Czy Tor idzie przez VPN? Co zmienia dzielony tunel

Oto przekonanie warte sprawdzenia: połączona plakietka oznacza, że ruch Tor najpierw przeszedł przez VPN. Ten wniosek zawodzi częściej, niż powinien, i zawodzi cicho. Dopasowujący podzielonego tunelu może zostawić proces Tor poza tunelem, gdy urządzenie pozostaje połączone, a obie obserwacje są prawdziwe jednocześnie. Ikona zgłasza interfejs; droga, którą przebyły twoje pakiety, to osobne pytanie. Odpowiedz na nie na podstawie routingu i dopasowującego, a nie plakietki.

Co dowodzi połączona plakietka, a czego nie

Połączony VPN oznacza, że interfejs jest podniesiony i istnieje tunel do peera. Połączenie wejściowe Tor to inny strumień, utworzony przez inny proces, a to, czy wchodzi do tego tunelu, zależy od dopasowującego i tablicy routingu zastosowanych do niego. Wyklucz proces, a VPN nadal się łączy, Tor nadal buduje obwód, a zamierzona kolejność nie nastąpiła. Obie obserwacje odpowiadają na różne pytania, dlatego żadna sama nie rozstrzyga kolejności.

Ta luka nie jest błędem w żadnym z narzędzi. Właśnie do tego służy reguła wykluczenia, a reguła została prawdopodobnie napisana z powodu, który ktoś jeszcze pamięta.

Który dopasowujący klient stosuje do połączenia

Drogę rozstrzyga dopasowujący, który klient stosuje do każdego połączenia: nazwa procesu, prefiks celu albo wpis trasy, w zależności od klienta. Skrót na pulpicie nie pasuje do żadnego z nich, bo jest programem uruchamiającym, a nie jednostką polityki. Przeczytaj zbiór reguł klienta i nazwij jednostkę, którą naprawdę testuje, zanim zaczniesz rozumować o Torze. Jeśli klient dopasowuje według celu, pytanie staje się, które prefiksy siedzą w tunelu, a nie który program działa.

Reguła oparta na celu, która niesie tylko prefiksy prywatnego biura, to częsty kształt, i zostawia zwykłe połączenia wejściowe Tor bezpośrednimi z założenia. To polityka działająca zgodnie z konfiguracją, a nie kolejność VPN-przed-Torem, choćby plakietka wyglądała jak najzdrowsza. Zapisz dopasowujący i wykluczone prefiksy w tej samej linii notatek, bo ta para to reguła.

Co się dzieje z Torem, gdy tunel padnie

Teraz zabierz tunel i patrz, co robi Tor, bo polityka, która trzyma się tylko dopóki sieć jest zdrowa, nie jest polityką, którą opisałeś. Klient może odrzucać ruch bezpośredni, gdy tunel leży, po cichu go przepuszczać albo po chwili połączyć się ponownie i zastosować regułę od nowa. Ręczne odłączenie i awaria to różne zdarzenia, a awaria to ta, której nikt nie ćwiczył. Testuj nieszkodliwym ruchem i zapisz, który z trzech wyników rzeczywiście zaobserwowałeś.

Przeczytaj także udokumentowane zachowanie klienta, ale traktuj dokumentację jako hipotezę, dopóki twój test się z nią nie zgodzi. Dostawcy opisują domyślne; wyjątek rozstrzyga twój profil.

Dlaczego adres wyjścia nie może odpowiedzieć na pytanie wejścia

Strona osiągnięta przez Tor zgłasza adres przekaźnika wyjściowego, co mówi, skąd wyszedł obwód, i nic o tym, jak pierwszy skok opuścił twoje urządzenie. Ludzie cytują ten adres jako dowód kolejności VPN-najpierw, ale nie uniesie tego ciężaru. Pytanie wejścia jest lokalne: który interfejs niósł połączenie do pierwszego przekaźnika i jaki adres źródłowy widziałby peer VPN. Odpowiedz wyszukaniem trasy albo przechwyceniem pakietów na urządzeniu, a nie stroną internetową.

Dwie różne drogi mogą dać ten sam kraj wyjścia, więc zgodny wynik dowodzi jeszcze mniej, niż się wydaje. Porównuj interfejsy, nie geografię.

Aplikacje, które nigdy nie odziedziczyły ustawień przeglądarki

Przeglądarka dokumentów, klient synchronizacji i menedżer pakietów tworzą własne połączenia, a żaden nie dziedziczy ustawień proxy przeglądarki. Każdy stosuje się do dopasowującego klienta, własnej konfiguracji albo proxy systemowego, a kombinacja rzadko jest zapisywana. Tak rośnie lista wyjątków: jedna aplikacja naraz, każdy dodatek rozsądny, aż nikt nie potrafi powiedzieć, co lista obejmuje. Zamiast tego prowadź krótki diagram dla każdej aplikacji, nazywając dopasowujący, trasę i zachowanie przy awarii.

Jeśli dodatkowa warstwa VPN nie służy żadnemu celowi, który potrafisz wskazać, usunięcie warstwy jest łatwiejsze do zweryfikowania niż utrzymywanie długiej listy wyjątków. Tymczasem notatka projektu Tor o VPN-ach podchodzi do tego samego pytania o kolejność z drugiej strony. Mniej ruchomych części oznacza mniej założeń do ponownego sprawdzenia po następnej aktualizacji klienta.