Идёт ли Tor через VPN? Что меняет раздельное туннелирование

Вот убеждение, которое стоит проверить: подключённый значок означает, что трафик Tor сначала прошёл через VPN. Этот вывод ошибается чаще, чем следовало бы, и ошибается тихо. Сопоставитель раздельного туннеля может оставить процесс Tor вне туннеля, пока устройство остаётся подключённым, и оба наблюдения верны одновременно. Значок сообщает об интерфейсе; путь, который прошли ваши пакеты, — отдельный вопрос. Отвечайте на него по маршрутизации и сопоставителю, а не по значку.

Что доказывает подключённый значок, а что нет

Подключённый VPN означает, что интерфейс поднят и туннель к партнёру существует. Входящее соединение Tor — другой поток, созданный другим процессом, и то, входит ли он в этот туннель, зависит от сопоставителя и таблицы маршрутизации, применённых к нему. Исключите процесс, и VPN всё равно подключится, Tor всё равно построит цепь, а задуманный вами порядок не наступит. Два наблюдения отвечают на разные вопросы, поэтому ни одно из них само по себе не решает вопрос порядка.

Этот разрыв — не ошибка ни в одном из инструментов. Именно для этого существует правило исключения, и правило, вероятно, написано по причине, которую кто-то ещё помнит.

Какой сопоставитель клиент применяет к соединению

Путь определяет сопоставитель, который клиент применяет к каждому соединению: имя процесса, префикс назначения или запись маршрута — в зависимости от клиента. Ярлык на рабочем столе не совпадает ни с одним из них, потому что это средство запуска, а не единица политики. Прочитайте набор правил клиента и назовите единицу, которую он действительно проверяет, прежде чем рассуждать о Tor. Если клиент сопоставляет по назначению, вопрос становится в том, какие префиксы находятся внутри туннеля, а не в том, какая программа работает.

Правило на основе назначения, несущее только префиксы частного офиса, — распространённая форма, и она оставляет обычные входящие соединения Tor прямыми по замыслу. Это политика, работающая как настроено, и это не порядок «VPN перед Tor», как бы здраво ни выглядел значок. Запишите сопоставитель и исключённые префиксы в одну строку своих заметок, потому что именно эта пара и есть правило.

Что происходит с Tor, когда туннель падает

Теперь уберите туннель и посмотрите, что делает Tor, потому что политика, которая держится только пока сеть здорова, — не та политика, которую вы описали. Клиент может отказывать прямому трафику, пока туннель лежит, молча пропускать его или через миг переподключиться и снова применить правило. Ручное отключение и сбой — разные события, и сбой — то, которое никто не репетировал. Тестируйте безвредным трафиком и запишите, какой из трёх исходов вы действительно наблюдали.

Прочитайте и документированное поведение клиента, но относитесь к документации как к гипотезе, пока ваш тест с ней не согласится. Поставщики описывают значение по умолчанию; исключение решает ваш профиль.

Почему адрес выхода не может ответить на вопрос входа

Сайт, достигнутый через Tor, сообщает адрес выходного реле, что говорит, откуда вышла цепь, и ничего о том, как первый шаг покинул ваше устройство. Люди цитируют этот адрес как доказательство порядка «VPN первым», но он не выдерживает такой тяжести. Вопрос входа локален: какой интерфейс нёс соединение до первого реле и какой адрес источника увидел бы партнёр VPN. Ответьте поиском маршрута или перехватом пакетов на устройстве, а не сайтом.

Два разных пути могут дать одну и ту же страну выхода, поэтому совпадающий результат доказывает ещё меньше, чем кажется. Сравнивайте интерфейсы, а не географию.

Приложения, которые так и не унаследовали настройки браузера

Просмотрщик документов, клиент синхронизации и менеджер пакетов создают каждый свои соединения, и ни один не наследует прокси-настройки браузера. Каждый следует сопоставителю клиента, своей конфигурации или системному прокси, и комбинация редко записывается. Так и растёт список исключений: по одному приложению, каждое добавление разумно, пока никто уже не может сказать, что покрывает список. Вместо этого ведите короткую схему по каждому приложению, называя сопоставитель, маршрут и поведение при сбое.

Если дополнительный слой VPN не служит никакой цели, которую вы можете назвать, удалить слой проще проверить, чем поддерживать длинный список исключений. Тем временем заметка проекта Tor о VPN подходит к тому же вопросу порядка с другой стороны. Меньше движущихся частей — меньше допущений, которые нужно перепроверять после следующего обновления клиента.