Tor преку VPN: кој ја гледа вашата IP и кој гледа дека користите Tor?

Поврзувате VPN клиент, чекате тунел, потоа отворате Tor Browser и му дозволувате да изгради коло. Токму таа обична низа решава кој што гледа. Во таа низа влезниот релеј на Tor ја поздравува адресата на вашата VPN излезна точка, а вашиот VPN провајдер поздравува јавен заштитен релеј. Направете го обратно и двата набљудувачи се менуваат. Двете низи вреди да се поминат, зашто поставките на клиентот тивко ја кршат низата за која луѓето веруваа дека важи, а проверката што го фаќа тоа е иста во двата случаи.

Почнете со редот, не со производот

Два распореди се нарекуваат „VPN со Tor“, и вообичаен е само првиот. Кога Tor оди преку VPN, тунелот е веќе кренат кога Tor стартува, па tor процесот ја праќа својата заштитна врска во тунелот како и секој друг излезен сообраќај. Кога VPN оди преку Tor, прво се крева Tor и самата VPN сесија патува низ колото, пристигнувајќи кај провајдерот од излезна точка на Tor.

Она што се менува меѓу нив е која адреса стои на далечниот крај на најнадворешната алка. Секој набљудувач го гледа само претходниот скок, никогаш целиот пат: заштитата гледа кој се поврзал со неа, а VPN серверот гледа кој се поврзал со него. Tor не ја носи вашата локална адреса на тунелот нанадвор, и во протоколот нема поле каде би можел тоа да го направи.

Во двата реда целната веб-страница сѐ уште гледа излезна точка на Tor, и ниту еден ред не менува што таа страница учи од вашето најавување. Разликата е ограничена на двата раба.

Што гледа влезниот релеј на Tor

Влезот, или заштитата, прифаќа обична TCP врска на релеј порта и започнува TLS ракување со клиентот. Во распоред Tor-преку-VPN, изворот на таа врска е вашата VPN излезна точка. Во распоред Tor-прв тоа е адресата што вашата машина ја користела за да стигне до мрежата Tor, обично вашата домашна врска.

Тоа одговара на IP половината од прашањето, но само ако тунелот навистина ја пренел врската. Tor процесот стигнува до заштитата со свој сокет, и тој сокет не е под контрола на поставките за прокси на Tor Browser. Прелистувачот зборува со вградениот tor процес преку SOCKS на 9150, а потоа tor отвора своја врска користејќи ја табелата за рутирање на јадрото. Линија Socks5Proxy во torrc, или клиентски транспорт, го менуваат тој пат. Ништо друго.

На Linux одговорот можете да го прочитате од машината. Прашајте го јадрото кој интерфејс би го користело за произволна јавна адреса, потоа погледнете ја локалната адреса на воспоставената врска:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ако рутата вели dev wg0 или dev tun0, и локалната адреса на воспоставената врска е адресата на тунелот, Tor е внатре во VPN. Ако рутата го именува вашиот физички интерфејс, тој е надвор, што и да тврди сопствениот индикатор на клиентот.

Што може да види вашиот VPN провајдер

Провајдерот ја завршува вашата VPN сесија, па ги гледа адресите на кои се поврзувате. Адресите на заштитните релеи се објавуваат во јавниот консензус и нивните порти се добро познати, па совпаѓањето е пребарување во список, а не длабока инспекција на пакети. На провајдерот не му треба да го скрши Tor за да знае дека сесијата е Tor.

Она што не го гледа е остатокот од колото. Средниот релеј и излезната точка се избираат внатре во Tor, а провајдерот го обработува само делот до заштитата. Содржината на страницата останува во TLS што завршува на излезната точка, и разрешувањето имиња за сообраќајот на Tor се случува исто така на излезната точка, па нема ниту едно DNS барање кај провајдерот што може да се поврзе со цел.

Мостовите со obfs4 го менуваат пребарувањето, не топологијата. Адресата на мостот ја нема во јавниот список на релеи и сообраќајот се обликува за да не изгледа како Tor, па оператор што само споредува адреси нема да го означи. Сесијата сѐ уште доаѓа од вашиот VPN клиент, а провајдерот сѐ уште гледа една крајна точка, еден волумен и еден распоред.

Способноста не е политика на задржување

Оператор што може да набљудува врска не ветил дека ќе ја чува. Логирањето е одделна одлука, запишана во политика, ограничена со јурисдикција и проверлива само преку докази на кои веќе им верувате. Ознаката без логови не ја менува мрежната улога опишана погоре.

Идентитетот на сметката обично е поважен од адресата на излезот. Ако сте се најавиле со адреса на е-пошта или сте платиле со картичка, провајдерот може да ја поврзе сесијата со вас без да залогира ниту една цел. Ротирањето на излезните IP адреси не прави ништо за тоа.

Проверете ја покриеноста пред да и верувате на која било од двете одговори

Повеќето што мислат дека возат Tor преку VPN возат само дел од тоа. Поделено тунелирање што го исклучува Tor Browser, прекинувач што го покрива прелистувачот но не и tor услугата, стартна единица што работи пред тунелот да се крене, и IPv6 пат околу тунелот се вообичаените четири.

Читањето на екранот за состојба на клиентот не проверува ниту еден од нив. Тестот што го прави тоа: оставете Tor Browser да работи, спуштете го тунелот и гледајте дали заштитната врска преживува на физичкиот интерфејс.

Редот во кој проверувам, запирајќи на првиот неуспех:

• ip route get 203.0.113.10 го враќа уредот за тунел.
• ss -tnp | grep -i tor ја прикажува заштитната врска со локална адреса на тунелот.
• ip -6 route нема стандардна рута надвор од тунелот, или IPv6 е исклучен во клиентот.
• Спуштањето на VPN ја завршува или пренасочува tor врската наместо да ја остави на физичката алка.

Кој ред одговара на тоа што го браните

Двата реда нешто кријат и нешто откриваат, па одговорот е избор за набљудувачот што ви е важен.

Читајте по колони додека ред не одговори на тоа што се обидувате да спречите. Ако загриженоста е локална мрежа или ISP што го снима или блокира Tor, Tor преку VPN се справува со тоа. Ако загриженоста е дека VPN операторот ќе ја дознае вашата домашна адреса, VPN преку Tor се справува со тоа и ја плаќа цената со тоа што употребата на Tor ја изложува на вашата сопствена мрежа, а домашната адреса на заштитата.

Ниту еден распоред не остава двата раба слепи. Додавањето набљудувач не отстранува друг. Забелешката на Tor Project за возење VPN со Tor го кажува истото од другата страна: тунелот менува кому му се верува и кои патишта на откажување постојат, па тоа не е надградба што се додава без да се одлучи што сте сакале да сокриете.

Прво одлучете за набљудувачот, потоа изберете го редот и проверувајте со ip route get и ss, а не со индикаторот на клиентот. Ако набљудувачот е некој што може да го присили самиот VPN провајдер, никаков избор на ред не го поправа тоа.