Releu de ieșire Tor versus server de ieșire VPN: ce știe fiecare
Un releu de ieșire Tor și un server de ieșire VPN arată ambele o adresă publică, dar împart cunoștințele diferit. Comparați vizibilitatea, acoperirea și politica de porturi.
Ambele construcții ascund adresa ta în spatele unei singure IP publice, iar un site care tipărește adresa pe care o vede nu le poate distinge. Diferența este cine află ce pe parcurs, cât trafic este acoperit și ce porturi au voie să funcționeze. Un releu de ieșire Tor este ultimul salt al unui circuit de trei relee; un server de ieșire VPN încheie tunelul tău și deschide el însuși conexiunea de ieșire. Iată cum decid de care are nevoie o sarcină și ce verific înainte de a presupune că unul se comportă ca celălalt.
Două căi care se termină la o adresă
Tor construiește un circuit printr-un gardian, un releu intermediar și o ieșire, și criptează sarcina pe straturi, astfel încât fiecare releu desprinde doar stratul său. Ieșirea stabilește conexiunea TCP obișnuită către destinație, de aceea destinația vede adresa de ieșire. Clientul tău nu vorbește niciodată direct cu destinația, iar gardianul nu o vede nici el.
Un VPN este un singur tunel către un singur punct final. Serverul operatorului îndepărtează tunelul și deschide conexiunea de ieșire, așa că și destinația vede o singură adresă, de data aceasta a operatorului. Rezultatul observabil este același; cunoștințele nu. Un test care tipărește un IP răspunde în ce sistem ești și nu spune nimic despre împărțirea încrederii care diferă de fapt.
Cine ajunge să știe ce
Punctul final VPN vede adresa sursă, destinația, momentul și volumul într-un singur loc. Această concentrare este proiectul: un operator, o suprafață de jurnale, un loc pentru citație sau configurare greșită. Tot ce câștigi vine din încrederea în acea parte și din politica de ieșire a punctului final.
Tor împarte aceste cunoștințe. Gardianul cunoaște adresa ta, dar nu destinația; ieșirea cunoaște destinația, dar nu adresa ta. Un releu nu ar trebui să le afle pe amândouă. Este o proprietate structurală, nu o promisiune împotriva unui observator global, a unui releu care corelează timpi sau a unui punct final compromis, așa că tratează-o ca o altă distribuție a aceluiași risc și nu ca o anonimitate care nu poate eșua.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Acoperirea este o decizie a browserului sau a rutei
Browserul Tor își rutează propriul trafic și adaugă protecții pe care un client VPN generic nu le reproduce: rezistență la amprente, izolare de primă parte, o dimensiune fixă a ferestrei și o acțiune Identitate nouă care aruncă starea sesiunii. Alte aplicații nu folosesc acel circuit decât dacă sunt configurate pentru asta, iar o instalare Tor la nivel de sistem este un proiect separat de instalarea browserului.
Un VPN are forma opusă. Acoperirea urmează tabela de rute, așa că un profil WireGuard cu AllowedIPs = 0.0.0.0/0 prinde tot, iar o listă de tunel divizat prinde doar prefixele pe care le numește. Exact în acest mecanism locuiesc și scurgerile: interogările DNS, IPv6 și WebRTC pot lua fiecare o cale pe care politica de rute nu o includea. Verifică din interiorul aplicației care a eșuat, nu dintr-o filă de browser care poate folosi altă interfață.
Politica de porturi, destinații blocate și HTTPS
Un releu de ieșire poate refuza porturi de ieșire, iar politica implicită respinge o listă de porturi predispuse la abuz, între care portul SMTP 25. De aceea un client de e-mail configurat prin Tor eșuează la ieșire, ceea ce pare o defecțiune de rețea și nu este. Operatorii care întrețin un releu stabilesc asta explicit:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Și destinațiile blochează, iar ele blochează cele două sisteme diferit. Adresele de ieșire Tor sunt publicate, așa că un site poate refuza toată lista; punctele finale VPN stau în intervale de centre de date refuzate la fel de lejer. Când o pagină eșuează, separă cei trei candidați înainte de a schimba ceva: politica de ieșire sau de egress, o destinație care refuză sursa sau un portal captiv care deturnează prima cerere.
Niciunul dintre sisteme nu înlocuiește criptarea transportului. HTTP simplu este lizibil atât la releul de ieșire, cât și la punctul final VPN, așa că lasă HTTPS activat și citește avertismentul de certificat în loc să-l respingi. Două verificări rezolvă repede întrebarea rutei: curl -s https://check.torproject.org/api/ip returnează IsTor când cererea a trecut printr-un circuit, iar curl -s https://ifconfig.me arată adresa de ieșire pe care ar prezenta-o un VPN. Rularea ambelor îți spune ce cale folosește shell-ul de fapt.
Nu folosi unul drept celălalt
Adresa unui releu de ieșire nu este un profil VPN. Direcționarea unui client OpenVPN sau WireGuard către un releu pe portul 443 nu creează un tunel, pentru că acolo nu ascultă niciun serviciu VPN; releul este un salt în circuitul altcuiva. În sens invers, un punct final VPN nu este un punct de intrare pentru Tor, iar setările de punți ale browserului Tor nu sunt un loc unde lipești un nume de gazdă de VPN comercial. Dacă rulezi Tor peste un VPN, gardianul vede adresa VPN în locul tău, ceea ce schimbă împărțirea fără a fuziona cele două roluri.
Înainte de a alege, răspunde la patru întrebări în ordine: cine operează punctul final și ce reține, ce acoperă instrumentul pe acest dispozitiv, ce porturi și destinații permite politica de ieșire și ce adaugă aplicația dincolo de calea de rețea. O sarcină care are nevoie de acces obișnuit la rețea pentru multe programe vrea un VPN. O sarcină care are nevoie de protecțiile la nivel de browser și de modelul circuitului vrea browserul Tor, ținut la zi. Dacă răspunsul este «ambele», rulează-le într-o ordine deliberată și notează ce adresă vede fiecare parte.