Relé Tor verzus server VPN: prečo nie sú zameniteľné

Máte adresu, port odpovedá a klient ju prijíma bez akýchkoľvek sťažností. Nič z toho nerobí z relé Tor koncový bod VPN a chyba je drahá, pretože profil sa naimportuje čisto a neskôr zlyhá pri handshake. Nižšie uvedené štyri kontroly používam v poradí; každá má podmienku zastavenia a práve včasné zastavenie je podstatou. Ak prvá kontrola zlyhá, ostatné vám nepomôžu.

Skontrolujte, čomu port skutočne slúži

Otvorený port dokazuje poslucháča, nič viac. ORPort relé hovorí vlastnými bunkami Toru po TLS handshake, takže úspešná TLS sonda vám takmer nič nepovie o tom, či sa tam prijíma protokol VPN:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Čítajte certifikát, nie fakt, že existuje. Relé predkladajú samopodpísaný certifikát s úmyselne nenápadným menom, pretože prevádzka relé má pripomínať bežný HTTPS; certifikát servera VPN nesie meno, ktoré váš profil očakáva. Ak protistrana nikdy neodpovie na prvý paket protokolu VPN, nijaká úprava profilu výsledok nezmení.

Zastavte sa tu, ak adresa nedokončí handshake, ktorý váš klient odosiela. Je to odpoveď protokolu, nie problém konfigurácie, a je to najčastejší dôvod, prečo importovaný profil navždy zostáva na 'connecting'.

Skontrolujte rolu relé, nie veľkosť siete

Roly relé robia rôznu prácu. Guard je prvý skok pre klientov, stredné relé posiela okruhy medzi inými relé, exit je ten, ktorý sa dotýka destinácií, a most je neverejný vstupný bod rozdávaný cez BridgeDB. Slovník Toru drží tieto definície oddelene a dosiahnuteľnosť je súčasťou každej roly, zatiaľ čo oprávnenie obsluhovať ľubovoľných klientov nie je súčasťou žiadnej z nich.

Exit politika stojí za prečítanie, pretože je jedinou časťou, ktorá pripomína pravidlo presmerovania, a riadi destinácie, kam exit povolí odchod, nie klientov, ktorí smú dnu. Reštriktívna exit politika blokujúca port 25 hovorí niečo o kontrole zneužitia odchádzajúcej prevádzky, nie o tom, či smiete nasmerovať klienta OpenVPN na stroj.

Zastavte sa, ak uvažujete z reputácie: pretože relé preposielajú prevádzku, adresa musí prijať tú vašu. Tor vyberá cesty cez konsenzus a vlastný protokol; klient VPN nie je účastník a nemá okruh, ku ktorému by sa pridal.

Skontrolujte, či je poslucháč SOCKS lokálny alebo verejný

Klient Toru vystavuje rozhranie SOCKS aplikáciám na tom istom stroji, predvolene na loopbacku. Ten poslucháč je lokálne pohodlie, nie služba, ktorú relé ponúka internetu, a považovať ho za verejný proxy je cesta, ktorou ľudia skončia s otvoreným relé, ktoré neplánovali:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Väzbová adresa je vodítko. SocksPort na 127.0.0.1:9050 robí svoju prácu; ten, ktorý počúva na 0.0.0.0 a je dostupný zvonka, je otvorený proxy, a vlastné kontroly prístupovej politiky Toru existujú práve preto, že toto vystavenie je problém, nie vlastnosť.

Pre aplikáciu, ktorá potrebuje Tor, ju nasmerujte na loopback port a nechajte Tor rozkladať mená, čo robí podoba socks5h vyššie. Nenahrádzajte adresu relé týmto portom; relé neponúka rozhranie, ktoré vaša aplikácia žiada.

Skontrolujte, či profil VPN zodpovedá skutočnému koncovému bodu

Profil VPN je zväzok očakávaní: OpenVPN potrebuje certifikát servera alebo CA, klientsky certifikát a kľúč a zvyčajne TLS kľúč, zatiaľ čo WireGuard potrebuje verejný kľúč protistrany, koncový bod a povolené IP adresy. Nič z toho sa nedá odvodiť z adresy a otvoreného portu, a preto takto postavený profil zlyhá pri prvej výmene, nie pri pripojení.

Keď vám odovzdajú profil, overte ho voči koncovému bodu, ktorý ovládate, alebo poskytovateľovi, ktorého dokážete identifikovať:

wg show
openvpn --config client.ovpn --verb 4

V logu OpenVPN chyba vyjednávania TLS priamo pomenúva nesúlad; v wg show protistrana bez riadku handshake nikdy žiadny nedokončila. Oboje je informatívnejšie než točiaci sa indikátor klienta a oboje ukazuje na kľúčový materiál alebo protokol, nie na Tor.

Skontrolujte, akú ochranu vlastne potrebujete

Toto je kontrola, ktorá rozhoduje o architektúre. Tor Browser vám dáva izoláciu okruhov a obranu proti odtlačkom prstov, ktorú VPN nemá; VPN mení adresu, ktorú vidí destinácia, a autentifikuje vás u poskytovateľa. Výber medzi nimi je otázkou modelu hrozieb, nie kompatibility, a ich miešanie vytvára nastavenie, ktoré vyzerá súkromne a nie je.

Reťazenie má poradie. VPN prenášajúca prevádzku Toru je podporované usporiadanie, pretože klient Toru potrebuje len odchádzajúce TCP. Klient VPN tunelovaný vo vnútri Toru nie je to isté a nie je to, čo klient Toru implementuje, preto s tým nepočítajte.

Predtým než čokoľvek naimportujete, potvrďte všetky štyri:

• Port dokončí handshake vášho protokolu, nielen TCP spojenie.
• Poznáte rolu hostiteľa a nepovažujete presmerovanie za oprávnenie.
• Poslucháč SOCKS, ktorý používate, je loopback a váš, nie verejný port na cudzom relé.
• Kľúče alebo certifikáty profilu patria koncovému bodu, ku ktorému sa pripájate.