, ko VPN nesniedz; VPN maina adresi, ko redz galamērķis, un autentificē jūs pie pakalpojumu sniedzēja. Izvēle starp tiem ir draudu modeļa jautājums, nevis saderības jautājums, un to sajaukšana rada iestatījumu, kas izskatās privāts, bet tāds nav.

Ķēdēšanai ir kārtība. VPN, kas pārvadā Tor trafiku, ir atbalstīts izkārtojums, jo Tor klientam nepieciešams tikai izejošais TCP. VPN klients, kas tunelēts Tor iekšienē, nav tas pats un nav tas, ko īsteno Tor klients, tāpēc neplānojiet, balstoties uz to.

Pirms kaut ko importējat, apstipriniet visus četrus:

  • Ports pabeidz jūsu protokola rokasspiedienu, ne tikai TCP savienojumu.
  • Jūs zināt resursdatora lomu un neuzskatāt pārsūtīšanu par atļauju.
  • Izmantotais SOCKS klausītājs ir loopback un jūsējais, nevis publisks ports kāda citā relejā.
  • Profila atslēgas vai sertifikāti pieder galapunktam, ar ko savienojaties.

Saistītie raksti