Relai Tor berbanding pelayan VPN: mengapa ia tidak boleh ditukar ganti

Anda mempunyai alamat, port menjawab, dan klien menerimanya tanpa aduan. Tiada satu pun daripada itu menjadikan relai Tor sebagai titik akhir VPN, dan kesilapan itu mahal kerana profil diimport dengan bersih dan gagal kemudian semasa jabat tangan. Saya menggunakan empat semakan di bawah mengikut urutan; setiap satu mempunyai syarat berhenti, dan berhenti awal itulah intinya. Jika semakan pertama gagal, yang lain tidak dapat membantu anda.

Semak apa yang sebenarnya dilayan oleh port

Port terbuka membuktikan adanya pendengar, tidak lebih. ORPort relai bercakap sel Tor sendiri selepas jabat tangan TLS, jadi ujian TLS yang berjaya hampir tidak memberitahu anda sama ada protokol VPN diterima di situ:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Baca sijil itu dan bukan fakta bahawa ia wujud. Relai mempersembahkan sijil tandatangan sendiri dengan nama yang sengaja tidak menonjol, kerana trafik relai sepatutnya menyerupai HTTPS biasa; sijil pelayan VPN membawa nama yang dijangka oleh profil anda. Jika pihak bertentangan tidak pernah menjawab paket pertama protokol VPN, apa jua pengeditan profil tidak akan mengubah hasilnya.

Berhenti di sini jika alamat tidak melengkapkan jabat tangan yang dihantar oleh klien anda. Itu jawapan protokol, bukan masalah konfigurasi, dan itulah sebab paling biasa profil yang diimport kekal pada 'connecting' selamanya.

Semak peranan relai, bukan saiz rangkaian

Peranan relai melakukan tugas yang berbeza. Guard ialah lompatan pertama untuk klien, relai tengah memajukan litar antara relai lain, exit ialah yang menyentuh destinasi, dan jambatan ialah titik masuk bukan awam yang diedarkan melalui BridgeDB. Glosari Tor menyimpan takrifan itu berasingan, dan kebolehcapaian ialah sebahagian daripada setiap peranan manakala kebenaran melayan klien sewenang-wenangnya bukan sebahagian daripada mana-mana pun.

Dasar exit wajar dibaca kerana ia satu-satunya bahagian yang menyerupai peraturan pemajuan, dan ia mengawal destinasi yang dibenarkan keluar oleh exit, bukan klien yang dibenarkan masuk. Dasar exit ketat yang menyekat port 25 mengatakan sesuatu tentang kawalan penyalahgunaan keluar, bukan tentang sama ada anda boleh menghalakan klien OpenVPN ke mesin itu.

Berhenti jika anda membuat alasan daripada reputasi: kerana relai memajukan trafik, alamat itu mesti menerima trafik anda. Tor memilih laluan melalui konsensus dan protokolnya sendiri; klien VPN bukan peserta dan tidak mempunyai litar untuk disertai.

Semak sama ada pendengar SOCKS bersifat setempat atau awam

Klien Tor mendedahkan antara muka SOCKS kepada aplikasi pada mesin yang sama, secara lalai pada loopback. Pendengar itu ialah kemudahan setempat, bukan perkhidmatan yang ditawarkan oleh relai kepada internet, dan menganggapnya sebagai proksi awam ialah cara orang akhirnya menjalankan relai terbuka yang tidak mereka maksudkan:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Alamat ikatan ialah petunjuknya. SocksPort pada 127.0.0.1:9050 melakukan tugasnya; yang mendengar pada 0.0.0.0 dan boleh dicapai dari luar ialah proksi terbuka, dan kawalan dasar akses Tor sendiri wujud semata-mata kerana pendedahan itu ialah masalah dan bukan ciri.

Untuk aplikasi yang memerlukan Tor, halakan ke port loopback dan biarkan Tor menyelesaikan nama, yang dilakukan oleh bentuk socks5h di atas. Jangan gantikan alamat relai untuk port itu; relai tidak menawarkan antara muka yang diminta oleh aplikasi anda.

Semak bahawa profil VPN sepadan dengan titik akhir sebenar

Profil VPN ialah himpunan jangkaan: OpenVPN memerlukan sijil pelayan atau CA, sijil klien dan kunci, dan biasanya kunci TLS, manakala WireGuard memerlukan kunci awam pihak bertentangan, titik akhir dan IP yang dibenarkan. Tiada satu pun daripada itu boleh diterbitkan daripada alamat dan port terbuka, sebab itulah profil yang dibina begitu gagal pada pertukaran pertama dan bukan semasa menyambung.

Apabila anda diberikan profil, sahkan ia terhadap titik akhir yang anda kawal atau penyedia yang anda boleh kenal pasti:

wg show
openvpn --config client.ovpn --verb 4

Dalam log OpenVPN, ralat rundingan TLS menamakan ketidakpadanan secara langsung; dalam wg show, pihak bertentangan tanpa baris jabat tangan tidak pernah menyelesaikan satu pun. Kedua-duanya lebih bermaklumat daripada penunjuk berpusing klien, dan kedua-duanya menunjuk kepada bahan kunci atau protokol dan bukan kepada Tor.

Semak perlindungan mana yang sebenarnya anda perlukan

Inilah semakan yang menentukan seni bina. Pelayar Tor memberikan anda pengasingan litar dan pertahanan cap jari yang tidak diberikan oleh VPN; VPN mengubah alamat yang dilihat oleh destinasi dan mengesahkan anda kepada penyedia. Memilih antara keduanya ialah persoalan model ancaman, bukan persoalan keserasian, dan mencampurkan kedua-duanya menghasilkan persediaan yang kelihatan peribadi dan sebenarnya tidak.

Rantaian mempunyai susunan. VPN yang membawa trafik Tor ialah susunan yang disokong, kerana klien Tor hanya memerlukan TCP keluar. Klien VPN yang ditorowong di dalam Tor bukan perkara yang sama dan bukan apa yang dilaksanakan oleh klien Tor, jadi jangan merancang berdasarkan itu.

Sebelum mengimport apa-apa, sahkan kesemuanya empat:

• Port melengkapkan jabat tangan protokol anda, bukan hanya sambungan TCP.
• Anda tahu peranan hos dan tidak menganggap pemajuan sebagai kebenaran.
• Pendengar SOCKS yang anda gunakan ialah loopback dan milik anda, bukan port awam pada relai orang lain.
• Kunci atau sijil profil milik titik akhir yang anda sambung.