VPN via Tor: eerst de transportcontrole

Tor-first betekent dat de VPN-client achter een SOCKS-proxy zit, waardoor de tunnel zelf via Tor wordt opgebouwd en verkeer van toepassingen bij het VPN-eindpunt naar buiten gaat. Dat is één specifieke volgorde, en het is niet wat de meeste mensen bouwen. Tor Browser naast een normale VPN-client openen dwingt geen van beide programma's om het pad van de ander te gebruiken.

Doorloop de controles in volgorde. Elk ervan bepaalt of de volgende de moeite waard is om te beginnen.

Welke volgorde bouw je eigenlijk

Twee volgordes raken in hetzelfde gesprek verward. Tor eerst betekent dat de VPN-client zijn server via een SOCKS-proxy bereikt, waardoor de tunnel bovenop Tor wordt gebouwd. VPN eerst betekent dat Tor-verkeer via de tunnel naar buiten gaat, wat de meeste mensen per ongeluk bouwen en daarna als de andere volgorde beschrijven. De eerste concentreert de doorstuurgrens bij de VPN-operator, de tweede concentreert die bij de Tor-ingang en -uitgang. Geen van beide is wat je krijgt door beide toepassingen tegelijk open te hebben.

Schrijf voordat je iets configureert op welke volgorde de taak nodig heeft, want de twee vragen om verschillende software-instellingen en falen op verschillende plekken. Een verkeerd benoemde volgorde stuurt je een uur lang de verkeerde laag te debuggen. Alles hieronder gaat uit van Tor eerst.

Controleer het transport voor al het andere

De SOCKS-interface van Tor draagt TCP-stromen en biedt geen algemene UDP-associatie. Een VPN waarvan het transport UDP is, kan die proxy niet als een gewone netwerkinterface behandelen, en geen enkele clientinstelling verandert wat de proxy bereid is door te sturen. WireGuard in zijn gebruikelijke vorm is het duidelijke slachtoffer. Een OpenVPN-profiel in TCP-modus is de gebruikelijke oplossing, en die moet nog steeds expliciet worden verteld de proxy te gebruiken.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Bevestig dat de proxy luistert en één gewoon HTTPS-verzoek kan dragen voordat je een tunnel erdoorheen debugt. Als het gewone verzoek mislukt, zal de VPN-client nooit slagen en zijn logboeken vertellen je niet waarom.

Herschrijf de observatorkaart

De Tor-ingang kan de bron zien die verbinding maakt met Tor tenzij iets eerders die heeft veranderd, dus die hop leert je adres. De VPN-provider ontvangt een verbinding die van de Tor-kant komt, maar kan nog steeds een account, een betalingsrecord of een inloggegeven kennen dat je in de tunnel hebt verzonden. Bestemmingen die via de VPN worden bereikt, zien de uitgang daarvan in plaats van de Tor-uitgang, en dat concentreert de definitieve doorstuurgrens bij één operator.

Het herstelt ook geen gedistribueerd pad naar elke bestemming. Tor Browser bouwt een vers circuit per site; een VPN gedragen over Tor bouwt één tunnel, en elke site daarachter deelt dat eindpunt. Behandel het verschil als een ontwerpfactum en niet als een beperking die moet worden weggeregeld.

Tel de foutlagen als het breekt

Een kapotte opstelling heeft minstens vier onafhankelijke lagen: de SOCKS-verbinding, de TLS-handshake met de VPN-server, de VPN-handshake zelf en dan routing of naamresolutie in de tunnel. Elk faalt met een ander symptoom en elk vraagt om een andere reparatie. Certificaatcontroles versoepelen omdat de tunnel niet omhoogkomt, is de klassieke verkeerde diagnose, en het maakt van een transportprobleem een beveiligingsprobleem.

Log de eerste laag die faalt en stop daar. Een proxyweigering en een geweigerde sleutel zijn geen variaties van dezelfde gebeurtenis.

Stop als het dreigingsmodel de verdediging van Tor Browser nodig heeft

Willekeurige toepassingen via een door Tor gedragen VPN routeren geeft die toepassingen niet de vingerafdruk- en isolatiefuncties van Tor Browser. Hun accounts, identificatoren en eigen netwerkgedrag blijven relevant, en een tunnel normaliseert geen daarvan. Als het doel een browser is die opgaat in andere gebruikers, levert deze volgorde dat niet.

Het Tor Project zelf waarschuwt voor combinaties die gebruikers niet correct kunnen configureren, en deze geldt voor de meeste mensen. Het is een bewust ontwerp voor een smal dreigingsmodel, geen snelweg naar anoniem verkeer van het hele apparaat.