VPN v Tor, Tor v VPN: zakaj se veriga pretrga
Ko se VPN, Tor in proxy zložijo drug na drugega, vrstni red odloči, kaj se razreši in kaj se prenese. Poiščite prvo pretrgano mejo, preden spremenite vse tri.
Zlaganje VPN, Tora in aplikacijskega proxyja je videti kot množenje zasebnosti, v resnici pa pomnoži število mest, kjer lahko povezava umre. Običajen izid je brskalnik, ki se vrti, medtem ko se vsa tri orodja javljajo kot zdrava. Če spremenite vse tri nastavitve hkrati, s tem odstranite edino sled o tem, katero od njih laže.
Najprej narišite predvideno pot po vrstnem redu, pri čemer poimenujte, kateri program odpre vsako povezavo in katero ime se razreši na vsakem koraku.
Plasti se ne seštevajo, delujejo druga na drugo
VPN pred Torom pomeni, da vhodna povezava odjemalca Tora potuje znotraj tunela. VPN, prenesen skozi Tor, pomeni, da mora biti lastna končna točka odjemalca VPN dostopna prek Tora, kar je povsem druga zahteva. Proxy brskalnika doda še en skok, o katerem operacijski sistem ne ve ničesar. Tri postavitve, trije ločeni seznami odvisnosti.
Vsaka postavitev spremeni, kaj je mogoče razrešiti, kaj prenesti in kdo vidi prvi paket. Le ena od njih je lahko konfiguracija, ki ste jo imeli v mislih.
Na diagram dodajte tudi neposredno pot. Rezervna pot, izjema za razdeljen tunel ali obvoz proxyja lahko povzročijo, da se stran naloži, medtem ko tiho preskočijo verigo, ki ste jo želeli preizkusiti, in tak uspeh zavaja bolj kot neuspeh.
Vrstni red odloči, kaj je mogoče prenesti
Tor prenaša tokove TCP skozi svoj vmesnik SOCKS, odjemalec, ki proxy prosi za razrešitev imena gostitelja, pa iskanje zadrži znotraj kroga. UDP v običajnih konfiguracijah ne potuje tako, zato tunela WireGuard ni mogoče vgnezditi v Tor brez dodatnega posrednika TCP na sredini.
OpenVPN je mogoče prisiliti na TCP, zato je ta postavitev vsaj opisna. Je tudi počasnejši in bolj krhek, način odpovedi ob pretrganju pa je videti enako kot blokirana vrata. Pričakujte, da boste za razlikovanje teh dveh porabili več časa kot za popravilo katerega koli od njiju.
Razreševanje je druga polovica. S --socks5-hostname proxy razreši cilj, medtem ko navaden --socks5 najprej vpraša krajevni razreševalnik in ime izteče izven kroga. Prav ta ena zastavica odloči, ali iskanje imena pripada verigi ali vašemu ponudniku internetnih storitev.
| Order | What must resolve the endpoint | What usually breaks |
|---|---|---|
| VPN, then Tor | The tunnel's resolver | Entry guards blocked by the VPN provider's filters |
| Tor, then VPN | The SOCKS proxy, remotely | UDP transports, which Tor does not carry |
| App proxy on top | The application itself | Proxy bypass rules and cached connections |
Iskanje prve pretrgane meje
Preizkusite stopnje v vrstnem redu, v katerem potujejo paketi, z neškodljivimi zahtevami, in ustavite se pri prvi, ki ne uspe. Zabeležite, kateri ukaz se je izvedel prvi, ker je vrstni red del dokaza. Dva ukaza ločita mrtev krog od mrtvega izhoda:
curl -s --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip curl -4 -s https://api.ipify.org; echo
Prvi sporoči, ali se zahteva sploh zaključi skozi proxy SOCKS, drugi pa prikaže naslov, ki ga omrežje trenutno predstavlja. Če prvi ne uspe in drugi uspe, je težava pri odjemalcu Tora ali pred njim. Če uspeta oba in brskalnik še vedno ne uspe, aplikacija uporablja drugo pot kot lupina.
Stran z javnim IP naslovom prav tako opisuje le zadnji vidni izhod. Ne more povedati, koliko skokov mu je sledilo pred tem, zato jo povežite s podprtim izhodom stanja vsakega orodja, namesto da bi eno število obravnavali kot diagram.
Kdaj prenehati dodajati plasti
Če ne morete v enem stavku povedati, kaj plast prispeva, jo odstranite. Veriga, katere namen ni jasen, je veriga, ki je nihče ne more razhroščevati ob treh zjutraj, in zasebnostni pridobitek nerazloženega skoka je običajno manjši od izgubljene razpoložljivosti.
Če si plast res zasluži svoje mesto, jo najprej preizkusite samo, nato dodajte naslednjo in pot znova potrdite z istima dvema ukazoma. Pred običajno uporabo obnovite celotno verigo in pustite preverjanje TLS ter overjanje vklopljeno; opozorilo o potrdilu, sprejeto zato, da se stran naloži, je obvoz usmerjanja, ne popravilo. Zapišite vrstni red, na katerem ste se ustavili, dokler je še svež.
Zapišite ta vrstni red, vključno z razreševalnikom, ki odgovarja na vsaki stopnji. Delujoča veriga, ki jo znate opisati, preživi naslednjo posodobitev, medtem ko delujoča veriga, sestavljena s poskušanjem, izgine z njo. Dodajte datum in različice, da bo poznejšo napako mogoče primerjati z znanim dobrim stanjem, namesto da bi se o njej prepirali po spominu. Deset vrstic v besedilni datoteki prihrani večer ugibanja.