Izhodni rele Tor proti izhodnemu strežniku VPN: kaj ve vsak
Izhodni rele Tor in izhodni strežnik VPN prikazujeta en javni naslov, a znanje delita drugače. Primerjajte vidnost, pokritost in politiko vrat.
Obe zasnovi skrivata vaš naslov za enim javnim IP, spletna stran, ki izpiše naslov, ki ga vidi, pa ju ne more ločiti. Razlika je v tem, kdo na poti kaj izve, koliko prometa je pokritega in katera vrata smejo delovati. Izhodni rele Tor je zadnji skok kroga treh relejev; izhodni strežnik VPN zaključi vaš tunel in sam odpre odhodno povezavo. Tukaj je, kako se odločim, kateri je potreben za nalogo, in kaj preverim, preden domnevam, da se eden obnaša kot drugi.
Dve poti, ki se končata na enem naslovu
Tor zgradi krog skozi stražarja, srednji rele in izhod ter šifrira tovor v plasteh, tako da vsak rele odlušči le svojo plast. Izhod vzpostavi običajno povezavo TCP s ciljem, zato cilj vidi izhodni naslov. Vaš odjemalec nikoli ne govori neposredno s ciljem, tudi stražar ga ne vidi.
VPN je en tunel do ene končne točke. Strežnik operaterja odstrani tunel in odpre odhodno povezavo, zato tudi cilj vidi en naslov, tokrat operaterjev. Opazni rezultat je enak; znanje ni. Test, ki izpiše IP, odgovori, v katerem sistemu ste, in ne pove ničesar o delitvi zaupanja, ki se v resnici razlikuje.
Kdo na koncu kaj ve
Končna točka VPN vidi izvorni naslov, cilj, čas in obseg na enem mestu. Ta koncentracija je zasnova: en operater, ena površina dnevnikov, eno mesto za poziv ali napačno konfiguracijo. Vse, kar pridobite, izhaja iz zaupanja v to stran in iz odhodne politike končne točke.
Tor deli to znanje. Stražar pozna vaš naslov, ne pa cilja; izhod pozna cilj, ne pa vašega naslova. Rele naj ne bi izvedel obojega. To je strukturna lastnost, ne obljuba proti globalnemu opazovalcu, releju, ki korelira čase, ali kompromitirani končni točki, zato jo obravnavajte kot drugačno porazdelitev istega tveganja in ne kot anonimnost, ki ne more odpovedati.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Pokritost je odločitev brskalnika ali poti
Brskalnik Tor usmerja svoj promet in dodaja zaščite, ki jih običajen odjemalec VPN ne ponovi: odpornost proti prstnim odtisom, izolacijo prve strani, fiksno velikost okna in dejanje Nova identiteta, ki zavrže stanje seje. Druge aplikacije tega kroga ne uporabljajo, razen če so tako nastavljene, sistemska namestitev Tor pa je ločen projekt od namestitve brskalnika.
VPN ima nasprotno obliko. Pokritost sledi usmerjevalni tabeli, zato profil WireGuard z AllowedIPs = 0.0.0.0/0 ujame vse, seznam razdeljenega tunela pa le predpone, ki jih navaja. Prav v tem mehanizmu živijo tudi uhajanja: poizvedbe DNS, IPv6 in WebRTC lahko vsaka ubere pot, ki je usmerjevalna politika ni zajela. Preverjajte znotraj aplikacije, ki ni uspela, ne iz zavihka brskalnika, ki morda uporablja drug vmesnik.
Politika vrat, blokirani cilji in HTTPS
Izhodni rele lahko zavrača odhodna vrata, privzeta politika pa zavrne seznam vrat, nagnjenih k zlorabi, med njimi vrata SMTP 25. Zato poštni odjemalec, nastavljen prek Tor, ne uspe na izhodu, kar je videti kot omrežna napaka in ni. Operaterji, ki poganjajo rele, to nastavijo izrecno:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Tudi cilji blokirajo, in to dva sistema blokirajo različno. Izhodni naslovi Tor so objavljeni, zato lahko stran zavrne celoten seznam; končne točke VPN sedijo v obsegih podatkovnih centrov, ki se zavračajo prav tako ravnodušno. Ko stran ne uspe, ločite tri kandidate, preden karkoli spremenite: izhodno ali odhodno politiko, cilj, ki zavrača vir, ali captive portal, ki ugrabi prvo zahtevo.
Noben sistem ne nadomesti šifriranja prenosa. Navaden HTTP je berljiv na izhodnem releju in na končni točki VPN, zato pustite HTTPS vklopljen in preberite opozorilo o potrdilu, namesto da bi ga zavrgli. Dva preverjanja hitro razrešita vprašanje usmerjanja: curl -s https://check.torproject.org/api/ip vrne IsTor, ko je zahteva šla skozi krog, in curl -s https://ifconfig.me pokaže odhodni naslov, ki bi ga VPN predstavil. Zagon obeh vam pove, katero pot lupina dejansko uporablja.
Ne uporabljajte enega kot drugega
Naslov izhodnega releja ni profil VPN. Usmerjanje odjemalca OpenVPN ali WireGuard na rele na vratih 443 ne ustvari tunela, ker tam ne posluša nobena storitev VPN; rele je skok v tujem krogu. V nasprotni smeri končna točka VPN ni vstopna točka za Tor, nastavitve mostov v brskalniku Tor pa niso mesto za lepljenje imena gostitelja komercialnega VPN. Če poganjate Tor prek VPN, stražar vidi naslov VPN namesto vašega, kar spremeni delitev, ne da bi združilo dve vlogi.
Pred izbiro odgovorite na štiri vprašanja po vrsti: kdo upravlja končno točko in kaj hrani, kaj orodje pokriva na tej napravi, katera vrata in cilje odhodna politika dovoljuje in kaj aplikacija doda onkraj omrežne poti. Naloga, ki potrebuje običajen omrežni dostop za mnoge programe, hoče VPN. Naloga, ki potrebuje zaščite na ravni brskalnika in model kroga, hoče brskalnik Tor, vzdrževan ažuren. Če je odgovor »oboje«, ju zaženite v premišljenem vrstnem redu in zapišite, kateri naslov vidi vsaka stran.