Nieuw Tor-circuit versus VPN-server wisselen: wat er echt verandert

Een Tor-circuit vernieuwen en een VPN-server wisselen voelen beide als een nieuwe route krijgen, maar ze breken op verschillende plekken als je ze als dezelfde knop behandelt. De een vraagt de Tor-client om een ander pad voor een site te bouwen, de ander vraagt de VPN-client om verbinding te maken met een ander eindpunt. Geen van beide is een reset, en het adres dat een website uiteindelijk ziet, hangt af van welke van de twee dichter bij de bestemming zit. Zo bepaal ik welke knop ik gebruik, en wat ik daarna controleer.

Twee handelingen in twee verschillende lagen

Tor is een overlay. Je client kiest een guard-relay, een middle-relay en een exit-relay en draagt daarna TCP-stromen door dat circuit; de bestemming ziet de exit en niets anders. Een circuitwissel is een beslissing binnen Tor over welke relays een stroom dragen.

Een VPN is een tunnel eronder. De client kiest een eindpunt, wikkelt verkeer in een buitenlaag en alles wat daarna komt ziet het adres van het eindpunt. Een serverwissel is een beslissing over waar het buitenpad eindigt.

Omdat de lagen onafhankelijk zijn, kan één handeling onzichtbaar blijven aan de andere kant van de verbinding. Die asymmetrie verklaart het grootste deel van de verwarring rond deze twee knoppen.

Wat New Tor Circuit for this Site doet

New Tor Circuit for this Site sluit in het site-informatiepaneel de stromen die Tor voor die site draagt en bouwt een nieuw circuit voor het volgende verzoek. Tabbladen, cookies, logins en de rest van de sessie blijven precies waar ze waren, en dat is het punt: je houdt de sessie en verandert het pad.

Daarmee is het het juiste gereedschap voor een smalle storing: een exit-relay die de bestemming blokkeert, een captcha-lus die de exit volgt, of één site die blijft hangen terwijl elke andere site het doet. De circuitweergave in datzelfde paneel somt de drie relays op, dus je kunt bevestigen dat de exit echt is veranderd in plaats van het aan te nemen.

Let op de guard. Tor houdt een kleine set entry-guards aan, en een circuitwissel hergebruikt normaal dezelfde guard, dus de eerste hop op het netwerk beweegt niet. New Identity is de grotere reset: het sluit tabbladen en wist de browservoorgeschiedenis voordat het een nieuw circuit bouwt, en de identiteitsknoppen zijn apart gedocumenteerd met een reden: het is een andere handeling met een andere prijs.

Wat het wisselen van een VPN-server doet

De client breekt de tunnel af en verbindt met een ander eindpunt. De volgende hop buiten de tunnel, of dat nu een Tor-guard of de bestemming zelf is, ziet een ander bronadres. Verbindingen in de tunnel breken en moeten opnieuw tot stand worden gebracht, dus pagina's kunnen blijven hangen tot ze een time-out geven in plaats van schoon te herladen.

Niets boven de tunnel wordt herschreven, maar het afbreken is niet onzichtbaar. In een opstelling met de VPN vooraan kiest Tor nog steeds de exit, maar het laten vallen van de tunnel doodt de TCP-verbindingen die Tor met zijn guard heeft, dus Tor breekt die circuits af en bouwt nieuwe, waarbij opnieuw een exit wordt gekozen. De site kan daardoor na een wissel een ander exitadres zien, ook al heeft de wissel zelf er nooit een gekozen. Wat de wissel bepaalt is het adres dat de guard ziet; het herbouwde circuit is wat de exit opnieuw kiest. Als je servers alleen hebt gewisseld om te veranderen wat een site ziet terwijl Tor vooraan staat, heb je een laag verplaatst die de site nooit direct waarneemt, en elke verandering die de site merkt kwam van de herbouw, niet van de wissel.

Een wissel beïnvloedt ook alleen de route die de client bezit. Een browser die een open verbinding hergebruikt, kan vast lijken te zitten op het oude pad tot hij opnieuw verbindt, en een gecacht DNS-antwoord is de andere gebruikelijke horde. Herlaad eerst, oordeel daarna.

De volgorde bepaalt wat de bestemming ziet

De twee volgordes beantwoorden verschillende vragen. Met de VPN voor Tor zien de guard en de relays het VPN-eindpunt terwijl de bestemming de Tor-exit ziet. Met Tor voor de VPN ziet de bestemming het VPN-eindpunt, omdat de tunnel het laatste is waar het verkeer doorheen gaat.

Een IP-opzoeking meldt dus wat de bestemming zag, niet het pad dat het vervoerde. Een dienst die in de ene opstelling de exit toont en in de andere de VPN, gedraagt zich correct en lekt niet.

Wat geen van beide handelingen doet

Geen van beide wist de identiteit van een account. Een ingelogde sessie is een cookie plus een record aan de serverkant, en een padwijziging raakt geen van beide. Een stabiel browserprofiel, dezelfde login en dezelfde vingerafdruk overleven beide handelingen.

Geen van beide is ook bewijs. Een website meldt een adres dat zij tijdens een verzoek heeft waargenomen; zij kan je relaypad niet melden of je VPN tien minuten eerder is weggevallen. Als je die tijdlijn nodig hebt, schrijf hem dan op het moment zelf op, want achteraf valt hij vanaf de andere kant niet te reconstrueren.

Koppel de knop aan het symptoom

Begin bij wat er mislukte, niet bij welke knop grondiger lijkt:

• Eén site blokkeert je, captcha's lopen in een lus, of één site is traag: nieuw circuit voor die site.
• Een opstelling met alleen VPN heeft een ander zichtbaar adres nodig: wissel de server.
• Je verwachtte een exit maar de site meldt je VPN: controleer de volgorde, Tor zit achter de tunnel.
• Tabbladen gesloten en alles gereset: je gebruikte New Identity, geen circuitwissel.
• De exit lijkt onveranderd na een circuitwissel: relays mogen zich terecht herhalen, en de guard beweegt helemaal niet.

Schrijf de handeling en het symptoom dat zij moest oplossen op voordat je iets anders verandert. Twee wissels achter elkaar leveren een vergelijking op die niet te interpreteren is, en beide herhalen terwijl maar één laag zich misdraagt, is hoe een controle van vijf minuten een middag wordt.