Releja dalëse e Tor kundrejt serverit dalës të VPN: çfarë di secili
Një rele dalëse e Tor dhe një server dalës VPN tregojnë të dy një adresë publike, por e ndajnë njohurinë ndryshe. Krahasoni dukshmërinë, mbulimin dhe politikën e porteve.
Të dyja ndërtimet e fshehin adresën tuaj pas një IP publike, dhe një sajt që shtyp adresën që sheh nuk mund t'i dallojë. Diferenca është kush mëson çfarë gjatë rrugës, sa trafik mbulohet dhe cilat porte lejohen të punojnë. Releja dalëse e Tor është hapi i fundit i një qarku prej tre relesh; serveri dalës VPN e përfundon tunelin tuaj dhe e hap vetë lidhjen dalëse. Ja si vendos cila i duhet një detyre, dhe çfarë kontrolloj përpara se të supozoj se njëra sillet si tjetra.
Dy rrugë që mbarojnë në një adresë
Tor ndërton një qark përmes një roje, një releje të mesme dhe një daljeje, dhe e kripton ngarkesën në shtresa, kështu që secila rele heq vetëm shtresën e vet. Dalja vendos lidhjen e zakonshme TCP me destinacionin, prandaj destinacioni sheh adresën dalëse. Klienti juaj nuk flet kurrë drejtpërdrejt me destinacionin, dhe as roja nuk e sheh atë.
Një VPN është një tunel drejt një pike të vetme fundore. Serveri i operatorit e heq tunelin dhe hap lidhjen dalëse, kështu që edhe destinacioni sheh një adresë të vetme, këtë herë atë të operatorit. Rezultati i vëzhgueshëm është i njëjtë; njohuria jo. Një test që shtyp një IP përgjigjet në cilin sistem jeni dhe nuk thotë asgjë për ndarjen e besimit që ndryshon vërtet.
Kush në fund di çfarë
Pika fundore VPN sheh adresën burimore, destinacionin, kohën dhe volumin në një vend të vetëm. Ky përqendrim është vetë projekti: një operator, një sipërfaqe regjistrash, një vend për thirrje ose konfigurim të gabuar. Çdo gjë që fitoni vjen nga besimi te ai palë dhe nga politika dalëse e pikës fundore.
Tor e ndan atë njohuri. Roja e njeh adresën tuaj, por jo destinacionin; dalja e njeh destinacionin, por jo adresën tuaj. Një rele nuk duhet t'i mësojë të dyja. Është veti strukturore, jo premtim kundër një vëzhguesi global, një releje që korrelon kohët ose një pike fundore të komprometuar, prandaj trajtojeni si një shpërndarje tjetër të të njëjtit rrezik dhe jo si anonimitet që nuk mund të dështojë.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Mbulimi është vendim shfletuesi ose vendim rruge
Shfletuesi Tor e drejton vetë trafikun e vet dhe shton mbrojtje që një klient VPN i zakonshëm nuk i riprodhon: rezistencë ndaj gjurmëve të gishtërinjve, izolim të palës së parë, një madhësi fikse dritareje dhe një veprim Identitet i ri që hedh gjendjen e sesionit. Aplikacionet e tjera nuk e përdorin atë qark nëse nuk janë konfiguruar për këtë, dhe një instalim Tor për të gjithë sistemin është projekt më vete nga instalimi i shfletuesit.
VPN ka formën e kundërt. Mbulimi ndjek tabelën e rrugëve, kështu që një profil WireGuard me AllowedIPs = 0.0.0.0/0 kap gjithçka dhe një listë tuneli të ndarë kap vetëm prefikset që përmend. Pikërisht në atë mekanizëm jetojnë edhe rrjedhjet: kërkesat DNS, IPv6 dhe WebRTC mund të marrin secila një rrugë që politika e rrugëve nuk e përfshinte. Kontrolloni nga brenda aplikacionit që dështoi, jo nga një skedë shfletuesi që mund të përdorë një ndërfaqe tjetër.
Politika e porteve, destinacionet e bllokuara dhe HTTPS
Një rele dalëse mund të refuzojë porte dalëse, dhe politika e parazgjedhur refuzon një listë portesh të prirura ndaj abuzimit, mes tyre porta SMTP 25. Prandaj një klient poste i konfiguruar përmes Tor dështon në dalje, gjë që duket si defekt rrjeti dhe nuk është. Operatorët që mbajnë një rele e vendosin këtë në mënyrë të shprehur:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Edhe destinacionet bllokojnë, dhe ata i bllokojnë dy sistemet në mënyra të ndryshme. Adresat dalëse të Tor publikohen, kështu që një sajt mund të refuzojë të gjithë listën; pikat fundore VPN ndodhen në diapazone qendrash të dhënash që refuzohen po aq lehtë. Kur një faqe dështon, ndani tre kandidatët përpara se të ndryshoni çdo gjë: politikën dalëse ose të daljes, një destinacion që refuzon burimin ose një portal rob që rrëmben kërkesën e parë.
Asnjëri sistem nuk zëvendëson kriptimin e transportit. HTTP i thjeshtë lexohet si në relenë dalëse ashtu edhe në pikën fundore VPN, prandaj mbani HTTPS të ndezur dhe lexoni paralajmërimin e certifikatës në vend që ta hidhni poshtë. Dy kontrolle e zgjidhin shpejt çështjen e rrugës: curl -s https://check.torproject.org/api/ip kthen IsTor kur kërkesa kaloi nëpër një qark, dhe curl -s https://ifconfig.me tregon adresën dalëse që do të paraqiste një VPN. Ekzekutimi i të dyjave ju tregon cilën rrugë përdor vërtet shell-i.
Mos e përdorni njërën si tjetrën
Adresa e një releje dalëse nuk është profil VPN. Drejtimi i një klienti OpenVPN ose WireGuard te një rele në portën 443 nuk krijon tunel, sepse atje nuk dëgjon asnjë shërbim VPN; releja është një hap në qarkun e dikujt tjetër. Në drejtimin tjetër, pika fundore VPN nuk është pikë hyrjeje për Tor, dhe cilësimet e urave të shfletuesit Tor nuk janë vend për të ngjitur një emër hosti të një VPN komerciale. Nëse e ekzekutoni Tor mbi një VPN, roja sheh adresën e VPN-së në vend të tuajën, gjë që ndryshon ndarjen pa bashkuar dy rolet.
Përpara se të zgjidhni, përgjigjuni katër pyetjeve me radhë: kush e drejton pikën fundore dhe çfarë mban, çfarë mbulon mjeti në këtë pajisje, cilat porte dhe destinacione lejon politika dalëse dhe çfarë shton aplikacioni përtej rrugës së rrjetit. Një detyrë që kërkon akses normal rrjeti për shumë programe do një VPN. Një detyrë që kërkon mbrojtjet në nivel shfletuesi dhe modelin e qarkut do shfletuesin Tor, të mbajtur të përditësuar. Nëse përgjigjja është «të dyja», ekzekutojini në një rend të qëllimshëm dhe shkruani cilën adresë sheh secila anë.