VPN melalui Tor: periksa pengangkutan dahulu

Tor dahulu bermaksud klien VPN duduk di belakang proksi SOCKS, jadi terowong itu sendiri dibina melalui Tor dan trafik aplikasi keluar dari titik akhir VPN. Itu satu urutan tertentu, dan bukan yang dibina oleh kebanyakan orang. Membuka Tor Browser di sebelah klien VPN biasa tidak memaksa mana-mana daripada dua program itu menggunakan laluan yang lain.

Lakukan pemeriksaan mengikut urutan. Setiap satu menentukan sama ada yang seterusnya wajar dimulakan.

Urutan mana yang sebenarnya anda bina

Dua urutan dikelirukan dalam perbualan yang sama. Tor dahulu bermaksud klien VPN mencapai pelayannya melalui proksi SOCKS, jadi terowong dibina di atas Tor. VPN dahulu bermaksud trafik Tor keluar melalui terowong, yang dibina oleh kebanyakan orang secara tidak sengaja dan kemudian digambarkan sebagai urutan yang satu lagi. Yang pertama memusatkan sempadan penghantaran pada pengendali VPN, yang kedua memusatkannya di pintu masuk dan keluar Tor. Kedua-duanya bukan apa yang anda dapat dengan membiarkan kedua-dua aplikasi terbuka serentak.

Tuliskan urutan mana yang diperlukan tugas sebelum mengkonfigurasi apa-apa, kerana kedua-duanya memerlukan tetapan perisian berbeza dan gagal di tempat berbeza. Urutan yang salah label menghantar anda menyahpepijat lapisan yang salah selama satu jam. Semua di bawah menganggap Tor dahulu.

Periksa pengangkutan sebelum apa-apa lagi

Antara muka SOCKS Tor membawa aliran TCP dan tidak menyediakan persatuan UDP umum. VPN yang pengangkutannya UDP tidak boleh menganggap proksi itu sebagai antara muka rangkaian biasa, dan tiada tetapan klien mengubah apa yang proksi itu sanggup hantar. WireGuard dalam bentuk biasa ialah mangsa yang jelas. Profil OpenVPN dalam mod TCP ialah penyelesaian biasa, dan ia masih perlu diberitahu secara jelas untuk menggunakan proksi.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Sahkan proksi mendengar dan boleh membawa satu permintaan HTTPS biasa sebelum anda menyahpepijat terowong melaluinya. Jika permintaan biasa gagal, klien VPN tidak akan berjaya dan lognya tidak akan memberitahu anda sebabnya.

Tulis semula peta pemerhati

Pintu masuk Tor boleh melihat sumber yang bersambung ke Tor melainkan sesuatu yang lebih awal telah mengubahnya, jadi lonjakan itu mempelajari alamat anda. Penyedia VPN menerima sambungan yang datang dari sebelah Tor tetapi mungkin masih mengetahui akaun, rekod pembayaran atau kelayakan yang anda hantar di dalam terowong. Destinasi yang dicapai melalui VPN melihat keluarnya dan bukan keluaran Tor, dan itu memusatkan sempadan penghantaran akhir pada satu pengendali.

Ia juga tidak mencipta semula laluan teragih ke setiap destinasi. Tor Browser membina litar baharu bagi setiap tapak; VPN yang dibawa melalui Tor membina satu terowong, dan setiap tapak di belakangnya berkongsi titik akhir itu. Anggap perbezaan itu sebagai fakta reka bentuk dan bukan had yang perlu dihapuskan.

Kira lapisan kegagalan apabila ia rosak

Persediaan yang rosak mempunyai sekurang-kurangnya empat lapisan bebas: sambungan SOCKS, jabat tangan TLS dengan pelayan VPN, jabat tangan VPN itu sendiri, dan kemudian penghalaan atau penyelesaian nama di dalam terowong. Setiap satu gagal dengan gejala berbeza dan setiap satu memerlukan pembaikan berbeza. Melonggarkan pemeriksaan sijil kerana terowong tidak naik ialah salah diagnosis klasik, dan ia mengubah masalah pengangkutan menjadi masalah keselamatan.

Catat lapisan pertama yang gagal dan berhenti di situ. Penolakan proksi dan kunci yang ditolak bukan variasi peristiwa yang sama.

Berhenti jika model ancaman memerlukan pertahanan Tor Browser

Penghalaan aplikasi sewenang-wenangnya melalui VPN yang dibawa Tor tidak memberikan aplikasi itu ciri cap jari dan pengasingan Tor Browser. Akaun, pengecam dan tingkah laku rangkaian mereka sendiri kekal relevan, dan terowong tidak menormalkan mana-mana daripadanya. Jika matlamatnya ialah pelayar yang bercampur dengan pengguna lain, urutan ini tidak menyediakannya.

Tor Project sendiri memberi amaran tentang gabungan yang tidak dapat dikonfigurasi pengguna dengan betul, dan yang ini terpakai kepada kebanyakan orang. Ini reka bentuk sengaja untuk model ancaman sempit, bukan jalan pintas kepada trafik tanpa nama seluruh peranti.