VPN antes do Tor: o que a ordem realmente muda

Conectar a VPN primeiro produz uma cadeia específica: dispositivo, ponto final da VPN, entrada do Tor, circuito Tor, destino. A sua rede local vê uma ligação cifrada à VPN, e o nó de entrada do Tor vê a saída da VPN como origem imediata em vez do endereço do seu fornecedor. O operador da VPN, por sua vez, vê ligações para a infraestrutura de entrada do Tor e pode inferir o uso do Tor a partir dos destinos. Cada observador perde algo e ganha algo, por isso a ordem é uma troca e não uma melhoria.

Nada nessa cadeia altera o que o site aprende da sua conta, dos cookies ou dos dados que escreve.

O que a ordem muda

A rede local e o fornecedor de internet perdem a visibilidade direta do seu tráfego Tor, porque o primeiro salto é agora um túnel cifrado para um fornecedor. O guarda de entrada do Tor perde o seu endereço de casa e vê a saída da VPN. O fornecedor da VPN ganha os metadados que o seu fornecedor de internet tinha antes: que endereços contacta, a que horas e quantos dados se movem.

Para lá do guarda de entrada, o circuito comporta-se como antes. Os relés continuam a separar os papéis de entrada, meio e saída, e a VPN não vê o conteúdo final mais do que o seu fornecedor de internet via.

Confirme o caminho que é realmente usado

O túnel dividido é a razão habitual para a cadeia pretendida não ser a real.Se o Tor Browser estiver excluído do túnel, ou um segundo perfil encaminhar de forma diferente, o guarda de entrada volta a ver o endereço do fornecedor enquanto a interface ainda parece ligada. Verifique a rota e a saída observada, não o ícone.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

O pedido SOCKS pela porta 9150 é respondido pelo próprio cliente do Tor Browser, por isso uma resposta IsTor true confirma o circuito do navegador, não que todos os outros programas o usem. Vale a pena registar a saída do resolvedor porque o DNS pode sair por um caminho que o túnel não cobre. Guarde ambas as saídas com um carimbo temporal. São a linha de base para a próxima comparação.

Compare com um pedido direto a partir de um terminal normal: se esse também reportar Tor, algo mais está a redirecionar o tráfego e a cadeia não é a que o desenho assumia.

Observe o que acontece quando o túnel cai

Um cliente que regressa silenciosamente à interface local muda a origem que o guarda de entrada vê, e o utilizador normalmente não sabe porque a página ainda carrega. É essa falha que vale a pena testar, não o caminho feliz. Desligue o túnel de propósito e observe se o tráfego Tor para ou continua sem proteção.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

As regras de firewall que bloqueiam o tráfego de saída fora do túnel são o único controlo de reserva fiável, e têm de cobrir tanto o cliente SOCKS do navegador como qualquer outro programa que lhe importe. Uma extensão do navegador não é uma VPN de dispositivo e não afeta outros programas ou observadores externos.

Decida se a camada extra merece a sua confiança

O Projeto Tor desaconselha empilhar uma VPN por baixo do Tor, a menos que consiga avaliar a configuração sozinho. A razão que indicam é a dependência acrescentada: outra parte, outra conta e outro modo de falha. Se o objetivo é impedir o seu fornecedor de internet de ver que usa Tor, a VPN dirige-se precisamente a esse observador. Se o objetivo é um anonimato mais forte contra um observador global, a VPN não o fornece.

A ordem inversa também existe, e os nomes não são intermutáveis:Tor sobre VPN e VPN sobre Tor descrevem relações de confiança diferentes e comportamentos de falha diferentes. Leia a comparação antes de os misturar.

Anote que observador está a tentar mover, depois verifique se o caminho real corresponde ao desenho, depois verifique o comportamento em caso de falha. Se essas três respostas não justificarem a conta e a configuração extra, a configuração documentada do Tor Browser tem menos peças para errar.