Выходной релей Tor против выходного сервера VPN: что знает каждый
Выходной релей Tor и выходной сервер VPN показывают один публичный адрес, но по-разному делят знания. Сравните видимость, охват и политику портов.
Обе схемы прячут ваш адрес за одним публичным IP, и сайт, который печатает видимый ему адрес, не может их различить. Разница в том, кто что узнаёт по пути, какая доля трафика охвачена и какие порты разрешены. Выходной релей Tor — последний шаг цепи из трёх реле; выходной сервер VPN завершает ваш туннель и сам открывает исходящее соединение. Вот как я решаю, что нужно задаче, и что проверяю, прежде чем предполагать, что одно ведёт себя как другое.
Два пути, заканчивающиеся на одном адресе
Tor строит цепь через охранный узел, средний релей и выход, шифруя полезную нагрузку слоями так, что каждый релей снимает только свой слой. Выход устанавливает обычное TCP-соединение с местом назначения, поэтому назначение видит адрес выхода. Ваш клиент никогда не говорит с назначением напрямую, и охранный узел тоже его не видит.
VPN — это один туннель к одной конечной точке. Сервер оператора снимает туннель и открывает исходящее соединение, поэтому назначение тоже видит один адрес, на этот раз оператора. Наблюдаемый результат тот же; знания — нет. Тест, печатающий IP, отвечает, в какой системе вы находитесь, и ничего не говорит о распределении доверия, которое действительно различается.
Кто в итоге что знает
Конечная точка VPN видит адрес источника, назначение, время и объём в одном месте. Эта концентрация и есть замысел: один оператор, одна поверхность журналов, одно место для повестки или неверной настройки. Всё, что вы получаете, происходит от доверия к этой стороне и от исходящей политики конечной точки.
Tor разделяет это знание. Охранный узел знает ваш адрес, но не назначение; выход знает назначение, но не ваш адрес. Релей не должен узнавать оба. Это структурное свойство, а не обещание против глобального наблюдателя, релея, сопоставляющего время, или скомпрометированной конечной точки, поэтому относитесь к нему как к иному распределению того же риска, а не как к анонимности, которая не может отказать.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Охват — это решение браузера или маршрута
Браузер Tor маршрутизирует собственный трафик и добавляет защиты, которые обычный клиент VPN не воспроизводит: устойчивость к отпечаткам, изоляцию первой стороны, фиксированный размер окна и действие «Новая личность», сбрасывающее состояние сеанса. Другие приложения не используют эту цепь, если не настроены на это, а общесистемная установка Tor — отдельный проект от установки браузера.
VPN имеет противоположную форму. Охват следует таблице маршрутов, поэтому профиль WireGuard с AllowedIPs = 0.0.0.0/0 захватывает всё, а список раздельного туннеля — только перечисленные префиксы. Именно в этом механизме живут и утечки: запросы DNS, IPv6 и WebRTC могут каждый пойти путём, который политика маршрутов не включала. Проверяйте изнутри приложения, которое отказало, а не из вкладки браузера, возможно использующей другой интерфейс.
Политика портов, заблокированные назначения и HTTPS
Выходной релей вправе отказывать в исходящих портах, и политика по умолчанию отклоняет список портов, склонных к злоупотреблениям, среди них порт SMTP 25. Поэтому почтовый клиент, настроенный через Tor, терпит неудачу на выходе, что выглядит как сбой сети и им не является. Операторы, содержащие релей, задают это явно:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Назначения тоже блокируют, и они блокируют две системы по-разному. Выходные адреса Tor публикуются, поэтому сайт может отклонить весь список; конечные точки VPN находятся в диапазонах дата-центров, которые отклоняются столь же легко. Когда страница не открывается, разделите три кандидата, прежде чем что-то менять: политику выхода или исходящего трафика, назначение, отклоняющее источник, или captive-портал, перехватывающий первый запрос.
Ни одна из систем не заменяет шифрование транспорта. Обычный HTTP читается и на выходном релее, и на конечной точке VPN, поэтому оставьте HTTPS включённым и прочитайте предупреждение о сертификате, а не отмахивайтесь от него. Две проверки быстро решают вопрос маршрута: curl -s https://check.torproject.org/api/ip возвращает IsTor, когда запрос прошёл через цепь, а curl -s https://ifconfig.me показывает исходящий адрес, который представил бы VPN. Запуск обеих подскажет, какой путь оболочка использует на самом деле.
Не используйте одно как другое
Адрес выходного релея — не профиль VPN. Направить клиент OpenVPN или WireGuard на релей на порту 443 не создаёт туннель, потому что там не слушает никакая служба VPN; релей — это шаг в чужой цепи. В обратную сторону конечная точка VPN не является точкой входа для Tor, а настройки мостов в браузере Tor — не место для вставки имени хоста коммерческого VPN. Если вы запускаете Tor поверх VPN, охранный узел видит адрес VPN вместо вашего, что меняет распределение, не сливая две роли.
Прежде чем выбирать, ответьте на четыре вопроса по порядку: кто управляет конечной точкой и что она хранит, что инструмент покрывает на этом устройстве, какие порты и назначения разрешает исходящая политика и что приложение добавляет сверх сетевого пути. Задаче, которой нужен обычный сетевой доступ для многих программ, нужен VPN. Задаче, которой нужны защиты уровня браузера и модель цепи, нужен браузер Tor, поддерживаемый в актуальном состоянии. Если ответ «оба», запускайте их в продуманном порядке и запишите, какой адрес видит каждая сторона.