VPN пред Tor: што всушност менува редоследот

Прво поврзување на VPN создава определена верига: уред, крајна точка на VPN, влез на Tor, коло на Tor, одредиште. Вашата локална мрежа гледа една шифрирана врска кон VPN, а влезниот јазол на Tor го гледа излезот на VPN како непосреден извор наместо адресата на вашиот давател. Операторот на VPN, пак, гледа врски кон влезната инфраструктура на Tor и може да заклучи за употреба на Tor од одредиштата. Секој набљудувач губи нешто и добива нешто, затоа редоследот е размена, а не надградба.

Ништо во таа верига не менува што веб-страницата учи од вашата сметка, колачињата или напишаните податоци.

Што менува редоследот

Локалната мрежа и ISP ја губат директната видливост на вашиот сообраќај на Tor, бидејќи првиот скок сега е шифриран тунел до давател. Влезниот чувар на Tor ја губи вашата домашна адреса и го гледа излезот на VPN. Давателот на VPN ги добива метаподатоците што претходно ги имал вашиот ISP: кои адреси ги контактирате, во кои времиња и колку податоци се движат.

По влезниот чувар колото се однесува како порано. Релеите сѐ уште ги одделуваат улогите на влез, средина и излез, а VPN не ја гледа конечната содржина повеќе отколку вашиот ISP.

Потврдете ја патеката што навистина се користи

Поделеното тунелирање е вообичаената причина зошто предвидената верига не е вистинската.Ако Tor Browser е исклучен од тунелот, или вториот профил насочува поинаку, влезниот чувар повторно ја гледа адресата на давателот, додека интерфејсот сѐ уште изгледа поврзан. Проверете ја рутата и забележаниот излез, а не иконата.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Барањето SOCKS преку портата 9150 го одговара сопствениот клиент на Tor Browser, така што одговорот IsTor true го потврдува колото на прелистувачот, а не дека секоја друга програма го користи. Вреди да се запише излезот на резолверот, бидејќи DNS може да излезе по пат што тунелот не го покрива. Чувајте ги двата излези со временска ознака. Тие се основата за следната споредба.

Споредете со директно барање од обичен терминал: ако и тоа известува за Tor, нешто друго го пренасочува сообраќајот и веригата не е она што го претпоставил дизајнот.

Гледајте што се случува кога тунелот паѓа

Клиент што тивко се враќа на локалниот интерфејс го менува изворот што го гледа влезниот чувар, а корисникот обично не знае затоа што страницата сѐ уште се вчитува. Токму тој дефект вреди да се тестира, а не мазната патека. Намерно исклучете го тунелот и гледајте дали сообраќајот на Tor запира или продолжува незаштитен.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Правилата на огнениот ѕид што го блокираат излезниот сообраќај надвор од тунелот се единствената сигурна резервна контрола, и тие мора да го покриваат и SOCKS клиентот на прелистувачот и секоја друга програма што ви е важна. Проширувањето на прелистувачот не е VPN на уредот и не влијае врз други програми или надворешни набљудувачи.

Одлучете дали дополнителниот слој ја заслужува својата доверба

Проектот Tor советува да не се наредува VPN под Tor освен ако самите не можете да ја оцените поставеноста. Наведената причина е дополнителната зависност: уште една страна, уште една сметка и уште еден режим на дефект. Ако целта е да се спречи вашиот ISP да види дека користите Tor, VPN се обраќа токму на тој набљудувач. Ако целта е посилна анонимност против глобален набљудувач, VPN не ја дава.

Постои и обратен редослед, а имињата не се заменуваат:Tor над VPN и VPN над Tor опишуваат различни односи на доверба и различно однесување при дефект. Прочитајте ја споредбата пред да ги измешате.

Запишете кој набљудувач се обидувате да го поместите, потоа потврдете дека вистинската патека одговара на дизајнот, потоа потврдете го однесувањето при дефект. Ако тие три одговори не ја оправдуваат дополнителната сметка и конфигурација, документираната поставеност на Tor Browser има помалку делови што може да се згрешат.