Výstupný relay Tor verzus výstupný server VPN: čo vie každý z nich
Výstupný relay Tor a výstupný server VPN zobrazujú obaja jednu verejnú adresu, ale vedomosti delia inak. Porovnajte viditeľnosť, pokrytie a politiku portov.
Oba návrhy skrývajú vašu adresu za jednu verejnú IP a stránka, ktorá vypíše adresu, ktorú vidí, ich nedokáže rozlíšiť. Rozdiel je v tom, kto sa na ceste čo dozvie, koľko prevádzky je pokryté a ktoré porty smú fungovať. Výstupný relay Tor je posledný skok okruhu z troch relayov; výstupný server VPN ukončí váš tunel a sám nadviaže odchádzajúce spojenie. Tu je, ako rozhodujem, ktorý úloha potrebuje, a čo kontrolujem, než predpokladám, že sa jeden správa ako druhý.
Dve cesty, ktoré sa končia na jednej adrese
Tor stavia okruh cez strážcu, stredný relay a výstup a šifruje obsah po vrstvách, takže každý relay oddelí len svoju vrstvu. Výstup nadviaže bežné TCP spojenie s cieľom, a preto cieľ vidí výstupnú adresu. Váš klient nikdy nehovorí s cieľom priamo a ani strážca ho nevidí.
VPN je jeden tunel k jednému koncovému bodu. Server operátora tunel odstráni a otvorí odchádzajúce spojenie, takže cieľ tiež vidí jednu adresu, tentoraz operátorovu. Pozorovateľný výsledok je rovnaký; vedomosti nie. Test, ktorý vypíše IP, odpovie, v ktorom systéme ste, a nič nepovie o rozdelení dôvery, ktoré sa skutočne líši.
Kto napokon čo vie
Koncový bod VPN vidí zdrojovú adresu, cieľ, časovanie aj objem na jednom mieste. Tá koncentrácia je zámer: jeden operátor, jedna plocha záznamov, jedno miesto na predvolanie alebo zlú konfiguráciu. Všetko, čo získate, pochádza z dôvery v túto stranu a z odchádzajúcej politiky koncového bodu.
Tor tieto vedomosti delí. Strážca pozná vašu adresu, ale nie cieľ; výstup pozná cieľ, ale nie vašu adresu. Relay nemá zistiť oboje. Je to štrukturálna vlastnosť, nie sľub proti globálnemu pozorovateľovi, relayu, ktorý koreluje časy, alebo kompromitovanému koncovému bodu, takže to berte ako iné rozdelenie toho istého rizika, nie ako anonymitu, ktorá nemôže zlyhať.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Pokrytie je rozhodnutie prehliadača alebo trasy
Prehliadač Tor smeruje vlastnú prevádzku a pridáva ochrany, ktoré bežný klient VPN nenapodobní: odolnosť proti odtlačkom, izoláciu prvej strany, pevnú veľkosť okna a akciu Nová identita, ktorá zahodí stav relácie. Iné aplikácie ten okruh nepoužívajú, ak na to nie sú nastavené, a systémové nastavenie Tor je samostatný projekt od inštalácie prehliadača.
VPN má opačný tvar. Pokrytie sleduje smerovaciu tabuľku, takže profil WireGuard s AllowedIPs = 0.0.0.0/0 zachytí všetko a zoznam rozdeleného tunela len prefixy, ktoré uvádza. Práve v tomto mechanizme žijú aj úniky: DNS dopyty, IPv6 a WebRTC môžu každý ísť cestou, ktorú smerovacia politika nezahrnula. Kontrolujte zvnútra aplikácie, ktorá zlyhala, nie z karty prehliadača, ktorá môže používať iné rozhranie.
Politika portov, blokované ciele a HTTPS
Výstupný relay môže odmietať odchádzajúce porty a predvolená politika zamieta zoznam portov náchylných na zneužitie, medzi nimi port SMTP 25. Preto poštový klient nastavený cez Tor zlyhá na výstupe, čo vyzerá ako porucha siete a nie je. Operátori, ktorí prevádzkujú relay, to nastavujú výslovne:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Ciele tiež blokujú, a oba systémy blokujú rôzne. Výstupné adresy Tor sú zverejnené, takže stránka môže odmietnuť celý zoznam; koncové body VPN sedia v rozsahoch dátových centier, ktoré sa odmietajú rovnako ľahko. Keď stránka zlyhá, oddelte troch kandidátov, než čokoľvek zmeníte: výstupnú alebo odchádzajúcu politiku, cieľ odmietajúci zdroj alebo captive portál, ktorý unesie prvú požiadavku.
Ani jeden systém nenahrádza šifrovanie transportu. Obyčajné HTTP je čitateľné na výstupnom relayi aj v koncovom bode VPN, takže nechajte HTTPS zapnuté a prečítajte si varovanie certifikátu namiesto toho, aby ste ho odmietli. Dve kontroly rýchlo rozhodnú otázku smerovania: curl -s https://check.torproject.org/api/ip vráti IsTor, keď požiadavka prešla okruhom, a curl -s https://ifconfig.me ukáže odchádzajúcu adresu, ktorú by VPN predstavila. Spustenie oboch vám povie, ktorú cestu shell skutočne používa.
Nepoužívajte jedno ako druhé
Adresa výstupného relayu nie je profil VPN. Nasmerovať klienta OpenVPN alebo WireGuard na relay na porte 443 nevytvorí tunel, pretože tam nepočúva žiadna služba VPN; relay je skok v cudzom okruhu. Opačným smerom koncový bod VPN nie je vstupným bodom pre Tor a nastavenia mostov v prehliadači Tor nie sú miestom na vloženie hostname komerčnej VPN. Ak prevádzkujete Tor cez VPN, strážca vidí adresu VPN namiesto vašej, čo mení rozdelenie bez zlúčenia dvoch úloh.
Pred voľbou odpovedzte na štyri otázky v poradí: kto prevádzkuje koncový bod a čo si uchováva, čo nástroj na tomto zariadení pokrýva, ktoré porty a ciele odchádzajúca politika povoľuje a čo aplikácia pridáva nad rámec sieťovej cesty. Úloha, ktorá potrebuje bežný sieťový prístup pre mnoho programov, chce VPN. Úloha, ktorá potrebuje ochrany na úrovni prehliadača a model okruhu, chce prehliadač Tor, udržiavaný aktuálny. Ak je odpoveď „obidve“, spúšťajte ich v premyslenom poradí a zapíšte, ktorú adresu vidí každá strana.