Relai keluar Tor berbanding pelayan keluar VPN: apa yang diketahui setiap satu
Relai keluar Tor dan pelayan keluar VPN kedua-duanya menunjukkan satu alamat awam, tetapi membahagikan pengetahuan secara berbeza. Bandingkan keterlihatan, liputan dan dasar port.
Kedua-dua reka bentuk menyembunyikan alamat anda di sebalik satu IP awam, dan laman yang mencetak alamat yang dilihatnya tidak dapat membezakan keduanya. Perbezaannya ialah siapa yang mempelajari apa di sepanjang jalan, berapa banyak trafik dilindungi, dan port mana yang dibenarkan berfungsi. Relai keluar Tor ialah lompatan terakhir rangkaian tiga relai; pelayan keluar VPN menamatkan terowong anda dan membuat sambungan keluar itu sendiri. Berikut ialah cara saya memutuskan mana yang diperlukan oleh sesuatu tugas, dan apa yang saya semak sebelum menganggap satu berkelakuan seperti yang lain.
Dua laluan yang berakhir pada satu alamat
Tor membina rangkaian melalui pengawal, relai tengah dan pintu keluar, serta menyulitkan muatan dalam lapisan supaya setiap relai hanya mengupas lapisannya sendiri. Pintu keluar membuat sambungan TCP biasa ke destinasi, itulah sebabnya destinasi melihat alamat keluar. Klien anda tidak pernah bercakap terus dengan destinasi, dan pengawal juga tidak melihatnya.
VPN ialah satu terowong ke satu titik akhir. Pelayan pengendali membuang terowong dan membuka sambungan keluar, jadi destinasi juga melihat satu alamat, kali ini milik pengendali. Hasil yang dapat diperhatikan adalah sama; pengetahuannya tidak. Ujian yang mencetak IP menjawab sistem mana anda berada dan tidak berkata apa-apa tentang pembahagian kepercayaan yang benar-benar berbeza.
Siapa yang akhirnya tahu apa
Titik akhir VPN melihat alamat sumber, destinasi, masa dan jumlah di satu tempat. Pemusatan itu ialah reka bentuknya: satu pengendali, satu permukaan log, satu tempat untuk dipanggil atau salah dikonfigurasi. Semua yang anda peroleh datang daripada mempercayai pihak itu dan daripada dasar keluar titik akhir.
Tor membahagikan pengetahuan itu. Pengawal tahu alamat anda tetapi bukan destinasi; pintu keluar tahu destinasi tetapi bukan alamat anda. Relai tidak sepatutnya mempelajari kedua-duanya. Itu sifat struktur, bukan janji terhadap pemerhati global, relai yang mengaitkan masa, atau titik akhir yang terjejas, jadi anggap ia sebagai pembahagian risiko yang sama secara berbeza, bukan sebagai tanpa nama yang tidak boleh gagal.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Liputan ialah keputusan pelayar atau keputusan laluan
Pelayar Tor menghala trafiknya sendiri dan menambah perlindungan yang tidak dihasilkan semula oleh klien VPN generik: ketahanan cap jari, pengasingan pihak pertama, saiz tetingkap tetap dan tindakan Identiti Baru yang membuang keadaan sesi. Aplikasi lain tidak menggunakan rangkaian itu melainkan dikonfigurasi untuknya, dan persediaan Tor seluruh sistem ialah projek berasingan daripada memasang pelayar.
VPN mempunyai bentuk berlawanan. Liputan mengikut jadual laluan, jadi profil WireGuard dengan AllowedIPs = 0.0.0.0/0 menangkap segala-galanya dan senarai terowong berpecah hanya menangkap awalan yang dinamakannya. Dalam mekanisme itulah kebocoran juga tinggal: pertanyaan DNS, IPv6 dan WebRTC masing-masing boleh mengambil laluan yang tidak termasuk dalam dasar laluan. Semak dari dalam aplikasi yang gagal, bukan dari tab pelayar yang mungkin menggunakan antara muka lain.
Dasar port, destinasi disekat dan HTTPS
Relai keluar bebas menolak port keluar, dan dasar lalai menolak senarai port mudah disalahgunakan, termasuk port SMTP 25. Oleh itu klien mel yang dikonfigurasi melalui Tor gagal di pintu keluar, yang kelihatan seperti kerosakan rangkaian dan bukan. Pengendali yang menjalankan relai menetapkannya secara jelas:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Destinasi juga menyekat, dan mereka menyekat kedua-dua sistem secara berbeza. Alamat keluar Tor diterbitkan, jadi laman boleh menolak seluruh senarai; titik akhir VPN berada dalam julat pusat data yang ditolak sama mudahnya. Apabila halaman gagal, pisahkan tiga calon sebelum mengubah apa-apa: dasar keluar atau egress, destinasi yang menolak sumber, atau portal tawanan yang merampas permintaan pertama.
Tiada satu pun sistem menggantikan penyulitan pengangkutan. HTTP biasa boleh dibaca di relai keluar dan di titik akhir VPN sama juga, jadi biarkan HTTPS dihidupkan dan bacalah amaran sijil dan bukan mengabaikannya. Dua pemeriksaan menyelesaikan persoalan laluan dengan cepat: curl -s https://check.torproject.org/api/ip mengembalikan IsTor apabila permintaan melalui rangkaian, dan curl -s https://ifconfig.me menunjukkan alamat keluar yang akan dikemukakan VPN. Menjalankan kedua-duanya memberitahu anda laluan mana yang sebenarnya digunakan oleh shell.
Jangan gunakan satu sebagai yang lain
Alamat relai keluar bukan profil VPN. Menghalakan klien OpenVPN atau WireGuard ke relai pada port 443 tidak mencipta terowong, kerana tiada perkhidmatan VPN mendengar di sana; relai itu ialah lompatan dalam rangkaian orang lain. Sebaliknya, titik akhir VPN bukan titik masuk untuk Tor, dan tetapan jambatan pelayar Tor bukan tempat menampal nama hos VPN komersial. Jika anda menjalankan Tor di atas VPN, pengawal melihat alamat VPN dan bukan alamat anda, yang mengubah pembahagian tanpa menyatukan kedua-dua peranan.
Sebelum memilih, jawab empat soalan mengikut urutan: siapa mengendalikan titik akhir dan apa yang disimpannya, apa yang diliputi alat ini pada peranti ini, port dan destinasi apa yang dibenarkan oleh dasar keluar, dan apa yang ditambah aplikasi melebihi laluan rangkaian. Tugas yang memerlukan akses rangkaian biasa untuk banyak program mahukan VPN. Tugas yang memerlukan perlindungan peringkat pelayar dan model rangkaian mahukan pelayar Tor, yang dikekalkan terkini. Jika jawapannya «kedua-dua», jalankan dalam urutan yang disengajakan dan catat alamat mana yang dilihat oleh setiap pihak.