Tor preko VPN-a: ko vidi vašu IP adresu i ko vidi da koristite Tor?

Povežete VPN klijent, sačekate tunel, zatim otvorite Tor Browser i pustite ga da izgradi krug. Taj običan slijed odlučuje ko šta vidi. U tom redoslijedu Tor ulazni relej vidi adresu vašeg VPN izlaza, a vaš VPN provajder vidi javni guard relej. Uradite obrnuto i oba posmatrača se mijenjaju. Oba redoslijeda vrijedi proći, jer postavke klijenta tiho lome slijed za koji su ljudi vjerovali da postoji, a provjera koja to hvata ista je u oba slučaja.

Počnite s redoslijedom, ne s proizvodom

Dva rasporeda se nazivaju „VPN s Torom“, a samo je prvi uobičajen. Kod Tora preko VPN-a tunel je već podignut kada Tor startuje, pa tor proces šalje svoju vezu prema guardu u tunel kao i svaki drugi izlazni saobraćaj. Kod VPN-a preko Tora prvo se diže Tor i sama VPN sesija putuje kroz krug, stižući do provajdera s Tor izlaza.

Ono što se mijenja između njih je koja adresa stoji na daljem kraju najspoljnijeg linka. Svaki posmatrač vidi samo prethodni skok, nikada cijelu putanju: guard vidi onoga ko se s njim povezao, a VPN server vidi onoga ko se s njim povezao. Tor ne nosi vašu lokalnu adresu tunela prema vani i u protokolu nema polja gdje bi to mogao.

U oba redoslijeda odredišna web stranica još uvijek vidi Tor izlaz i nijedan redoslijed ne mijenja ono što ta stranica nauči iz vaše prijave. Razlika je ograničena na dvije ivice.

Šta vidi Tor ulazni relej

Ulaz, ili guard, prihvata običnu TCP vezu na relej portu i započinje TLS rukovanje s klijentom. U postavci Tor preko VPN-a izvor te veze je vaš VPN izlaz. U postavci Tor prvi to je adresa koju je vaš uređaj koristio da dosegne Tor mrežu, obično vaša kućna veza.

To odgovara na IP polovinu pitanja, ali samo ako je tunel zaista prenio vezu. Tor proces doseže guard svojim vlastitim socketom, a taj socket nije pod kontrolom proxy postavki Tor Browsera. Browser razgovara s ugrađenim tor procesom preko SOCKS-a na 9150, a tor zatim otvara vlastitu vezu koristeći kernel tabelu rutiranja. Linija Socks5Proxy u torrc-u, ili klijentski transport, mijenja tu putanju. Ništa drugo.

Na Linuxu odgovor možete pročitati s mašine. Pitajte kernel koji bi interfejs koristio za proizvoljnu javnu adresu, zatim pogledajte lokalnu adresu uspostavljene veze:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ako ruta kaže dev wg0 ili dev tun0, a lokalna adresa na uspostavljenoj vezi je adresa tunela, Tor je unutar VPN-a. Ako ruta navodi vaš fizički interfejs, on je izvan, šta god tvrdio klijentov vlastiti indikator.

Šta može vidjeti vaš VPN provajder

Provajder završava vašu VPN sesiju, pa vidi adrese s kojima se povezujete. Adrese guard releja objavljene su u javnom konsenzusu i njihovi portovi su dobro poznati, pa je uparivanje pretraga liste, a ne duboka inspekcija paketa. Provajder ne mora slomiti Tor da bi znao da je sesija Tor.

Ono što ne vidi je ostatak kruga. Srednji relej i izlaz biraju se unutar Tora, a provajder obrađuje samo link do guarda. Sadržaj stranice ostaje unutar TLS-a koji završava na izlazu, a razrješavanje imena za Tor saobraćaj također se događa na izlazu, pa nema DNS upita kod provajdera koji bi se mogao povezati s odredištem.

Mostovi s obfs4 mijenjaju pretragu, ne topologiju. Adresa mosta nema u javnoj listi releja i saobraćaj se oblikuje da ne izgleda kao Tor, pa ga operater koji samo poredi adrese neće označiti. Sesija i dalje dolazi s vašeg VPN klijenta, a provajder i dalje vidi jednu krajnju točku, jedan obim i jedan raspored.

Sposobnost nije politika zadržavanja

Operater koji može posmatrati vezu nije obećao da će je čuvati. Logovanje je zasebna odluka, zapisana u politici, ograničena jurisdikcijom i provjerljiva samo kroz dokaze kojima već vjerujete. Oznaka bez logova ne mijenja mrežnu ulogu opisanu gore.

Identitet računa obično je važniji od adrese izlaza. Ako ste se prijavili e-mail adresom ili platili karticom, provajder može vezati sesiju za vas bez logovanja ijednog odredišta. Rotiranje izlaznih IP adresa ne čini ništa u vezi s tim.

Provjerite pokrivenost prije nego što povjerujete bilo kojem od dva odgovora

Većina ljudi koji vjeruju da vrte Tor preko VPN-a vrti samo dio toga. Split tunneling koji isključuje Tor Browser, kill switch koji pokriva browser ali ne i tor servis, startup jedinica koja se pokreće prije nego što je tunel podignut, i IPv6 putanja oko tunela uobičajene su četiri.

Čitanje klijentovog ekrana stanja ne testira nijednu od njih. Test koji to radi: ostavite Tor Browser da radi, spustite tunel i gledajte da li veza s guardom preživljava na fizičkom interfejsu.

Redoslijed u kojem provjeravam, zaustavljajući se na prvom neuspjehu:

• ip route get 203.0.113.10 vraća tunel uređaj.
• ss -tnp | grep -i tor prikazuje vezu s guardom s lokalnom adresom tunela.
• ip -6 route nema zadanu rutu izvan tunela, ili je IPv6 isključen u klijentu.
• Isključivanje VPN-a prekida ili preusmjerava tor vezu umjesto da je ostavi na fizičkom linku.

Koji redoslijed odgovara onome što branite

Oba redoslijeda nešto skrivaju i nešto otkrivaju, pa je odgovor izbor o posmatraču do kojeg vam je stalo.

Čitajte po koloni dok red ne odgovori onome što pokušavate spriječiti. Ako je briga lokalna mreža ili ISP koji bilježi ili blokira Tor, Tor preko VPN-a to rješava. Ako je briga da VPN operater sazna vašu kućnu adresu, VPN preko Tora to rješava i plaća za to izlažući korištenje Tora vašoj vlastitoj mreži, a kućnu adresu guardu.

Nijedan raspored ne ostavlja obje ivice slijepe. Dodavanje posmatrača ne uklanja drugog. Napomena Tor Projecta o pokretanju VPN-a s Torom kaže istu stvar s druge strane: tunel mijenja kome se vjeruje i koje putanje kvara postoje, pa nije nadogradnja koju dodajete bez odluke o tome šta ste htjeli sakriti.

Prvo odlučite o posmatraču, drugo birajte redoslijed i provjeravajte s ip route get i ss, a ne s klijentovim indikatorom. Ako je posmatrač neko ko može prisiliti samog VPN provajdera, nikakav izbor redoslijeda to ne ispravlja.