VPN pred Tor: čo poradie naozaj mení

Pripojenie VPN ako prvé vytvára konkrétnu reťaz: zariadenie, koncový bod VPN, vstup Tor, okruh Tor, cieľ. Vaša miestna sieť vidí jedno šifrované spojenie k VPN, a vstupný uzol Tor vidí výstup VPN ako bezprostredný zdroj namiesto adresy vášho poskytovateľa. Prevádzkovateľ VPN zase vidí spojenia smerom k vstupnej infraštruktúre Tor a z cieľov môže odvodiť používanie Tor. Každý pozorovateľ niečo stráca a niečo získava, preto je poradie výmena, nie vylepšenie.

Nič v tomto reťazci nemení to, čo sa web dozvie z vášho účtu, cookies alebo zadaných údajov.

Čo poradie mení

Miestna sieť a poskytovateľ internetu strácajú priamy prehľad o vašej prevádzke Tor, pretože prvým skokom je teraz šifrovaný tunel k poskytovateľovi. Vstupná stráž Tor stráca vašu domácu adresu a vidí výstup VPN. Poskytovateľ VPN získava metadáta, ktoré predtým mal váš poskytovateľ internetu: ktoré adresy kontaktujete, v akých časoch a koľko dát sa prenáša.

Za vstupnou strážou sa okruh správa ako predtým. Relay naďalej oddeľujú úlohy vstupu, stredu a výstupu a VPN nevidí konečný obsah viac ako váš poskytovateľ internetu.

Overte cestu, ktorá sa skutočne používa

Rozdelené tunelovanie je obvyklý dôvod, prečo zamýšľaná reťaz nie je tá skutočná.Ak je Tor Browser z tunela vylúčený, alebo druhý profil smeruje inak, vstupná stráž znova vidí adresu poskytovateľa, zatiaľ čo rozhranie stále vyzerá pripojené. Kontrolujte trasu a pozorovaný výstup, nie ikonu.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Na požiadavku SOCKS cez port 9150 odpovedá vlastný klient Tor Browsera, takže odpoveď IsTor true potvrdzuje okruh prehliadača, nie že ho používa každý ďalší program. Výstup resolvera stojí za zaznamenanie, pretože DNS môže odísť cestou, ktorú tunel nepokrýva. Uložte oba výstupy s časovou pečiatkou. Sú základom pre ďalšie porovnanie.

Porovnajte s priamou požiadavkou z bežného terminálu: ak aj tá hlási Tor, niečo iné presmerúva prevádzku a reťaz nie je taká, akú predpokladal návrh.

Sledujte, čo sa stane, keď tunel padne

Klient, ktorý potichu prepadne späť na miestne rozhranie, mení zdroj, ktorý vstupná stráž vidí, a používateľ to zvyčajne nevie, pretože stránka sa stále načítava. Práve toto zlyhanie stojí za testovanie, nie šťastná cesta. Zámerne odpojte tunel a sledujte, či prevádzka Tor zastane alebo pokračuje nechránená.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Pravidlá firewallu, ktoré blokujú odchádzajúcu prevádzku mimo tunela, sú jedinou spoľahlivou záložnou kontrolou a musia pokrývať aj SOCKS klienta prehliadača, aj každý ďalší program, na ktorom vám záleží. Rozšírenie prehliadača nie je VPN zariadenia a neovplyvňuje iné programy ani vonkajších pozorovateľov.

Rozhodnite, či si extra vrstva zaslúži dôveru

Projekt Tor neodporúča vrstviť VPN pod Tor, ak si nastavenie nedokážete sami vyhodnotiť. Uvedeným dôvodom je pridaná závislosť: ďalšia strana, ďalší účet a ďalší režim zlyhania. Ak je cieľom zabrániť vášmu poskytovateľovi internetu vidieť, že používate Tor, VPN sa zameriava práve na tohto pozorovateľa. Ak je cieľom silnejšia anonymita voči globálnemu pozorovateľovi, VPN ju neposkytuje.

Existuje aj opačné poradie a názvy nie sú zameniteľné:Tor cez VPN a VPN cez Tor opisujú rôzne vzťahy dôvery a rôzne správanie pri zlyhaní. Prečítajte si porovnanie, než ich zmiešate.

Zapíšte, ktorého pozorovateľa sa snažíte posunúť, potom overte, že skutočná cesta zodpovedá návrhu, potom overte správanie pri zlyhaní. Ak tieto tri odpovede neodôvodňujú ďalší účet a konfiguráciu, dokumentované nastavenie Tor Browsera má menej častí, ktoré sa dajú pokaziť.