Tor излезен релеј наспроти VPN излезен сервер: што знае секој
Tor излезниот релеј и VPN излезниот сервер покажуваат една јавна адреса, но знаењето го делат поинаку. Споредете видливост, покриеност и политика на порти.
Двата дизајна ја кријат вашата адреса зад една јавна IP, а страницата што ја печати адресата што ја гледа не може да ги разликува. Разликата е кој што дознава по патот, колку сообраќај е покриен и кои порти смеат да работат. Tor излезниот релеј е последниот скок на круг од три релеи; VPN излезниот сервер го завршува вашиот тунел и сам ја отвора излезната врска. Еве како одлучувам кој му е потребен на задачата и што проверувам пред да претпоставам дека едниот се однесува како другиот.
Две патеки што завршуваат на една адреса
Tor гради круг низ чувар, среден релеј и излез и го шифрира товарот во слоеви, така што секој релеј го лупи само својот слој. Излезот ја воспоставува обичната TCP врска со одредиштето, затоа одредиштето ја гледа излезната адреса. Вашиот клиент никогаш не зборува директно со одредиштето, а ни чуварот не го гледа.
VPN е еден тунел до една крајна точка. Серверот на операторот го отстранува тунелот и ја отвора излезната врска, така што и одредиштето гледа една адреса, овој пат операторовата. Набљудуваниот резултат е ист; знаењето не е. Тестот што печати IP одговара на кој систем сте и не кажува ништо за поделбата на доверба што навистина се разликува.
Кој на крајот што знае
VPN крајната точка ги гледа изворната адреса, одредиштето, времето и обемот на едно место. Таа концентрација е дизајнот: еден оператор, една површина за дневници, едно место за повик или за лоша конфигурација. Сето што добивате доаѓа од довербата во таа страна и од излезната политика на крајната точка.
Tor го дели тоа знаење. Чуварот ја знае вашата адреса, но не одредиштето; излезот го знае одредиштето, но не вашата адреса. Релејот не треба да ги научи двете. Тоа е структурно својство, а не ветување против глобален набљудувач, релеј што корелира времиња или компромитирана крајна точка, затоа третирајте го како поинаква распределба на истиот ризик, а не како анонимност што не може да потфрли.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Покриеноста е одлука на прелистувачот или на рутата
Tor прелистувачот го насочува сопствениот сообраќај и додава заштити што обичниот VPN клиент не ги репродуцира: отпорност на отпечатоци, изолација на прва страна, фиксна големина на прозорец и дејство Нови идентитет што ја отфрла состојбата на сесијата. Другите апликации не го користат тој круг ако не се конфигурирани за тоа, а поставувањето Tor на цел систем е одделен проект од инсталирањето на прелистувачот.
VPN има спротивна форма. Покриеноста ја следи табелата за насочување, така што WireGuard профил со AllowedIPs = 0.0.0.0/0 фаќа сето, а списокот за поделен тунел ги фаќа само префиксите што ги наведува. Токму во тој механизам живеат и истекувањата: DNS барања, IPv6 и WebRTC секое може да заземе пат што рутната политика не го вклучувала. Проверете од внатре во апликацијата што не успеа, а не од јазиче на прелистувач што можеби користи друг интерфејс.
Политика на порти, блокирани одредишта и HTTPS
Излезниот релеј може да одбива излезни порти, а стандардната политика одбива список на порти склони кон злоупотреба, меѓу нив и SMTP портата 25. Затоа поштенски клиент конфигуриран преку Tor не успева на излезот, што изгледа како мрежен дефект и не е. Операторите што држат релеј тоа го одредуваат експлицитно:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25И одредиштата блокираат, и тие ги блокираат двата системи различно. Tor излезните адреси се објавуваат, така што страница може да го одбие целиот список; VPN крајните точки се во опсези на дата-центри што се одбиваат исто толку лежерно. Кога страница не успева, одвојте ги трите кандидати пред да смените нешто: излезна или излезна политика, одредиште што го одбива изворот или заробен портал што го грабнува првото барање.
Ниту еден систем не го заменува транспортното шифрирање. Обичниот HTTP е читлив и на излезниот релеј и на крајната точка на VPN, затоа оставете HTTPS вклучен и прочитајте го предупредувањето за сертификатот наместо да го отфрлите. Две проверки брзо го решаваат прашањето за рутата: curl -s https://check.torproject.org/api/ip враќа IsTor кога барањето поминало низ круг, а curl -s https://ifconfig.me ја покажува излезната адреса што VPN би ја претставил. Извршувањето на двете ви кажува која патека лушпата навистина ја користи.
Не користете едното како другото
Адресата на излезниот релеј не е VPN профил. Насочувањето на OpenVPN или WireGuard клиент кон релеј на порта 443 не создава тунел, бидејќи таму не слуша никаква VPN услуга; релејот е скок во туѓ круг. Во спротивната насока VPN крајната точка не е влезна точка за Tor, а поставките за мостови на Tor прелистувачот не се место за лепење на име на домаќин на комерцијален VPN. Ако Tor го возите преку VPN, чуварот ја гледа VPN адресата наместо вашата, што ја менува поделбата без да ги спои двете улоги.
Пред да изберете, одговорете на четири прашања по ред: кој управува со крајната точка и што задржува, што покрива алатката на овој уред, кои порти и одредишта ги дозволува излезната политика и што додава апликацијата над мрежната патека. Задача што бара обичен мрежен пристап за многу програми сака VPN. Задача што бара заштити на ниво на прелистувач и модел на круг сака Tor прелистувач, одржуван ажурен. Ако одговорот е „двете“, возете ги по намерен ред и запишете која адреса ја гледа секоја страна.