Tor relay nasuprot VPN serveru: zašto nisu zamjenjivi

Imate adresu, port odgovara, a klijent je prihvata bez prigovora. Ništa od toga ne čini Tor relay VPN endpointom, a greška je skupa jer se profil čisto uvozi i kasnije pada na handshakeu. Koristim četiri provjere ispod po redu; svaka ima uslov za zaustavljanje, a rano zaustavljanje je poenta. Ako prva provjera padne, ostale vam ne mogu pomoći.

Provjerite šta port zapravo opslužuje

Otvoren port dokazuje prisustvo listenera, ništa više. ORPort relaya govori vlastitim Tor ćelijama nakon TLS handshakea, pa uspješna TLS provjera gotovo ništa ne govori o tome da li se VPN protokol tamo prihvata:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Čitajte certifikat, a ne činjenicu da postoji. Relayi predstavljaju samopotpisani certifikat s namjerno neupadljivim imenom, jer relay saobraćaj treba da liči na običan HTTPS; certifikat VPN servera nosi ime koje vaš profil očekuje. Ako drugi kraj nikada ne odgovori na prvi paket VPN protokola, nikakvo uređivanje profila neće promijeniti ishod.

Zaustavite se ovdje ako adresa ne završi handshake koji vaš klijent šalje. To je odgovor protokola, ne problem konfiguracije, i to je najčešći razlog zašto uvezeni profil zauvijek stoji na 'connecting'.

Provjerite ulogu relaya, a ne veličinu mreže

Uloge relaya rade različite poslove. Guard je prvi skok za klijente, srednji relay prosljeđuje krugove između drugih relaya, exit je onaj koji dodiruje odredišta, a most je nejavna ulazna tačka koja se dijeli kroz BridgeDB. Torov pojmovnik drži te definicije odvojenim, a dostupnost je dio svake uloge, dok dozvola da opslužujete proizvoljne klijente nije dio nijedne od njih.

Exit politika vrijedi čitanja jer je jedini dio koji liči na pravilo prosljeđivanja, i ona uređuje odredišta kojima exit dozvoljava izlaz, a ne klijente kojima se dozvoljava ulaz. Restriktivna exit politika koja blokira port 25 govori nešto o kontroli zloupotrebe odlaznog saobraćaja, a ne o tome smijete li usmjeriti OpenVPN klijent na mašinu.

Zaustavite se ako zaključujete iz reputacije: zato što relayi prosljeđuju saobraćaj, adresa mora prihvatiti vaš. Tor bira putanje kroz konsenzus i vlastiti protokol; VPN klijent nije učesnik i nema krug kojem bi se pridružio.

Provjerite je li SOCKS listener lokalni ili javni

Torov klijent izlaže SOCKS interfejs za aplikacije na istoj mašini, po pravilu na loopbacku. Taj listener je lokalna pogodnost, ne usluga koju relay nudi internetu, i tretirati ga kao javni proxy je način na koji ljudi završe s otvorenim relayem koji nisu namjeravali pokrenuti:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Adresa vezivanja je znak. SocksPort na 127.0.0.1:9050 radi svoj posao; onaj koji sluša na 0.0.0.0 i dostupan je izvana jest otvoreni proxy, a Torove vlastite kontrole politike pristupa postoje upravo zato što je ta izloženost problem, a ne značajka.

Za aplikaciju kojoj treba Tor, usmjerite je na loopback port i pustite Tor da rješava imena, što radi oblik socks5h gore. Ne zamjenjujte adresu relaya tim portom; relay ne nudi interfejs koji vaša aplikacija traži.

Provjerite da VPN profil odgovara stvarnom endpointu

VPN profil je skup očekivanja: OpenVPN treba certifikat servera ili CA, klijentski certifikat i ključ, i obično TLS ključ, dok WireGuard treba javni ključ partnera, endpoint i dozvoljene IP adrese. Ništa od toga ne može se izvesti iz adrese i otvorenog porta, zato profil tako napravljen pada na prvoj razmjeni, a ne pri povezivanju.

Kada vam predaju profil, provjerite ga prema endpointu koji kontrolišete ili provajderu koji možete identificirati:

wg show
openvpn --config client.ovpn --verb 4

U OpenVPN zapisu greška TLS pregovaranja direktno imenuje nesklad; u wg show partner bez linije handshakea nikada nije završio nijedan. Oboje je informativnije od klijentovog vrtećeg indikatora, i oboje upućuje na ključni materijal ili protokol, a ne na Tor.

Provjerite koja zaštita vam zapravo treba

Ovo je provjera koja odlučuje arhitekturu. Tor Browser vam daje izolaciju krugova i odbranu od otiska prsta koju VPN ne daje; VPN mijenja adresu koju odredište vidi i autentificira vas kod provajdera. Biranje između njih je pitanje modela prijetnji, ne pitanje kompatibilnosti, a njihovo miješanje daje postavku koja izgleda privatno i nije.

Lančano povezivanje ima red. VPN koji nosi Tor saobraćaj je podržan raspored, jer Torov klijent treba samo odlazni TCP. VPN klijent tuneliran unutar Tora nije ista stvar i nije ono što Tor klijent implementira, pa ne planirajte na osnovu toga.

Prije nego bilo šta uvezete, potvrdite sve četiri:

• Port završava handshake vašeg protokola, ne samo TCP vezu.
• Znate ulogu hosta i ne tretirate prosljeđivanje kao dozvolu.
• SOCKS listener koji koristite je loopback i vaš, a ne javni port na tuđem relayu.
• Ključevi ili certifikati profila pripadaju endpointu na koji se povezujete.