VPN før Tor: kva rekkjefølgja eigentleg endrar

Å kople til VPN først gir ei bestemt kjede: eining, VPN-endepunkt, Tor-inngang, Tor-krins, destinasjon. Det lokale nettet ditt ser éi kryptert tilkopling til VPN-en, og Tor-inngangsknuten ser VPN-utgangen som umiddelbar kjelde i staden for adressa til leverandøren din. VPN-operatøren ser på si side tilkoplingar mot Tor-inngangsinfrastruktur og kan utleie Tor-bruk frå destinasjonane. Kvar observatør taper noko og vinn noko, og difor er rekkjefølgja ein byttehandel og ikkje ei oppgradering.

Ingenting i den kjeda endrar kva nettstaden lærer frå kontoen din, infokapslar eller innskrivne detaljar.

Kva rekkjefølgja endrar

Det lokale nettet og internettleverandøren mistar direkte innsyn i Tor-trafikken din, fordi fyrste hopp no er ein kryptert tunnel til ein leverandør. Tor-inngangsvakta mistar heimeadressa di og ser VPN-utgangen. VPN-leverandøren får metadataa som internettleverandøren din hadde tidlegare: kva adresser du kontaktar, til kva tider og kor mykje data som flyttar seg.

Forbi inngangsvakta oppfører krinsen seg som før. Reléa skil framleis rollene inngang, midten og utgang, og VPN-en ser ikkje det endelege innhaldet meir enn internettleverandøren din gjorde.

Stadfest ruta som faktisk vert brukt

Delt tunnellering er den vanlege grunnen til at den tiltenkte kjeda ikkje er den verkelege.Viss Tor Browser er utelukka frå tunnelen, eller ein andre profil rutar annleis, ser inngangsvakta leverandøradressa igjen medan grensesnittet framleis ser tilkopla ut. Kontroller ruta og den observerte utgangen i staden for ikonet.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

SOCKS-førespurnaden via port 9150 vert svara av Tor Browsers eigen klient, så eit svar på IsTor true stadfestar krinsen til nettlesaren, ikkje at alle andre program brukar han. Utdataa frå resolvaren er verd å registrere fordi DNS kan gå ut via ei rute tunnelen ikkje dekkjer. Ta vare på begge utdataa med tidsstempel. Dei er grunnlaget for den neste samanlikninga.

Samanlikn med ein direkte førespurnad frå ein vanleg terminal: viss han òg rapporterer Tor, omdirigerer noko anna trafikken, og kjeda er ikkje det designet føresette.

Sjå kva som skjer når tunnelen fell

Ein klient som stille fell tilbake til det lokale grensesnittet endrar kjelda inngangsvakta ser, og brukaren veit det vanlegvis ikkje fordi sida framleis lastar. Det er den feilen som er verd å teste, ikkje den lukkelege vegen. Kople frå tunnelen med vilje og sjå om Tor-trafikken stoppar eller held fram uverna.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Brannmurreglar som blokkerer utgåande trafikk utanfor tunnelen er den einaste pålitelege reservekontrollen, og dei må dekkje både SOCKS-klienten til nettlesaren og eitkvart anna program du bryr deg om. Ei nettlesarutviding er ikkje ein eining-VPN og påverkar ikkje andre program eller eksterne observatørar.

Avgjer om det ekstra laget fortener tillita

Tor Project frårår å stable ein VPN under Tor med mindre du sjølv kan vurdere oppsettet. Den oppgitte grunnen er den ekstra avhengnaden: ein annan part, ein annan konto og ein annan feilmodus. Viss målet er å hindre internettleverandøren din i å sjå at du brukar Tor, rettar VPN-en seg mot nettopp den observatøren. Viss målet er sterkare anonymitet mot ein global observatør, leverer ikkje VPN-en det.

Den omvende rekkjefølgja finst òg, og namna er ikkje utskiftbare:Tor over VPN og VPN over Tor skildrar ulike tillitsforhold og ulik feilåtferd. Les samanlikninga før du blandar dei.

Skriv ned kva observatør du prøver å flytte, stadfest deretter at den verkelege ruta samsvarar med designet, og stadfest deretter feilåtferda. Viss dei tre svara ikkje rettferdiggjer den ekstra kontoen og konfigurasjonen, har det dokumenterte Tor Browser-oppsettet færre delar som kan gå gale.