Verbergt een VPN de download van Tor Browser voor het lokale netwerk?

Een download die binnen een VPN reist, verbergt één ding goed: de bestemming voor het lokale netwerk. De router ziet een verbinding naar het VPN-eindpunt en niets daarbinnen. Dat is een echte winst, en het is ook de hele winst. De operator ziet het verzoek nog steeds, en het apparaat registreert het bestand nog steeds.

Benoem de waarnemer voor wie je je verstopt voordat je een methode kiest.

Stap 1: benoem de waarnemer

Bij een afgedekte download zijn er vier waarnemers. Het toegangsnetwerk ziet timing en volume. De VPN-operator ziet de bestemming, omdat hij de partij is die het verzoek doorstuurt. De downloadsite ziet het VPN-adres. De machine ziet het bestand, de installatie en de geschiedenisregel die volgt.

Alleen de eerste wordt door de tunnel verslagen. De andere drie hebben een andere controle nodig.

Stap 2: controleer het pad dat de download werkelijk neemt

Controleer vóór het downloaden of het verkeer in de tunnel zit en niet ernaast. ip route get 1.1.1.1 toont welke interface een bestemming zou gebruiken, en ss -tn state established "( dport = :443 )" tijdens een testdownload toont het peeradres dat de verbinding werkelijk heeft bereikt. Als die peer het VPN-eindpunt is, is het pad gedekt. Als het een openbaar adres is dat bij de bestemming hoort, is split-tunneling actief en ziet het toegangsnetwerk alles.

Herhaal de controle na elke clientupdate, want de regels voor split-tunneling zijn beleid en geen eigenschap van de interface.

Stap 3: haal van de officiële bron en verifieer het artefact

Gebruik de ondersteunde downloadpagina en houd de HTTPS-controles intact. Een certificaatwaarschuwing bij deze download is niet iets om weg te klikken, en een spiegel die een snellere installer belooft is geen vervanging voor de uitgever. De tunnel verandert het pad dat de bytes nemen en zegt niets over wie ze heeft gemaakt.

Verifieer de handtekening in plaats van de bestandsnaam te vertrouwen:

gpg --verify tor-browser-linux-x86_64-*.tar.xz.asc tor-browser-linux-x86_64-*.tar.xz
sha256sum tor-browser-linux-x86_64-*.tar.xz

Een goede handtekening van de uitgeverssleutel is de integriteitscontrole. Een overeenkomende controlesom die door dezelfde onbetrouwbare spiegel is gepubliceerd, is dat niet.

Stap 4: houd de runtime-route apart

Downloaden onder een VPN configureert Tor Browser niet om er een te blijven gebruiken. De browser bereikt het Tor-netwerk via welke routering het besturingssysteem bij het starten heeft, dus een tunnel die tijdens de download aan stond en bij het starten uit, levert een ander pad met hetzelfde binaire bestand. Bepaal de volgorde bewust, eerst VPN en dan Tor of Tor alleen, en schrijf op in welke de machine moet zitten. De twee per ongeluk mengen geeft je de zichtbaarheid van geen van beide.

Controleer na het starten in plaats van aan te nemen: de circuitweergave toont de wachter die de browser koos, en een gewone verbindingstest toont of de systeemroute nog de tunnel is.

Stap 5: ruim op wat het apparaat nog steeds registreert

Het bestand is het grootste spoor. Downloads, shellgeschiedenis, lijsten met recente documenten, het logboek van de pakketbeheerder als je een deb hebt geïnstalleerd, en elke endpoint-agent op een beheerde machine bewaren alle bewijs van de installatie. Op apparatuur die je niet beheert, verwijdert een tunnel het beheer niet, en het behandelen alsof dat wel zo is, is een beleidsprobleem en geen technisch probleem.

Verwijder het archief zodra de installatie is geverifieerd, en accepteer dat het later verwijderen van de browser de downloadregistratie op een beheerd apparaat niet wist.

Dat is het eerlijke antwoord: het lokale netwerk ziet minder, en alle anderen zien wat ze eerder zagen.