Tor реле ба VPN сервер: яагаад тэдгээрийг сольж болохгүй вэ

Танд хаяг байна, порт хариулж байна, клиент ямар ч гомдолгүйгээр хүлээн авч байна. Эдгээрийн аль нь ч Tor релеийг VPN-ийн төгсгөлийн цэг болгодоггүй бөгөөд алдаа үнэтэй, учир нь профайл цэвэрхэн импортлогдоод дараа нь гар барилтын үед бүтэлгүйтдэг. Би доорх дөрвөн шалгалтыг дарааллаар нь ашигладаг; тус бүрд зогсох нөхцөл байдаг бөгөөд эрт зогсох нь гол зүйл юм. Эхний шалгалт бүтэлгүйтвэл бусад нь танд туслахгүй.

Порт үнэхээр юунд үйлчилж байгааг шалгана уу

Нээлттэй порт нь сонсогч байгааг л нотолно, үүнээс өөр юу ч биш. Релений ORPort нь TLS гар барилтын дараа Tor-ийн өөрийн нүднүүдтэй ярьдаг тул амжилттай TLS шалгалт нь тэнд VPN протокол хүлээн авч байгаа эсэх талаар бараг юу ч хэлэхгүй:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Сертификат байгаа эсэхийг биш, сертификатыг өөрөө уншина уу. Релеүүд санаатайгаар анзаарагдахгүй нэртэй өөрөө гарын үсэг зурсан сертификат танилцуулдаг, учир нь релений трафик энгийн HTTPS-тэй төстэй байх ёстой; харин VPN серверийн сертификат нь таны профайлын хүлээж буй нэрийг агуулдаг. Хэрэв эсрэг тал VPN протоколын эхний пакетад хэзээ ч хариу өгөхгүй бол профайлыг хэрхэн засаж ч үр дүн өөрчлөгдөхгүй.

Хэрэв хаяг таны клиент илгээж буй гар барилтыг дуусгахгүй бол энд зогсоно уу. Энэ нь протоколын хариулт, тохиргооны асуудал биш бөгөөд импортолсон профайл үүрд 'connecting' төлөвт үлдэх хамгийн нийтлэг шалтгаан нь энэ юм.

Сүлжээний хэмжээг биш, релений үүргийг шалгана уу

Релений үүргүүд өөр өөр ажил хийдэг. Guard нь клиентүүдийн эхний алхам, дунд реле нь бусад релеүүдийн хооронд хэлхээг дамжуулдаг, exit нь очих газруудад хүрдэг үүрэг, гүүр нь BridgeDB-ээр түгээгддэг нийтийн бус орох цэг юм. Tor-ийн нэр томьёо эдгээр тодорхойлолтыг тусдаа хадгалдаг бөгөөд хүртээмжтэй байх нь үүрэг бүрийн хэсэг боловч дурын клиентүүдэд үйлчлэх зөвшөөрөл нь аль нэгнийх нь ч хэсэг биш.

Exit бодлогыг унших нь зүйтэй, учир нь энэ нь дамжуулах дүрэмтэй төстэй цорын ганц хэсэг бөгөөд exit аль очих газарт гарахыг зөвшөөрөхийг зохицуулдаг, дотогш орохыг зөвшөөрсөн клиентүүдийг биш. 25-р портыг блоклодог хатуу exit бодлого нь гадагш чиглэсэн урвуулан ашиглалтын хяналтын тухай ямар нэг юм хэлдэг, OpenVPN клиентийг машин руу чиглүүлж болох эсэхийн тухай биш.

Хэрэв нэр хүндээр дүгнэж байгаа бол зогсоно уу: релеүүд трафик дамжуулдаг тул хаяг таныхыг хүлээж авах ёстой. Tor замуудыг зөвшилцөл болон өөрийн протоколоор сонгодог; VPN клиент нь оролцогч биш бөгөөд нэгдэх хэлхээ байхгүй.

SOCKS сонсогч нь локал эсвэл нийтийн эсэхийг шалгана уу

Tor-ийн клиент нэг машины аппликейшнүүдэд SOCKS интерфэйс нээдэг, анхдагчаар loopback дээр. Тэр сонсогч нь локал тохиромжтой зүйл, реле интернэтэд санал болгодог үйлчилгээ биш бөгөөд үүнийг нийтийн прокси гэж үзэх нь хүмүүс санамсаргүйгээр нээлттэй реле ажиллуулахад хүрдэг зам юм:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Холболтын хаяг нь сэжүүр. 127.0.0.1:9050 дээрх SocksPort өөрийн ажлыг хийж байна; 0.0.0.0 дээр сонсож, гаднаас хүртээмжтэй нь нээлттэй прокси бөгөөд Tor-ийн өөрийн хандалтын бодлогын хяналт нь яг энэ илрэл нь онцлог биш, асуудал учраас оршдог.

Tor хэрэгтэй аппликейшнд түүнийг loopback порт руу чиглүүлж, нэрийг Tor шийдүүлээрэй, дээрх socks5h хэлбэр нь үүнийг хийдэг. Тэр портод релений хаягийг орлуулж болохгүй; реле таны аппликейшны асууж буй интерфэйсийг санал болгодоггүй.

VPN профайл бодит төгсгөлийн цэгт тохирч байгаа эсэхийг шалгана уу

VPN профайл бол хүлээлтүүдийн багц: OpenVPN-д серверийн сертификат эсвэл CA, клиентийн сертификат болон түлхүүр, ихэвчлэн TLS түлхүүр хэрэгтэй, харин WireGuard-д эсрэг талын нийтийн түлхүүр, төгсгөлийн цэг болон зөвшөөрөгдсөн IP хэрэгтэй. Эдгээрийн аль нь ч хаяг болон нээлттэй портоос гаргаж авах боломжгүй тул ингэж бүтээсэн профайл холбогдох үед биш, эхний солилцоонд бүтэлгүйтдэг.

Танд профайл өгөх үед өөрийн хянадаг төгсгөлийн цэг эсвэл таних боломжтой нийлүүлэгчид харьцуулж шалгана уу:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN-ийн логт TLS хэлэлцээрийн алдаа зөрүүг шууд нэрлэдэг; wg show гаралтад гар барилтын мөргүй эсрэг тал хэзээ ч нэгийг ч дуусгаж чадаагүй. Хоёулаа клиентийн эргэлдэх заагчаас илүү мэдээлэлтэй бөгөөд хоёулаа Tor руу биш, түлхүүрийн материал эсвэл протокол руу заадаг.

Үнэхээр ямар хамгаалалт хэрэгтэйг шалгана уу

Энэ бол архитектурыг шийддэг шалгалт. Tor Browser нь VPN-д байхгүй хэлхээний тусгаарлалт болон хурууны хээний эсрэг хамгаалалтыг өгдөг; VPN нь очих газар харж буй хаягийг өөрчилж, таныг нийлүүлэгчийн өмнө баталгаажуулдаг. Эдгээрийн хооронд сонгох нь эв нэгдлийн асуудал биш, аюулын загварын асуудал бөгөөд тэдгээрийг хольж хутгах нь хувийн мэт харагдах боловч тийм биш тохиргоог бий болгодог.

Гинжилт дараалалтай. Tor-ийн трафикийг зөөдөг VPN нь дэмжигдсэн зохион байгуулалт, учир нь Tor-ийн клиентэд зөвхөн гадагш чиглэсэн TCP хэрэгтэй. Tor-ийн дотор туннельдсан VPN клиент нь ижил зүйл биш бөгөөд Tor клиентийн хэрэгжүүлдэг зүйл ч биш тул үүнд тулгуурлан төлөвлөж болохгүй.

Ямар нэг зүйлийг импортлохын өмнө дөрвийг нь баталгаажуулна уу:

• Порт нь таны протоколын гар барилтыг дуусгадаг, зөвхөн TCP холболт биш.
• Хостын үүргийг мэддэг бөгөөд дамжуулалтыг зөвшөөрөл гэж үздэггүй.
• Ашиглаж буй SOCKS сонсогч нь loopback бөгөөд таных, өөр хэн нэгний реле дээрх нийтийн порт биш.
• Профайлын түлхүүр эсвэл сертификатууд нь таны холбогдож буй төгсгөлийн цэгт хамаарна.