Tor izlazni relej naspram VPN izlaznog servera: šta svaki zna
Tor izlazni relej i VPN izlazni server oba pokazuju jednu javnu adresu, ali znanje dele na različite načine. Uporedite vidljivost, pokrivenost i politiku portova.
Oba rešenja skrivaju vašu adresu iza jedne javne IP adrese, a sajt koji ispiše adresu koju vidi ne može ih razlikovati. Razlika je u tome ko šta saznaje na putu, koliko je prometa pokriveno i koji portovi smeju da rade. Tor izlazni relej je poslednji skok kruga od tri releja; VPN izlazni server prekida vaš tunel i sam uspostavlja odlaznu vezu. Evo kako odlučujem koji je potreban zadatku i šta proveravam pre nego što pretpostavim da se jedan ponaša kao drugi.
Dva puta koja se završavaju na jednoj adresi
Tor gradi krug kroz čuvara, srednji relej i izlaz i šifruje teret u slojevima, tako da svaki relej skida samo svoj sloj. Izlaz uspostavlja običnu TCP vezu sa odredištem, zato odredište vidi izlaznu adresu. Vaš klijent nikada ne razgovara direktno sa odredištem, a ni čuvar ga ne vidi.
VPN je jedan tunel do jedne krajnje tačke. Server operatera uklanja tunel i otvara odlaznu vezu, pa i odredište vidi jednu adresu, ovog puta operaterovu. Vidljiv rezultat je isti; znanje nije. Test koji ispiše IP odgovara na kom ste sistemu i ništa ne govori o podeli poverenja koja se zaista razlikuje.
Ko na kraju šta zna
VPN krajnja tačka vidi izvornu adresu, odredište, vreme i obim na jednom mestu. Ta koncentracija je dizajn: jedan operater, jedna površina zapisa, jedno mesto za poziv ili lošu konfiguraciju. Sve što dobijete dolazi iz poverenja u tu stranu i iz odlazne politike krajnje tačke.
Tor deli to znanje. Čuvar zna vašu adresu, ali ne odredište; izlaz zna odredište, ali ne vašu adresu. Relej ne treba da nauči oboje. To je strukturna osobina, a ne obećanje protiv globalnog posmatrača, releja koji povezuje vremena ili kompromitovane krajnje tačke, pa je tretirajte kao drugačiju raspodelu istog rizika, a ne kao anonimnost koja ne može da zakaže.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Pokrivenost je odluka pregledača ili rute
Tor pregledač usmerava sopstveni promet i dodaje zaštite koje generički VPN klijent ne reprodukuje: otpor otiscima, izolaciju prve strane, fiksnu veličinu prozora i radnju Novi identitet koja odbacuje stanje sesije. Druge aplikacije ne koriste taj krug ako nisu tako konfigurisane, a sistemska Tor postavka je zaseban projekat od instalacije pregledača.
VPN je suprotnog oblika. Pokrivenost prati tabelu ruta, pa WireGuard profil sa AllowedIPs = 0.0.0.0/0 hvata sve, a lista za podeljeni tunel hvata samo prefikse koje navodi. Upravo u tom mehanizmu žive i curenja: DNS upiti, IPv6 i WebRTC mogu svaki da uzme put koji politika ruta nije obuhvatila. Proveravajte iznutra aplikacije koja nije uspela, a ne iz kartice pregledača koja možda koristi drugo sučelje.
Politika portova, blokirana odredišta i HTTPS
Izlazni relej slobodno odbija odlazne portove, a podrazumevana politika odbacuje listu portova sklonih zloupotrebi, među njima SMTP port 25. Zato poštanski klijent konfigurisan kroz Tor pada na izlazu, što izgleda kao mrežni kvar i nije. Operateri koji drže relej to izričito postavljaju:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Odredišta takođe blokiraju, i to dva sistema blokiraju različito. Tor izlazne adrese su objavljene, pa stranica može da odbije celu listu; VPN krajnje tačke sede u rasponima data centara koji se odbijaju jednako ležerno. Kada stranica ne uspe, razdvojite tri kandidata pre nego što bilo šta promenite: izlaznu ili odlaznu politiku, odredište koje odbija izvor ili captive portal koji otima prvi zahtev.
Nijedan sistem ne zamenjuje transportno šifrovanje. Običan HTTP je čitljiv i na izlaznom releju i na VPN krajnjoj tački, pa držite HTTPS uključen i pročitajte upozorenje o sertifikatu umesto da ga odbacite. Dve provere brzo rešavaju pitanje rute: curl -s https://check.torproject.org/api/ip vraća IsTor kada je zahtev prošao kroz krug, a curl -s https://ifconfig.me pokazuje odlaznu adresu koju bi VPN predstavio. Pokretanje obe kaže vam kojim putem ljuska zaista ide.
Ne koristite jedno kao drugo
Adresa izlaznog releja nije VPN profil. Usmeravanje OpenVPN ili WireGuard klijenta na relej na portu 443 ne stvara tunel, jer tamo ne sluša nikakva VPN usluga; relej je skok u tuđem krugu. U drugom smeru, VPN krajnja tačka nije ulazna tačka za Tor, a postavke mostova u Tor pregledaču nisu mesto za lepljenje hostname-a komercijalnog VPN-a. Ako vozite Tor preko VPN-a, čuvar vidi VPN adresu umesto vaše, što menja podelu bez spajanja dve uloge.
Pre izbora odgovorite na četiri pitanja po redu: ko upravlja krajnjom tačkom i šta zadržava, šta alat pokriva na ovom uređaju, koje portove i odredišta odlazna politika dozvoljava i šta aplikacija dodaje iznad mrežnog puta. Zadatak kome treba običan mrežni pristup za mnoge programe traži VPN. Zadatak kome trebaju zaštite na nivou pregledača i model kruga traži Tor pregledač, održavan ažurnim. Ako je odgovor „oba“, vozite ih u namernom redu i zapišite koju adresu vidi svaka strana.