VPN cez Tor: najprv kontrola transportu

Tor najprv znamená, že klient VPN sedí za proxy SOCKS, takže tunel sa stavia cez Tor a prevádzka aplikácií vychádza z koncového bodu VPN. To je jedno konkrétne poradie a nie je to to, čo stavia väčšina ľudí. Otvorenie Tor Browseru vedľa bežného klienta VPN nenúti ani jeden z dvoch programov používať cestu toho druhého.

Prejdite kontroly po poradí. Každá rozhoduje, či má zmysel začať ďalšiu.

Aké poradie vlastne staviate

Dve poradia sa v jednej konverzácii pletú. Tor najprv znamená, že klient VPN dosiahne svoj server cez proxy SOCKS, takže tunel sa stavia nad Torom. VPN najprv znamená, že prevádzka Toru vychádza tunelom, čo väčšina ľudí postaví omylom a potom to opisuje ako to druhé. Prvé sústreďuje hranicu preposielania u operátora VPN, druhé ju sústreďuje pri vstupe a výstupe Toru. Ani jedno nie je to, čo získate tým, že máte obe aplikácie otvorené naraz.

Pred akoukoľvek konfiguráciou si zapíšte, ktoré poradie úloha potrebuje, pretože obe vyžadujú iné softvérové nastavenia a zlyhávajú na iných miestach. Nesprávne označené poradie vás pošle na hodinu ladiť nesprávnu vrstvu. Všetko nižšie predpokladá Tor najprv.

Skontrolujte transport skôr než čokoľvek iné

Rozhranie SOCKS v Tore prenáša TCP toky a neposkytuje všeobecnú asociáciu UDP. VPN, ktorej transport je UDP, nemôže s týmto proxy zaobchádzať ako s bežným sieťovým rozhraním a žiadne nastavenie klienta nemení, čo je proxy ochotná preposlať. WireGuard vo svojej obvyklej podobe je zjavná obeť. Profil OpenVPN v režime TCP je obvyklé riešenie a stále mu treba výslovne povedať, aby proxy použil.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Pred ladením tunela cez proxy overte, že proxy počúva a unesie jednu jednoduchú požiadavku HTTPS. Ak jednoduchá požiadavka zlyhá, klient VPN nikdy neuspeje a jeho záznamy vám nepovedia prečo.

Prepíšte mapu pozorovateľa

Vstup Toru môže vidieť zdroj, ktorý sa pripája k Toru, ak to niečo skoršie nezmenilo, takže ten skok spozná vašu adresu. Poskytovateľ VPN prijíma pripojenie prichádzajúce zo strany Toru, ale stále môže poznať účet, platobný záznam alebo prihlasovacie údaje, ktoré ste poslali vnútri tunela. Ciele dosiahnuté cez VPN vidia jej výstup, nie výstup Toru, a to sústreďuje konečnú hranicu preposielania u jedného operátora.

Tiež nevytvára distribuovanú cestu ku každému cieľu. Tor Browser stavia nový okruh pre každú lokalitu; VPN nesená cez Tor stavia jeden tunel a každá lokalita za ním zdieľa tento koncový bod. Berte rozdiel ako fakt návrhu, nie ako obmedzenie, ktoré treba odstrániť.

Spočítajte vrstvy zlyhania, keď sa to pokazí

Pokazené nastavenie má najmenej štyri nezávislé vrstvy: spojenie SOCKS, TLS handshake so serverom VPN, samotný handshake VPN a potom smerovanie alebo preklad názvov vnútri tunela. Každá zlyháva s iným príznakom a každá potrebuje inú opravu. Uvoľnenie kontrol certifikátov preto, že tunel nenabehne, je klasická nesprávna diagnóza a mení problém transportu na problém bezpečnosti.

Zaznamenajte prvú vrstvu, ktorá zlyhá, a tam sa zastavte. Odmietnutie proxy a odmietnutý kľúč nie sú variantmi tej istej udalosti.

Zastavte sa, ak model hrozieb potrebuje obranu Tor Browseru

Smerovanie ľubovoľných aplikácií cez VPN nesenú Torom nedáva týmto aplikáciám funkcie odtlačku a izolácie Tor Browseru. Ich účty, identifikátory a vlastné sieťové správanie zostávajú relevantné a tunel nič z toho normalizuje. Ak je cieľom prehliadač, ktorý splýva s ostatnými používateľmi, toto poradie ho neposkytne.

Sám Tor Project varuje pred kombináciami, ktoré používatelia nedokážu správne nastaviť, a táto platí pre väčšinu ľudí. Je to zámerný návrh pre úzky model hrozieb, nie skratka k anonymnej prevádzke celého zariadenia.