VPN sebelum Tor: apa yang sebenarnya diubah oleh urutan

Menyambung VPN dahulu menghasilkan rantaian tertentu: peranti, titik akhir VPN, masuk Tor, litar Tor, destinasi. Rangkaian setempat anda melihat satu sambungan disulitkan ke VPN, dan nod masuk Tor melihat keluar VPN sebagai sumber segera dan bukannya alamat pembekal anda. Pengendali VPN pula melihat sambungan ke arah infrastruktur masuk Tor dan boleh membuat kesimpulan penggunaan Tor daripada destinasinya. Setiap pemerhati kehilangan sesuatu dan mendapat sesuatu, sebab itu urutannya ialah pertukaran dan bukan peningkatan.

Tiada apa dalam rantaian itu mengubah apa yang dipelajari laman web daripada akaun, kuki atau butiran yang anda taip.

Apa yang diubah oleh urutan

Rangkaian setempat dan ISP kehilangan keterlihatan langsung terhadap trafik Tor anda, kerana lompatan pertama kini terowong disulitkan ke pembekal. Pengawal masuk Tor kehilangan alamat rumah anda dan melihat keluar VPN. Pembekal VPN mendapat metadata yang dahulunya dipegang ISP anda: alamat mana yang anda hubungi, pada waktu apa dan berapa banyak data bergerak.

Selepas pengawal masuk, litar berkelakuan seperti dahulu. Geganti masih memisahkan peranan masuk, tengah dan keluar, dan VPN tidak melihat kandungan akhir lebih daripada ISP anda.

Sahkan laluan yang benar-benar digunakan

Terowong berpecah ialah sebab biasa rantaian yang dimaksudkan bukan yang sebenar.Jika Tor Browser dikecualikan daripada terowong, atau profil kedua menghala secara berbeza, pengawal masuk melihat semula alamat pembekal sementara antara muka masih kelihatan bersambung. Periksa laluan dan keluar yang diperhatikan, bukan ikon.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Permintaan SOCKS melalui port 9150 dijawab oleh klien Tor Browser sendiri, jadi balasan IsTor true mengesahkan litar pelayar, bukan bahawa setiap program lain menggunakannya. Output penyelesai wajar direkodkan kerana DNS boleh keluar melalui laluan yang tidak diliputi terowong. Simpan kedua-dua output dengan cap masa. Kedua-duanya ialah garis dasar untuk perbandingan seterusnya.

Bandingkan dengan permintaan terus daripada terminal biasa: jika itu juga melaporkan Tor, sesuatu yang lain mengubah hala trafik dan rantaian itu bukan seperti yang diandaikan reka bentuk.

Perhatikan apa yang berlaku apabila terowong jatuh

Klien yang senyap kembali ke antara muka setempat mengubah sumber yang dilihat pengawal masuk, dan pengguna biasanya tidak menyedarinya kerana halaman masih dimuatkan. Kegagalan itulah yang wajar diuji, bukan laluan lancar. Putuskan terowong dengan sengaja dan perhatikan sama ada trafik Tor berhenti atau berterusan tanpa perlindungan.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Peraturan tembok api yang menyekat trafik keluar di luar terowong ialah satu-satunya kawalan sandaran yang boleh dipercayai, dan ia mesti meliputi klien SOCKS pelayar dan mana-mana program lain yang anda pedulikan. Sambungan pelayar bukan VPN peranti dan tidak menjejaskan program lain atau pemerhati luar.

Tentukan sama ada lapisan tambahan itu layak dipercayai

Projek Tor menasihatkan supaya tidak menimbun VPN di bawah Tor melainkan anda boleh menilai persediaan itu sendiri. Sebab yang mereka nyatakan ialah kebergantungan tambahan: pihak lain, akaun lain dan mod kegagalan lain. Jika tujuannya menghalang ISP anda daripada melihat bahawa anda menggunakan Tor, VPN menangani pemerhati khusus itu. Jika tujuannya ialah anonimitas yang lebih kuat terhadap pemerhati global, VPN tidak menyediakannya.

Urutan terbalik juga wujud, dan namanya tidak boleh ditukar ganti:Tor di atas VPN dan VPN di atas Tor menerangkan hubungan kepercayaan yang berbeza dan tingkah laku kegagalan yang berbeza. Baca perbandingan sebelum mencampurkannya.

Catat pemerhati mana yang anda cuba gerakkan, kemudian sahkan bahawa laluan sebenar sepadan dengan reka bentuk, kemudian sahkan tingkah laku kegagalan. Jika ketiga-tiga jawapan itu tidak membenarkan akaun dan konfigurasi tambahan, persediaan Tor Browser yang didokumenkan mempunyai lebih sedikit bahagian yang boleh tersilap.