Ny Tor-krins mot bytte av VPN-tenar: kva som faktisk blir endra
Ei krinsendring flyttar Tor-banen, medan eit tenarbytte flyttar endepunktet til tunnelen. Kva av dei som endrar adressa eit nettstad ser, kjem an på rekkjefølgja.
Å byta Tor-krins og å byta VPN-tenar kjennest begge som å få ei ny rute, men dei feilar på ulike stader når du handsamar dei som same knappen. Den eine ber Tor-klienten byggje ein annan bane for eit nettstad, den andre ber VPN-klienten kopie til eit anna endepunkt. Ingen av dei er ein tilbakestilling, og adressa eit nettstad til slutt ser, kjem an på kva av dei to som ligg nærast målet. Her er korleis eg avgjer kva kontroll eg grip etter, og kva eg sjekkar etterpå.
To operasjonar i to ulike lag
Tor er eit overlegg. Klienten din vel ein vaktrelé, ein midtrele og ein utgangsrelé, og fraktar deretter TCP-straumar gjennom den krinsen; målet ser utgangen og ingen ting anna. Ei krinsendring er ei avgjerd teken inne i Tor om kva reléar som fraktar ein straum.
Ein VPN er ein tunnel under. Klienten vel eit endepunkt, pakkar trafikken inn i eit ytre lag, og alt som kjem etterpå ser adressa til endepunktet. Eit tenarbytte er ei avgjerd om kvar den ytre banen endar.
Fordi laga er uavhengige, kan éin operasjon vere usynleg i den andre enden av sambandet. Den asymmetrien forklarer det meste av forvirringa rundt desse to kontrollane.
Kva New Tor Circuit for this Site gjer
New Tor Circuit for this Site i informasjonspanelet for nettstaden lukkar straumane Tor fraktar for den nettstaden, og byggjer ein ny krins for neste førespurnad. Faner, infokapslar, innloggingar og resten av økta blir nøyaktig der dei var, og det er poenget: du held på økta og endrar banen.
Det gjer han til det rette verktyet for ein smal feil: ein utgangsrelé målet blokkerer, ei captcha-løkke som følgjer utgangen, eller éin nettstad som heng medan alle andre nettstader er fine. Krinsvisinga i same panelet listar opp dei tre reléane, så du kan stadfeste at utgangen verkeleg vart endra i staden for å gå ut frå det.
Følg med på vakta. Tor held eit lite sett inngangsvakter, og ei krinsendring brukar normalt same vakt på nytt, så det første hoppet i nettverket flyttar seg ikkje. New Identity er den større tilbakestillinga: ho lukkar faner og slettar nettlesartilstanden før ho byggjer ein ny krins, og identitetskontrollane er dokumenterte separat av ein grunn: det er ein annan operasjon med ein annan kostnad.
Kva eit bytte av VPN-tenar gjer
Klienten riv ned tunnelen og koplar til eit anna endepunkt. Det neste hoppet utanfor tunnelen, anten det er ei Tor-vakt eller målet sjølv, ser ei anna kjeldeadresse. Samband inne i tunnelen bryt og må gjenopprettast, så sider kan henge til dei får tidsavbrot i staden for å lastast inn reint.
Ingen ting over tunnelen blir skriven om, men nedrivinga er ikkje usynleg. I eit oppsett der VPN-en kjem først, blir utgangen framleis vald av Tor, men å sleppe tunnelen drep TCP-sambanda Tor held til vakta si, så Tor riv ned desse krinsane og byggjer nye, og vel utgang på nytt. Nettstaden kan difor sjå ei anna utgangsadresse etter eit bytte, sjølv om byttet sjølv aldri valde ei. Det byttet avgjer er adressa vakta ser; den gjenoppbygde krinsen er det som vel utgangen på nytt. Viss du bytte tenarar berre for å endre kva ein nettstad ser medan Tor står framfor, flytte du eit lag nettstaden aldri observerer direkte, og kvar endring nettstaden merkar kom frå gjenoppbygginga, ikkje frå byttet.
Eit bytte påverkar òg berre ruta klienten eig. Ein nettlesar som brukar eit ope samband på nytt, kan sjå ut som han sit fast på den gamle banen til han koplar til på nytt, og eit bufra DNS-svar er den andre vanlege hindringa. Last inn på nytt først, døm etterpå.
Rekkjefølgja avgjer kva målet ser
Dei to rekkjefølgjene svarar på ulike spørsmål. Med VPN-en framfor Tor ser vakta og reléane VPN-endepunktet medan målet ser Tor-utgangen. Med Tor framfor VPN-en ser målet VPN-endepunktet, fordi tunnelen er det siste trafikken går gjennom.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Eit IP-oppslag rapporterer altså kva målet såg, ikkje banen som frakta det. Ein teneste som viser utgangen i det eine oppsettet og VPN-en i det andre, oppfører seg rett og lek ikkje.
Kva ingen av operasjonane gjer
Ingen av dei slettar identiteten til ein konto. Ei innlogga økt er ein infokapsel pluss ein post på tenarsida, og ei baneendring rører ingen av dei. Ein stabil nettlesarprofil, same innlogging og same fingeravtrykk overlever begge handlingane.
Ingen av dei er bevis heller. Ein nettstad rapporterer ei adresse han observerte under ein førespurnad; han kan ikkje rapportere relébanen din eller om VPN-en din fall ut ti minutt tidlegare. Viss du treng den tidslinja, skriv ho ned der og då, for ho kan ikkje rekonstruerast frå den andre enden i ettertid.
Kople kontrollen til symptomet
Start med det som feila, ikkje med kva knapp som ser grundigare ut:
- Éin nettstad blokkerer deg, captchaer går i løkke, eller éin nettstad er treg: ny krins for den nettstaden.
- Eit oppsett med berre VPN treng ei anna synleg adresse: byt tenar.
- Du venta ein utgang, men nettstaden rapporterer VPN-en din: sjekk rekkjefølgja, Tor er bak tunnelen.
- Faner lukka og alt tilbakestilt: du brukte New Identity, ikkje ei krinsendring.
- Utgangen ser uendra ut etter ei krinsendring: reléar kan med rette gjenta seg, og vakta vil ikkje flytte seg i det heile.
Skriv ned handlinga og symptomet ho skulle rette, før du endrar noko anna. To bytte på rad gir ein samanlikning som ikkje kan tolkast, og å gjenta begge når berre eitt lag oppfører seg feil, er korleis ein sjekk på fem minutt blir ein heil ettermiddag.