Nowy obwód Tor a zmiana serwera VPN: co naprawdę się zmienia

Zmiana obwodu Tor i przełączenie serwera VPN oba wydają się otrzymaniem nowej trasy, ale psują się w innych miejscach, gdy traktujesz je jak ten sam przycisk. Jedno prosi klienta Tor o zbudowanie innej ścieżki dla witryny, drugie prosi klienta VPN o połączenie z innym punktem końcowym. Żadna z nich nie jest resetem, a adres, który ostatecznie widzi witryna, zależy od tego, która z tych dwóch operacji znajduje się bliżej celu. Oto jak decyduję, po którą kontrolkę sięgnąć, i co potem sprawdzam.

Dwie operacje w dwóch różnych warstwach

Tor to nakładka. Klient wybiera przekaźnik strażniczy, przekaźnik środkowy i przekaźnik wyjściowy, a następnie przenosi strumienie TCP przez ten obwód; cel widzi wyjście i nic więcej. Zmiana obwodu to decyzja podejmowana wewnątrz Tor o tym, które przekaźniki przenoszą strumień.

VPN to tunel pod spodem. Klient wybiera punkt końcowy, opakowuje ruch w zewnętrzną warstwę, a wszystko, co następuje dalej, widzi adres punktu końcowego. Zmiana serwera to decyzja o tym, gdzie kończy się zewnętrzna ścieżka.

Ponieważ warstwy są niezależne, jedna operacja może być niewidoczna na drugim końcu połączenia. Ta asymetria wyjaśnia większość zamieszania wokół tych dwóch kontrolek.

Co robi New Tor Circuit for this Site

New Tor Circuit for this Site w panelu informacji o witrynie zamyka strumienie, które Tor przenosi dla tej witryny, i buduje nowy obwód dla następnego żądania. Karty, pliki cookie, logowania i reszta sesji pozostają dokładnie tam, gdzie były, i o to chodzi: zachowujesz sesję i zmieniasz ścieżkę.

To czyni go właściwym narzędziem do wąskiej awarii: przekaźnika wyjściowego blokowanego przez cel, pętli captcha podążającej za wyjściem albo jednej witryny zawieszającej się, gdy wszystkie inne działają dobrze. Podgląd obwodu w tym samym panelu wymienia trzy przekaźniki, więc możesz potwierdzić, że wyjście naprawdę się zmieniło, zamiast tego zakładać.

Uważaj na strażnika. Tor utrzymuje niewielki zestaw strażników wejściowych, a zmiana obwodu zwykle ponownie używa tego samego strażnika, więc pierwszy przeskok w sieci się nie porusza. New Identity to większy reset: zamyka karty i czyści stan przeglądania przed zbudowaniem nowego obwodu, a kontrolki tożsamości są opisane osobno nie bez powodu: to inna operacja o innym koszcie.

Co robi zmiana serwera VPN

Klient zrywa tunel i łączy się z innym punktem końcowym. Następny przeskok poza tunelem, czy to strażnik Tor, czy sam cel, widzi inny adres źródłowy. Połączenia wewnątrz tunelu pękają i muszą zostać odtworzone, więc strony mogą wisieć, aż upłynie limit czasu, zamiast wczytać się czysto.

Nic powyżej tunelu nie jest przepisywane, ale zerwanie nie jest niewidoczne. W układzie, w którym VPN jest pierwszy, wyjście nadal wybiera Tor, jednak zrzucenie tunelu zabija połączenia TCP, które Tor trzyma do swojego strażnika, więc Tor zrywa te obwody i buduje nowe, ponownie wybierając wyjście. Witryna może więc zobaczyć inny adres wyjścia po przełączeniu, mimo że samo przełączenie nigdy go nie wybrało. Przełączenie decyduje o adresie, który widzi strażnik, a to odbudowany obwód ponownie wybiera wyjście. Jeśli przełączyłeś serwery tylko po to, by zmienić to, co widzi witryna, gdy Tor jest z przodu, przesunąłeś warstwę, której witryna nigdy bezpośrednio nie obserwuje, a każda zmiana, którą witryna zauważyła, pochodziła z odbudowy, a nie z przełączenia.

Przełączenie wpływa też tylko na trasę, którą posiada klient. Przeglądarka ponownie używająca otwartego połączenia może wyglądać na zablokowaną na starej ścieżce, dopóki nie połączy się od nowa, a buforowana odpowiedź DNS to druga typowa przeszkoda. Najpierw odśwież, potem oceniaj.

Kolejność decyduje o tym, co widzi cel

Dwie kolejności odpowiadają na różne pytania. Gdy VPN jest przed Torem, strażnik i przekaźniki widzą punkt końcowy VPN, a cel widzi wyjście Tor. Gdy Tor jest przed VPN, cel widzi punkt końcowy VPN, ponieważ tunel jest ostatnią rzeczą, przez którą przechodzi ruch.

Sprawdzenie IP pokazuje więc to, co widział cel, a nie ścieżkę, która to przeniosła. Usługa pokazująca wyjście w jednym układzie, a VPN w drugim, zachowuje się poprawnie, a nie wycieka.

Czego nie robi żadna z tych operacji

Żadna z nich nie usuwa tożsamości konta. Zalogowana sesja to plik cookie plus rekord po stronie serwera, a zmiana ścieżki nie dotyka żadnego z nich. Stabilny profil przeglądarki, to samo logowanie i ten sam odcisk palca przetrwają obie czynności.

Żadna z nich nie jest też dowodem. Witryna zgłasza adres zaobserwowany podczas żądania; nie może zgłosić twojej ścieżki przekaźników ani tego, czy twój VPN rozłączył się dziesięć minut wcześniej. Jeśli potrzebujesz tej osi czasu, zapisz ją na bieżąco, bo później nie da się jej odtworzyć z drugiego końca.

Dopasuj kontrolkę do objawu

Zacznij od tego, co zawiodło, a nie od tego, który przycisk wygląda dokładniej:

• Jedna witryna cię blokuje, captcha zapętla się albo jedna witryna jest wolna: nowy obwód dla tej witryny.
• Układ wyłącznie z VPN potrzebuje innego widocznego adresu: przełącz serwer.
• Oczekiwałeś wyjścia, a witryna zgłasza twój VPN: sprawdź kolejność, Tor jest za tunelem.
• Karty zamknięte i wszystko zresetowane: użyłeś New Identity, a nie zmiany obwodu.
• Wyjście wygląda na niezmienione po zmianie obwodu: przekaźniki mogą się zgodnie z prawem powtarzać, a strażnik w ogóle się nie poruszy.

Zapisz czynność i objaw, który miała naprawić, zanim zmienisz cokolwiek innego. Dwie zmiany pod rząd dają porównanie, którego nie da się zinterpretować, a powtarzanie obu, gdy źle zachowuje się tylko jedna warstwa, to sposób, w jaki pięciominutowa kontrola zamienia się w całe popołudnie.