VPN преку Tor: прво проверката на транспортот

Tor прво значи дека клиентот на VPN стои зад SOCKS прокси, така што самиот тунел се гради преку Tor, а сообраќајот на апликациите излегува од крајната точка на VPN. Тоа е еден конкретен редослед и не е она што повеќето луѓе го градат. Отворањето на Tor Browser покрај обичен клиент на VPN не принудува ниту една од двете програми да ја користи патеката на другата.

Поминете ги проверките по ред. Секоја одлучува дали вреди да се започне следната.

Кој редослед всушност го градите

Два редоследа се мешаат во истиот разговор. Tor прво значи дека клиентот на VPN стигнува до својот сервер преку SOCKS прокси, така што тунелот се гради врз Tor. VPN прво значи дека сообраќајот на Tor излегува низ тунелот, што повеќето луѓе го градат случајно и потоа го опишуваат како другиот. Првиот ја сосредоточува границата на проследување кај операторот на VPN, вториот ја сосредоточува кај влезот и излезот на Tor. Ниту еден не е она што го добивате држејќи ги двете апликации отворени истовремено.

Запишете кој редослед му е потребен на задатокот пред да конфигурирате било што, бидејќи двете бараат различни софтверски поставки и паѓаат на различни места. Погрешно именуван редослед ве праќа еден час да барате грешка во погрешен слој. Сѐ подолу претпоставува Tor прво.

Проверете го транспортот пред сѐ друго

SOCKS интерфејсот на Tor пренесува TCP текови и не обезбедува општа UDP асоцијација. VPN чиј транспорт е UDP не може да го третира тој прокси како обичен мрежен интерфејс, и ниту една поставка на клиентот не менува што проксито е подготвено да препрати. WireGuard во својата вообичаена форма е очигледната жртва. Профил на OpenVPN во TCP режим е вообичаеното решение и нему сѐ уште мора експлицитно да му се каже да го користи проксито.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Пред да откривате грешки во тунел преку него, потврдете дека проксито слуша и може да пренесе едно едноставно HTTPS барање. Ако едноставното барање не успее, клиентот на VPN никогаш нема да успее и неговите дневници нема да ви кажат зошто.

Препишете ја картата на набљудувачот

Влезот на Tor може да го види изворот што се поврзува со Tor, освен ако нешто претходно не го сменило, така што тој скок ја дознава вашата адреса. Давателот на VPN прима врска што пристигнува од страната на Tor, но сепак може да знае сметка, запис за плаќање или пристапни податоци што сте ги испратиле внатре во тунелот. Дестинациите достигнати преку VPN го гледаат неговиот излез, а не излезот на Tor, и тоа ја сосредоточува конечната граница на проследување кај еден оператор.

Тој исто така не создава повторно распределена патека до секоја дестинација. Tor Browser гради свеж круг за секој сајт; VPN носен преку Tor гради еден тунел и секој сајт зад него ја дели таа крајна точка. Третирајте ја разликата како факт на дизајнот, а не како ограничување што треба да се отстрани.

Избројте ги слоевите на отказ кога ќе се скрши

Скршената поставка има најмалку четири независни слоја: SOCKS врската, TLS ракувањето со серверот на VPN, самото VPN ракување и потоа насочување или решавање на имиња внатре во тунелот. Секој паѓа со различен симптом и секој бара различно поправање. Олабувувањето на проверките на сертификати затоа што тунелот не се крева е класичната погрешна дијагноза и претвора транспортен проблем во безбедносен.

Забележете го првиот слој што паѓа и застанете таму. Одбивањето на проксито и одбиениот клуч не се варијанти на истиот настан.

Застанете ако моделот на закана бара одбрани на Tor Browser

Насочувањето произволни апликации преку VPN носен од Tor не им ги дава на тие апликации функциите за отпечаток и изолација на Tor Browser. Нивните сметки, идентификатори и сопствено мрежно однесување остануваат релевантни и тунелот не нормализира ниту едно од нив. Ако целта е прелистувач што се меша со други корисници, овој редослед не го дава.

Самиот Tor Project предупредува против комбинации што корисниците не можат правилно да ги конфигурираат и оваа се однесува на повеќето луѓе. Тоа е намерен дизајн за тесен модел на закана, а не кратенка до анонимен сообраќај на целиот уред.