Tor relay proti strežniku VPN: zakaj nista zamenljiva

Imate naslov, vrata odgovorijo in odjemalec jih sprejme brez pritožb. Nič od tega ne naredi relaya Tor končne točke VPN, napaka pa je draga, ker se profil uvozi čisto in pozneje spodleti pri rokovanju. Spodnje štiri preverbe uporabljam po vrsti; vsaka ima pogoj za ustavitev in prav zgodnja ustavitev je bistvo. Če prva preverba spodleti, vam ostale ne morejo pomagati.

Preverite, čemu vrata v resnici služijo

Odprta vrata dokazujejo poslušalca, nič več. ORPort relaya po rokovanju TLS govori z lastnimi celicami Tor, zato uspešen preizkus TLS skoraj nič ne pove o tem, ali je tam protokol VPN sploh sprejet:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Berite potrdilo, ne le dejstva, da obstaja. Relayi predstavijo samopodpisano potrdilo z namerno neopaznim imenom, ker mora promet relaya spominjati na običajen HTTPS; potrdilo strežnika VPN nosi ime, ki ga pričakuje vaš profil. Če nasprotna stran nikoli ne odgovori na prvi paket protokola VPN, nobeno urejanje profila ne bo spremenilo izida.

Ustavite se tukaj, če naslov ne dokonča rokovanja, ki ga pošilja vaš odjemalec. To je odgovor protokola, ne težava s konfiguracijo, in to je najpogostejši razlog, da uvožen profil za vedno ostane na 'connecting'.

Preverite vlogo relaya, ne velikosti omrežja

Vloge relaya opravljajo različno delo. Guard je prvi skok za odjemalce, srednji relay posreduje kroge med drugimi relayi, exit se dotika ciljev, most pa je nejaven vstopni punkt, ki se razdeli prek BridgeDB. Slovar Tora te opredelitve drži ločene, dosegljivost je del vsake vloge, medtem ko dovoljenje za streženje poljubnim odjemalcem ni del nobene od njih.

Politika exit je vredna branja, ker je edini del, ki spominja na pravilo posredovanja, in ureja cilje, ki jim exit dovoli izhod, ne odjemalcev, ki jim je dovoljen vstop. Restriktivna politika exit, ki blokira vrata 25, pove nekaj o nadzoru nad zlorabami odhodnega prometa, ne pa o tem, ali smete usmeriti odjemalca OpenVPN na stroj.

Ustavite se, če sklepate iz ugleda: ker relayi posredujejo promet, mora naslov sprejeti vašega. Tor izbira poti prek soglasja in lastnega protokola; odjemalec VPN ni udeleženec in nima kroga, ki bi se mu pridružil.

Preverite, ali je poslušalec SOCKS lokalen ali javen

Odjemalec Tora izpostavi vmesnik SOCKS aplikacijam na istem stroju, privzeto na loopbacku. Ta poslušalec je lokalna udobnost, ne storitev, ki jo relay ponuja internetu, in obravnavanje kot javnega proxyja je pot, po kateri ljudje končajo z odprtim relayem, ki ga niso nameravali:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Vezni naslov je namig. SocksPort na 127.0.0.1:9050 opravlja svoje delo; tisti, ki posluša na 0.0.0.0 in je dosegljiv od zunaj, je odprt proxy, in lastni nadzori politike dostopa Tora obstajajo prav zato, ker je ta izpostavljenost težava in ne funkcija.

Za aplikacijo, ki potrebuje Tor, jo usmerite na vrata loopback in pustite Toru, da razreši imena, kar počne oblika socks5h zgoraj. Ne nadomestite naslova relaya s temi vrati; relay ne ponuja vmesnika, ki ga zahteva vaša aplikacija.

Preverite, ali profil VPN ustreza resnični končni točki

Profil VPN je sveženj pričakovanj: OpenVPN potrebuje potrdilo strežnika ali CA, potrdilo odjemalca in ključ ter običajno ključ TLS, medtem ko WireGuard potrebuje javni ključ nasprotne strani, končno točko in dovoljene naslove IP. Ničesar od tega ni mogoče izpeljati iz naslova in odprtih vrat, zato tako zgrajen profil spodleti pri prvi izmenjavi in ne pri povezovanju.

Ko vam izročijo profil, ga preverite glede na končno točko, ki jo nadzorujete, ali ponudnika, ki ga lahko prepoznate:

wg show
openvpn --config client.ovpn --verb 4

V dnevniku OpenVPN napaka pri pogajanju TLS neposredno poimenuje neskladje; v wg show nasprotna stran brez vrstice rokovanja ni nikoli dokončala nobene. Oboje je bolj poučno od vrtljivega kazalnika odjemalca in oboje kaže na ključno gradivo ali protokol, ne na Tor.

Preverite, katero zaščito v resnici potrebujete

To je preverba, ki odloči arhitekturo. Brskalnik Tor vam daje izolacijo krogov in obrambo pred prstnimi odtisi, ki je VPN nima; VPN spremeni naslov, ki ga vidi cilj, in vas overi pri ponudniku. Izbira med njima je vprašanje modela groženj, ne združljivosti, in njuno mešanje ustvari nastavitev, ki je videti zasebna in ni.

Veriženje ima vrstni red. VPN, ki prenaša promet Tora, je podprta razporeditev, ker odjemalec Tora potrebuje le odhodni TCP. Odjemalec VPN, tuneliran znotraj Tora, ni isto in ni tisto, kar izvaja odjemalec Tora, zato ne načrtujte na tem.

Preden karkoli uvozite, potrdite vse štiri:

• Vrata dokončajo rokovanje vašega protokola, ne le povezavo TCP.
• Poznate vlogo gostitelja in posredovanja ne jemljete kot dovoljenje.
• Poslušalec SOCKS, ki ga uporabljate, je loopback in vaš, ne javna vrata na tujem relayu.
• Ključi ali potrdila profila pripadajo končni točki, s katero se povezujete.