VPN pred Tor: kaj vrstni red zares spremeni

Če najprej povežete VPN, nastane določena veriga: naprava, končna točka VPN, vstop Tor, krog Tor, cilj. Vaše lokalno omrežje vidi eno šifrirano povezavo do VPN, vstopno vozlišče Tor pa vidi izhod VPN kot neposredni vir namesto naslova vašega ponudnika. Upravljavec VPN pa vidi povezave proti vstopni infrastrukturi Tor in lahko iz ciljev sklepa o uporabi Tor. Vsak opazovalec nekaj izgubi in nekaj pridobi, zato je vrstni red menjava in ne nadgradnja.

Nič v tej verigi ne spremeni, kaj se spletno mesto nauči iz vašega računa, piškotkov ali vnesenih podatkov.

Kaj spremeni vrstni red

Lokalno omrežje in ponudnik internetnih storitev izgubita neposreden vpogled v vaš promet Tor, ker je prvi skok zdaj šifriran tunel do ponudnika. Vstopni stražar Tor izgubi vaš domači naslov in vidi izhod VPN. Ponudnik VPN pridobi metapodatke, ki jih je prej imel vaš ponudnik internetnih storitev: katere naslove obiskujete, ob katerih urah in koliko podatkov se pretaka.

Za vstopnim stražarjem se krog obnaša kot prej. Posredniki še vedno ločujejo vloge vstopa, sredine in izhoda, VPN pa ne vidi končne vsebine več kot vaš ponudnik internetnih storitev.

Potrdite pot, ki se dejansko uporablja

Razdeljeno tuneliranje je običajen razlog, da načrtovana veriga ni resnična.Če je Tor Browser izključen iz tunela, ali drug profil usmerja drugače, vstopni stražar spet vidi naslov ponudnika, medtem ko je vmesnik še videti povezan. Preverite pot in opaženi izhod, ne ikone.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Zahtevo SOCKS prek vrat 9150 odgovori lastni odjemalec Tor Browser, zato odgovor IsTor true potrjuje krog brskalnika, ne pa da ga uporablja vsak drug program. Vredno je zabeležiti izhod razreševalnika, ker lahko DNS odide po poti, ki je tunel ne pokriva. Shranite oba izhoda s časovnim žigom. Sta osnova za naslednjo primerjavo.

Primerjajte z neposredno zahtevo iz običajnega terminala: če tudi ta poroča o Tor, nekaj drugega preusmerja promet in veriga ni taka, kot jo je predvidevala zasnova.

Opazujte, kaj se zgodi, ko tunel pade

Odjemalec, ki tiho pade nazaj na lokalni vmesnik, spremeni vir, ki ga vidi vstopni stražar, uporabnik pa tega običajno ne ve, ker se stran še nalaga. Prav ta okvara je vredna preizkusa, ne gladka pot. Namerno prekinite tunel in opazujte, ali se promet Tor ustavi ali nadaljuje nezaščiten.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Pravila požarnega zidu, ki blokirajo odhodni promet zunaj tunela, so edini zanesljivi rezervni nadzor in morajo pokrivati tako odjemalca SOCKS brskalnika kot vsak drug program, ki vam je pomemben. Razširitev brskalnika ni VPN naprave in ne vpliva na druge programe ali zunanje opazovalce.

Odločite se, ali si dodatna plast zasluži zaupanje

Projekt Tor odsvetuje zlaganje VPN pod Tor, razen če lahko sami ocenite nastavitev. Navedeni razlog je dodatna odvisnost: še ena stran, še en račun in še en način okvare. Če je cilj preprečiti vašemu ponudniku internetnih storitev, da bi videl, da uporabljate Tor, VPN naslavlja prav tega opazovalca. Če je cilj močnejša anonimnost proti globalnemu opazovalcu, VPN te ne nudi.

Obstaja tudi obratni vrstni red in imena niso zamenljiva:Tor prek VPN in VPN prek Tor opisujeta različna razmerja zaupanja in različno vedenje ob okvari. Preberite primerjavo, preden ju zmešate.

Zapišite, katerega opazovalca poskušate premakniti, nato preverite, ali resnična pot ustreza zasnovi, nato preverite vedenje ob okvari. Če ti trije odgovori ne upravičujejo dodatnega računa in konfiguracije, ima dokumentirana nastavitev Tor Browser manj delov, ki jih je mogoče zgrešiti.