Gaat Tor door de VPN? Wat split tunneling verandert

Hier is de overtuiging die het testen waard is: een verbonden badge betekent dat Tors verkeer eerst door de VPN ging. Die gevolgtrekking faalt vaker dan ze zou moeten, en ze faalt stil. Een split-tunnel-matcher kan het Tor-proces buiten de tunnel laten terwijl het apparaat verbonden blijft, en beide observaties zijn tegelijk waar. Het pictogram meldt een interface; de route die uw pakketten namen, is een aparte vraag. Beantwoord die vanuit de routing en de matcher, niet vanuit de badge.

Wat een verbonden badge bewijst, en wat niet

Een verbonden VPN betekent dat een interface actief is en dat er een tunnel naar de peer bestaat. Tors inkomende verbinding is een andere stroom, aangemaakt door een ander proces, en of die de tunnel in gaat, hangt af van de matcher en de routingtabel die erop worden toegepast. Sluit het proces uit en de VPN verbindt nog steeds, Tor bouwt nog steeds een circuit, en de volgorde die u bedoelde is niet gebeurd. De twee observaties beantwoorden verschillende vragen, daarom beslist geen van beide alleen de volgorde.

Dat gat is geen fout in een van de hulpmiddelen. Daar is een uitsluitingsregel precies voor bedoeld, en de regel is waarschijnlijk geschreven om een reden die iemand zich nog herinnert.

Welke matcher de client op een verbinding toepast

Wat de route bepaalt, is de matcher die de client op elke verbinding toepast: een procesnaam, een bestemmingsprefix of een route-item, afhankelijk van de client. Een snelkoppeling op het bureaublad past bij geen van deze, want het is een starter, geen beleidseenheid. Lees de regelset van de client en benoem de eenheid die hij werkelijk test voordat u over Tor redeneert. Als de client op bestemming matcht, wordt de vraag welke prefixen binnen de tunnel liggen in plaats van welk programma draait.

Een op bestemming gebaseerde regel die alleen prefixen van een privékantoor draagt, is een gangbare vorm, en laat gewone Tor-inkomende verbindingen ontwerpsmatig direct. Dat is het beleid dat werkt zoals geconfigureerd, en het is niet de volgorde VPN-vóór-Tor, hoe gezond de badge er ook uitziet. Schrijf de matcher en de uitgesloten prefixen op dezelfde regel van uw notities, want dat paar is de regel.

Wat er met Tor gebeurt als de tunnel wegvalt

Haal nu de tunnel weg en kijk wat Tor doet, want een beleid dat alleen standhoudt zolang het netwerk gezond is, is niet het beleid dat u beschreef. De client kan direct verkeer weigeren terwijl de tunnel weg is, het stilzwijgend toestaan, of even later opnieuw verbinden en de regel opnieuw toepassen. Een handmatige ontkoppeling en een crash zijn verschillende gebeurtenissen, en de crash is degene die niemand heeft geoefend. Test met onschadelijk verkeer en noteer welk van de drie uitkomsten u werkelijk hebt waargenomen.

Lees ook het gedocumenteerde gedrag van de client, maar behandel de documentatie als een hypothese tot uw test het ermee eens is. Leveranciers beschrijven de standaard; uw profiel bepaalt de uitzondering.

Waarom het uitgangsadres de inkomende vraag niet kan beantwoorden

Een site die via Tor wordt bereikt, meldt het adres van de uitgangsrelay, wat vertelt waar het circuit naar buiten kwam en niets over hoe de eerste sprong uw apparaat verliet. Mensen citeren dat adres als bewijs voor de volgorde VPN-eerst, maar het kan dat gewicht niet dragen. De inkomende vraag is lokaal: welke interface droeg de verbinding naar de eerste relay, en welk bronadres de VPN-peer zou hebben gezien. Beantwoord die met een route-opzoeking of een packet capture op het apparaat, niet met een website.

Twee verschillende routes kunnen hetzelfde uitgangsland opleveren, dus een overeenkomstig resultaat bewijst nog minder dan het lijkt. Vergelijk interfaces, niet geografie.

Toepassingen die de browserinstellingen nooit hebben geërfd

Een documentviewer, een synchronisatieclient en een pakketbeheerder maken elk hun eigen verbindingen, en geen van hen erft de proxyinstellingen van de browser. Elk volgt de matcher van de client, zijn eigen configuratie of de systeemproxy, en de combinatie wordt zelden opgeschreven. Zo groeit een uitzonderingenlijst: één toepassing per keer, elke toevoeging redelijk, tot niemand meer kan zeggen wat de lijst dekt. Houd in plaats daarvan een kort diagram per toepassing bij, met de matcher, de route en het faalgedrag.

Als de extra VPN-laag geen doel dient dat u kunt noemen, is het verwijderen van de laag gemakkelijker te verifiëren dan het onderhouden van een lange uitzonderingenlijst. Ondertussen Tor Projects notitie over VPN's benadert dezelfde volgordevraag van de andere kant. Minder bewegende delen betekent minder aannames die na de volgende clientupdate opnieuw moeten worden getest.