Novo torovo vezje proti zamenjavi strežnika VPN: kaj se v resnici spremeni
Sprememba vezja premakne torovo pot, zamenjava strežnika pa premakne končno točko tunela. Katera od njiju spremeni naslov, ki ga stran vidi, je odvisno od vrstnega reda.
Zamenjava torovega vezja in zamenjava strežnika VPN se oba občutita kot pridobitev nove poti, a se lomita na različnih mestih, ko ju obravnavaš kot isti gumb. Eden prosi torovega odjemalca, naj za stran zgradi drugo pot, drugi prosi odjemalca VPN, naj se poveže z drugo končno točko. Nobena ni ponastavitev in naslov, ki ga stran na koncu vidi, je odvisen od tega, katera od obeh je bližje cilju. Tako se odločim, po katerem krmilniku seči, in kaj nato preverim.
Dve operaciji v dveh različnih plasteh
Tor je nadgradnja. Odjemalec izbere varovalni rele, srednji rele in izhodni rele, nato pa po tem vezju prenaša tokove TCP; cilj vidi izhod in nič drugega. Sprememba vezja je odločitev, sprejeta znotraj Tora o tem, kateri releji prenašajo tok.
VPN je tunel spodaj. Odjemalec izbere končno točko, promet zavije v zunanjo plast in vse, kar pride za tem, vidi naslov končne točke. Zamenjava strežnika je odločitev o tem, kje se zunanja pot konča.
Ker sta plasti neodvisni, je lahko ena operacija na drugem koncu povezave nevidna. Prav ta asimetrija pojasni večino zmede okoli teh dveh krmilnikov.
Kaj počne New Tor Circuit for this Site
New Tor Circuit for this Site v plošči s podatki o strani zapre tokove, ki jih Tor prenaša za to stran, in zgradi novo vezje za naslednjo zahtevo. Zavihki, piškotki, prijave in preostanek seje ostanejo točno tam, kjer so bili, in to je bistvo: sejo obdržiš in pot spremeniš.
Zato je pravo orodje za ozko okvaro: izhodni rele, ki ga cilj blokira, zanka captcha, ki sledi izhodu, ali ena stran, ki se zatakne, medtem ko vse druge delujejo dobro. Prikaz vezja na isti plošči našteje tri releje, zato lahko potrdiš, da se je izhod res spremenil, namesto da bi to predvideval.
Opazuj varovalni rele. Tor vzdržuje majhen nabor vhodnih varoval, sprememba vezja pa običajno znova uporabi isto varovalo, zato se prvi skok v omrežju ne premakne. New Identity je večja ponastavitev: zapre zavihke in počisti stanje brskanja, preden zgradi novo vezje, in krmilniki identitete so dokumentirani ločeno z razlogom: to je druga operacija z drugačno ceno.
Kaj počne zamenjava strežnika VPN
Odjemalec poruši tunel in se poveže z drugo končno točko. Naslednji skok zunaj tunela, bodisi varovalo Tora bodisi cilj sam, vidi drug naslov izvora. Povezave znotraj tunela se prekinejo in jih je treba znova vzpostaviti, zato lahko strani obvisijo, dokler ne poteče čas, namesto da bi se čisto naložile.
Nič nad tunelom se ne prepiše, vendar porušitev ni nevidna. V postavitvi z VPN na začetku izhod še vedno izbira Tor, a odvrženje tunela ubije povezave TCP, ki jih Tor drži s svojim varovalom, zato Tor ta vezja poruši in zgradi nova, pri čemer znova izbere izhod. Stran lahko zato po zamenjavi vidi drug naslov izhoda, čeprav sama zamenjava ni nikoli izbrala nobenega. Zamenjava odloči o naslovu, ki ga vidi varovalo, znova zgrajeno vezje pa je tisto, ki znova izbere izhod. Če si strežnike zamenjal le zato, da bi spremenil, kaj vidi stran, ko je Tor spredaj, si premaknil plast, ki je stran nikoli ne opazuje neposredno, in vsaka sprememba, ki jo je stran opazila, je prišla od ponovne gradnje, ne od zamenjave.
Zamenjava prav tako vpliva le na pot, ki jo ima odjemalec. Brskalnik, ki znova uporabi odprto povezavo, je lahko videti zataknjen na stari poti, dokler se znova ne poveže, predpomnjeni odgovor DNS pa je druga običajna ovira. Najprej osveži, nato presodi.
Vrstni red odloči, kaj vidi cilj
Dva vrstna reda odgovarjata na različni vprašanji. Ko je VPN pred Torom, varovalo in releji vidijo končno točko VPN, medtem ko cilj vidi izhod Tora. Ko je Tor pred VPN, cilj vidi končno točko VPN, ker je tunel zadnja stvar, skozi katero gre promet.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
Iskanje IP torej poroča, kaj je videl cilj, ne pa poti, ki jo je prenesla. Storitev, ki v eni postavitvi kaže izhod, v drugi pa VPN, se obnaša pravilno in ne uhaja podatkov.
Česa ne stori nobena od operacij
Nobena od njiju ne izbriše identitete računa. Prijavljena seja je piškotek in zapis na strežniški strani, sprememba poti pa se ne dotakne nobenega od njiju. Stabilen profil brskalnika, ista prijava in isti prstni odtis preživijo obe dejanji.
Prav tako nobena ni dokaz. Stran poroča naslov, ki ga je opazila med zahtevo; ne more poročati tvoje poti po relejih ali tega, ali je tvoj VPN odpadel deset minut prej. Če to časovnico potrebuješ, si jo zapiši takrat, saj je pozneje z drugega konca ni mogoče rekonstruirati.
Krmilnik prilagodi simptomu
Začni s tem, kar je spodletelo, ne s tem, kateri gumb je videti bolj temeljit:
- Ena stran te blokira, captcha se vrti v zanki ali je ena stran počasna: novo vezje za to stran.
- Postavitev samo z VPN potrebuje drug viden naslov: zamenjaj strežnik.
- Pričakoval si izhod, a stran poroča tvoj VPN: preveri vrstni red, Tor je za tunelom.
- Zavihki zaprti in vse ponastavljeno: uporabil si New Identity, ne spremembe vezja.
- Izhod je po spremembi vezja videti nespremenjen: releji se lahko upravičeno ponovijo, varovalo pa se sploh ne premakne.
Zapiši dejanje in simptom, ki naj bi ga odpravilo, preden spremeniš karkoli drugega. Dve zamenjavi zaporedoma ustvarita primerjavo, ki je ni mogoče razložiti, ponavljanje obeh, ko se slabo obnaša le ena plast, pa je način, kako petminutno preverjanje postane celo popoldne.