VPN inn i Tor, Tor inn i VPN: kvifor kjeda bryt saman
Når ein VPN, Tor og ein proxy vert stabla, avgjer rekkjefølgja kva som vert løyst opp og kva som vert boren. Finn den fyrste brotne grensa før du endrar alle tre.
Å stabla ein VPN, Tor og ein applikasjonsproxy følest som å mangdoble personvernet, og det mangdoblar talet på stader der ei tilkopling kan døy. Det vanlege resultatet er ein nettlesar som spinner medan tre verktøy kvar for seg melder seg friske. Endrar ein alle tre innstillingane på ein gong, fjernar ein samstundes det einaste sporet av kven av dei som lyg.
Teikn fyrst den tiltenkte vegen i rekkjefølgja, og namngje kva program som opnar kvar tilkopling og kva namn som vert løyst opp ved kvart steg.
Laga legg seg ikkje saman, dei verkar inn på kvarandre
Ein VPN før Tor tyder at inngangstilkoplinga til Tor-klienten reiser inne i tunnelen. Ein VPN som vert boren gjennom Tor tyder at VPN-klienten sitt eige endepunkt må kunne nåast over Tor, noko som er eit heilt anna krav. Proxyen til nettlesaren legg til eitt hopp til som operativsystemet ikkje veit noko om. Tre oppsett, tre separate avhengnadslister.
Kvart oppsett endrar kva som kan løysast opp, kva som kan berast og kven som ser den fyrste pakken. Berre eitt av dei kan vere konfigurasjonen du meinte.
Legg òg den direkte vegen til i diagrammet. Ein reserveveg, eit unntak for delt tunnel eller ein proxy-omveg kan få ei side til å lastast medan han stille hoppar over kjeda du ville teste, og ein slik suksess villeder meir enn feilen.
Rekkjefølgja avgjer kva som kan berast
Tor ber TCP-straumar gjennom SOCKS-grensesnittet sitt, og ein klient som ber proxyen slå opp vertsnamnet, held oppslaget inne i krinsen. UDP reiser ikkje slik i vanlege konfigurasjonar, difor kan ein WireGuard-tunnel ikkje byggjast inn i Tor utan eit ekstra TCP-relé i midten.
OpenVPN kan tvingast til TCP, så det oppsettet er i det minste skildreleg. Det er òg seinare og meir skjørt, og feilmodusen når det bryt ser identisk ut med ein blokkert port. Rekn med å bruke lengre tid på å skilje dei to enn på å reparere nokon av dei.
Oppslaget er den andre halvdelen. Med --socks5-hostname slår proxyen opp målet, medan vanleg --socks5 først spør den lokale resolvaren og lekker namnet ut av krinsen. Nettopp den eine flagga avgjer om namneoppslaget høyrer til kjeda eller til tilbydaren din.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Å finne den fyrste brotne grensa
Test stega i den rekkjefølgja pakkane reiser, med ufarlege førespurnader, og stopp ved det fyrste som feilar. Noter kva kommando som køyrde fyrst, fordi rekkjefølgja er ein del av beviset. To kommandoar skil ein død krins frå ein død utgang:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Den fyrste rapporterer om ein førespurnad i det heile vert fullført gjennom SOCKS-proxyen, og den andre viser adressa nettverket presenterer akkurat no. Om den fyrste feilar og den andre lukkast, sit problemet ved eller før Tor-klienten. Om båe lukkast og nettlesaren framleis feilar, brukar applikasjonen ein annan veg enn skalet.
Ei side med offentleg IP skildrar òg berre den siste synlege utgangen. Ho kan ikkje seie kor mange hopp som kom før, så kombiner ho med den støtta statusutskrifta til kvart verktøy i staden for å handsame eitt tal som eit diagram.
Når ein bør slutte å leggje til lag
Om du ikkje kan seie i éin setning kva eit lag bidreg med, fjern det. Ei kjede der føremålet er uklart, er ei kjede ingen kan feilsøkje klokka tre om natta, og personverngevinsten ved eit uforklart hopp er vanlegvis mindre enn tilgjengelegheita du mistar.
Om eit lag verkeleg fortener plassen, test det åleine fyrst, legg så til det neste og stadfest vegen igjen med dei same to kommandoane. Gjenopprett heile kjeda før vanleg bruk, og hald TLS-validering og autentisering påslått; ein sertifikatåtvaring som vert godteken for å få ei side til å lastast, er ein ruteomveg, ikkje ein reparasjon. Skriv ned rekkjefølgja du landa på medan ho er fersk.
Skriv ned den rekkjefølgja, inkludert resolvaren som svarar på kvart steg. Ei fungerande kjede du kan skildre, overlever neste oppdatering, medan ei fungerande kjede du sette saman ved å prøve deg fram, forsvinn med henne. Legg til dato og versjonar, slik at ein seinare feil kan samanliknast med ein kjend god tilstand i staden for å diskuterast frå minnet. Ti linjer i ei tekstfil sparar ein kveld med gissing.