Tor prin VPN: cine îți vede IP-ul și cine vede că folosești Tor?

Conectezi clientul VPN, aștepți tunelul, apoi deschizi Tor Browser și îl lași să construiască un circuit. Tocmai această secvență obișnuită decide cine vede ce. În această ordine, releul de intrare al Tor salută adresa de ieșire a VPN-ului tău, iar furnizorul tău VPN salută un releu de gardă public. Fă invers și ambii observatori se schimbă. Ambele ordini merită parcurse, pentru că setările clientului rup în tăcere secvența pe care oamenii credeau că există, iar verificarea care prinde asta este aceeași în ambele cazuri.

Începe cu ordinea, nu cu produsul

Două aranjamente se numesc „VPN cu Tor”, și doar primul este obișnuit. În Tor prin VPN, tunelul este deja ridicat când pornește Tor, așa că procesul tor își trimite conexiunea de gardă în tunel ca orice alt trafic de ieșire. În VPN prin Tor, Tor pornește primul și sesiunea VPN însăși călătorește prin circuit, ajungând la furnizor dintr-o ieșire Tor.

Ce se schimbă între ele este ce adresă stă la capătul îndepărtat al celei mai exterioare verigi. Fiecare observator vede doar saltul anterior, niciodată tot drumul: garda vede cine s-a conectat la ea, iar serverul VPN vede cine s-a conectat la el. Tor nu duce adresa locală a tunelului tău spre exterior și nu există niciun câmp în protocol unde ar putea face asta.

În ambele ordini, site-ul de destinație vede în continuare o ieșire Tor, și nicio ordine nu schimbă ce învață acel site din autentificarea ta. Diferența se limitează la cele două margini.

Ce vede releul de intrare al Tor

Intrarea, sau garda, acceptă o conexiune TCP obișnuită pe un port de releu și începe un handshake TLS cu clientul. Într-o configurație Tor-prin-VPN, sursa acelei conexiuni este ieșirea ta VPN. Într-o configurație Tor-întâi, este adresa pe care mașina ta a folosit-o ca să ajungă la rețeaua Tor, de obicei conexiunea ta de acasă.

Asta răspunde la jumătatea IP a întrebării, dar numai dacă tunelul a purtat într-adevăr conexiunea. Procesul Tor ajunge la gardă cu propriul socket, iar acel socket nu este guvernat de setările de proxy ale Tor Browser. Browserul vorbește cu procesul tor inclus prin SOCKS pe 9150, iar apoi tor își deschide propria conexiune folosind tabela de rutare a nucleului. O linie Socks5Proxy în torrc, sau un transport de client, schimbă acea cale. Nimic altceva.

Pe Linux poți citi răspunsul de pe mașină. Întreabă nucleul ce interfață ar folosi pentru o adresă publică arbitrară, apoi uită-te la adresa locală a conexiunii stabilite:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Dacă ruta spune dev wg0 sau dev tun0, iar adresa locală a conexiunii stabilite este adresa tunelului, Tor este în interiorul VPN-ului. Dacă ruta numește interfața ta fizică, este în exterior, orice ar susține indicatorul clientului.

Ce poate vedea furnizorul tău VPN

Furnizorul încheie sesiunea ta VPN, deci vede adresele la care te conectezi. Adresele releurilor de gardă sunt publicate în consensul public și porturile lor sunt bine cunoscute, așa că potrivirea unuia este o căutare în listă, nu o inspecție profundă a pachetelor. Un furnizor nu trebuie să spargă Tor ca să știe că o sesiune este Tor.

Ce nu vede este restul circuitului. Releul din mijloc și ieșirea sunt alese în interiorul Tor, iar furnizorul tratează doar veriga spre gardă. Conținutul paginii rămâne în TLS care se termină la ieșire, iar rezolvarea numelor pentru traficul Tor are loc tot la ieșire, așa că nu există nicio interogare DNS la furnizor care să fie corelată cu o destinație.

Punțile cu obfs4 schimbă căutarea, nu topologia. O adresă de punte lipsește din lista publică de releuri, iar traficul este modelat ca să nu arate ca Tor, așa că un operator care doar compară adrese nu o va semnala. Sesiunea vine în continuare de la clientul tău VPN, iar furnizorul vede în continuare un punct final, un volum și un orar.

Capacitatea nu este o politică de păstrare

Un operator care poate observa o conexiune nu a promis că o păstrează. Logarea este o decizie separată, scrisă într-o politică, limitată de jurisdicție și verificabilă doar prin dovezi în care deja ai încredere. Eticheta fără loguri nu schimbă rolul de rețea descris mai sus.

Identitatea contului contează de obicei mai mult decât adresa de ieșire. Dacă te-ai autentificat cu o adresă de e-mail sau ai plătit cu cardul, furnizorul poate lega sesiunea de tine fără să logheze o singură destinație. Rotirea IP-urilor de ieșire nu face nimic în privința asta.

Verifică acoperirea înainte de a te încrede în oricare dintre cele două răspunsuri

Majoritatea celor care cred că rulează Tor prin VPN rulează doar o parte. Tunelarea divizată care exclude Tor Browser, un kill switch care acoperă browserul dar nu serviciul tor, o unitate de pornire care rulează înainte de ridicarea tunelului și o rută IPv6 care ocolește tunelul sunt cele patru obișnuite.

Citirea ecranului de stare al clientului nu testează niciuna dintre ele. Testul care o face: lasă Tor Browser să ruleze, coboară tunelul și urmărește dacă conexiunea de gardă supraviețuiește pe interfața fizică.

Ordinea în care verific, oprindu-mă la primul eșec:

• ip route get 203.0.113.10 returnează dispozitivul tunelului.
• ss -tnp | grep -i tor arată conexiunea de gardă cu o adresă locală a tunelului.
• ip -6 route nu are rută implicită în afara tunelului, sau IPv6 este oprit în client.
• Coborârea VPN-ului termină sau redirecționează conexiunea tor în loc să o lase pe legătura fizică.

Ce ordine se potrivește cu ce aperi

Ambele ordini ascund ceva și expun ceva, așa că răspunsul este o alegere despre observatorul care te interesează.

Citește pe coloane până când un rând corespunde lucrului pe care încerci să-l împiedici. Dacă grija este o rețea locală sau un furnizor de internet care înregistrează sau blochează Tor, Tor prin VPN se ocupă de asta. Dacă grija este ca operatorul VPN să afle adresa ta de acasă, VPN prin Tor se ocupă de asta, și plătește pentru asta expunând folosirea Tor rețelei tale și adresa de acasă gărzii.

Niciun aranjament nu lasă ambele margini oarbe. Adăugarea unui observator nu elimină altul. Nota Tor Project despre rularea unui VPN cu Tor spune același lucru din cealaltă parte: tunelul schimbă în cine se are încredere și ce căi de eșec există, așa că nu este o îmbunătățire care se adaugă fără a decide ce voiai ascuns.

Decide mai întâi observatorul, alege apoi ordinea, și verifică cu ip route get și ss în loc de indicatorul clientului. Dacă observatorul este cineva care poate constrânge furnizorul VPN însuși, nicio alegere de ordine nu repară asta.