Ny Tor-krets kontra bytte av VPN-server: hva som faktisk endres
En kretsendring flytter Tor-banen, mens et serverbytte flytter tunnelens endepunkt. Hvilken av dem som endrer adressen et nettsted ser, avhenger av rekkefølgen.
Å bytte Tor-krets og å bytte VPN-server føles begge som å få en ny rute, men de feiler på forskjellige steder når du behandler dem som samme knapp. Den ene ber Tor-klienten bygge en annen bane for et nettsted, den andre ber VPN-klienten koble til et annet endepunkt. Ingen av dem er en tilbakestilling, og adressen et nettsted til slutt ser, avhenger av hvilken av de to som ligger nærmest målet. Her er hvordan jeg avgjør hvilken kontroll jeg griper etter, og hva jeg sjekker etterpå.
To operasjoner i to forskjellige lag
Tor er et overlegg. Klienten din velger en vaktrelé, en midtrele og en utgangsrelé, og frakter deretter TCP-strømmer gjennom den kretsen; målet ser utgangen og ingenting annet. En kretsendring er en beslutning tatt inne i Tor om hvilke reléer som frakter en strøm.
En VPN er en tunnel under. Klienten velger et endepunkt, pakker trafikken inn i et ytre lag, og alt som kommer etterpå ser endepunktets adresse. Et serverbytte er en beslutning om hvor den ytre banen ender.
Fordi lagene er uavhengige, kan én operasjon være usynlig i den andre enden av forbindelsen. Den asymmetrien forklarer mesteparten av forvirringen rundt disse to kontrollene.
Hva New Tor Circuit for this Site gjør
New Tor Circuit for this Site i informasjonspanelet for nettstedet lukker strømmene Tor frakter for det nettstedet, og bygger en ny krets for neste forespørsel. Faner, informasjonskapsler, innlogginger og resten av økten blir nøyaktig der de var, og det er poenget: du beholder økten og endrer banen.
Det gjør den til det riktige verktøyet for en smal feil: en utgangsrelé målet blokkerer, en captcha-løkke som følger utgangen, eller ett nettsted som henger mens alle andre nettsteder er fine. Kretsvisningen i samme panel lister opp de tre reléene, så du kan bekrefte at utgangen virkelig ble endret i stedet for å anta det.
Følg med på vakten. Tor holder et lite sett inngangsvakter, og en kretsendring bruker normalt samme vakt på nytt, så det første hoppet i nettverket flytter seg ikke. New Identity er den større tilbakestillingen: den lukker faner og sletter nettlesertilstanden før den bygger en ny krets, og identitetskontrollene er dokumentert separat av en grunn: det er en annen operasjon med en annen kostnad.
Hva et bytte av VPN-server gjør
Klienten river ned tunnelen og kobler til et annet endepunkt. Det neste hoppet utenfor tunnelen, enten det er en Tor-vakt eller målet selv, ser en annen kildeadresse. Forbindelser inne i tunnelen brytes og må gjenopprettes, så sider kan henge til de får tidsavbrudd i stedet for å lastes inn rent.
Ingenting over tunnelen skrives om, men nedrivingen er ikke usynlig. I et oppsett der VPN-en kommer først, velges utgangen fortsatt av Tor, men å slippe tunnelen dreper TCP-forbindelsene Tor holder til vakten sin, så Tor river ned disse kretsene og bygger nye, og velger utgang på nytt. Nettstedet kan derfor se en annen utgangsadresse etter et bytte, selv om byttet selv aldri valgte en. Det byttet bestemmer er adressen vakten ser; den gjenoppbygde kretsen er det som velger utgangen på nytt. Hvis du byttet servere bare for å endre hva et nettsted ser mens Tor står foran, flyttet du et lag nettstedet aldri observerer direkte, og enhver endring nettstedet merker kom fra gjenoppbyggingen, ikke fra byttet.
Et bytte påvirker også bare ruten klienten eier. En nettleser som gjenbruker en åpen forbindelse, kan se ut som den sitter fast på den gamle banen til den kobler til på nytt, og et bufret DNS-svar er den andre vanlige hindringen. Last inn på nytt først, døm etterpå.
Rekkefølgen avgjør hva målet ser
De to rekkefølgene svarer på forskjellige spørsmål. Med VPN-en foran Tor ser vakten og reléene VPN-endepunktet mens målet ser Tor-utgangen. Med Tor foran VPN-en ser målet VPN-endepunktet, fordi tunnelen er det siste trafikken går gjennom.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
En IP-oppslag rapporterer altså hva målet så, ikke banen som fraktet det. En tjeneste som viser utgangen i det ene oppsettet og VPN-en i det andre, oppfører seg riktig og lekker ikke.
Hva ingen av operasjonene gjør
Ingen av dem sletter identiteten til en konto. En innlogget økt er en informasjonskapsel pluss en post på serversiden, og en baneendring berører ingen av dem. En stabil nettleserprofil, samme innlogging og samme fingeravtrykk overlever begge handlingene.
Ingen av dem er bevis heller. Et nettsted rapporterer en adresse det observerte under en forespørsel; det kan ikke rapportere relébanen din eller om VPN-en din falt ut ti minutter tidligere. Hvis du trenger den tidslinjen, skriv den ned der og da, for den kan ikke rekonstrueres fra den andre enden i ettertid.
Koble kontrollen til symptomet
Start med det som feilet, ikke med hvilken knapp som ser grundigere ut:
- Ett nettsted blokkerer deg, captchaer går i løkke, eller ett nettsted er tregt: ny krets for det nettstedet.
- Et oppsett med bare VPN trenger en annen synlig adresse: bytt server.
- Du forventet en utgang, men nettstedet rapporterer VPN-en din: sjekk rekkefølgen, Tor er bak tunnelen.
- Faner lukket og alt tilbakestilt: du brukte New Identity, ikke en kretsendring.
- Utgangen ser uendret ut etter en kretsendring: reléer kan med rette gjenta seg, og vakten vil ikke flytte seg i det hele tatt.
Skriv ned handlingen og symptomet den skulle rette, før du endrer noe annet. To bytter på rad gir en sammenligning som ikke kan tolkes, og å gjenta begge når bare ett lag oppfører seg feil, er hvordan en sjekk på fem minutter blir en hel ettermiddag.