Tor përmes VPN: kush e sheh IP-në tuaj dhe kush e sheh që përdorni Tor?

Lidhni klientin VPN, prisni tunelin, pastaj hapni Tor Browser dhe lini të ndërtojë një qark. Pikërisht kjo sekuencë e zakonshme vendos kush sheh çfarë. Në këtë renditje relaja hyrëse e Tor përshëndet adresën e daljes tuaj VPN, dhe ofruesi juaj VPN përshëndet një relaj gardian publik. Bëjeni të kundërtën dhe të dy vëzhguesit ndryshojnë. Të dyja renditjet ia vlen të kalohen, sepse cilësimet e klientit e thyejnë në heshtje renditjen që njerëzit mendonin se ishte në fuqi, dhe kontrolli që e kap atë është i njëjtë në të dy rastet.

Filloni me renditjen, jo me produktin

Dy rregullime quhen «VPN me Tor», dhe vetëm i pari është i zakonshëm. Në Tor përmes VPN tuneli është tashmë lart kur Tor nis, prandaj procesi tor e dërgon lidhjen e tij gardiane në tunel si çdo trafik tjetër dalës. Në VPN përmes Tor, Tor ngrihet i pari dhe vetë sesioni VPN udhëton nëpër qark, duke arritur te ofruesi nga një dalje Tor.

Ajo që ndryshon mes tyre është cila adresë qëndron në skajin e largët të lidhjes më të jashtme. Çdo vëzhgues sheh vetëm hopin e mëparshëm, kurrë gjithë rrugën: gardiani sheh kush u lidh me të, dhe serveri VPN sheh kush u lidh me të. Tor nuk e çon adresën lokale të tunelit tuaj jashtë, dhe nuk ka fushë në protokoll ku mund ta bënte.

Në të dyja renditjet faqja e destinacionit sheh ende një dalje Tor, dhe asnjë renditje nuk ndryshon atë që ajo faqe mëson nga hyrja juaj. Diferenca kufizohet në dy skajet.

Çfarë sheh relaja hyrëse e Tor

Hyrja, ose gardiani, pranon një lidhje TCP të zakonshme në një port relaje dhe fillon një shtrëngim duarsh TLS me klientin. Në një rregullim Tor-përmes-VPN burimi i asaj lidhjeje është dalja tuaj VPN. Në një rregullim Tor-i-pari është adresa që makina juaj përdori për të arritur rrjetin Tor, zakonisht lidhja e shtëpisë tuaj.

Kjo i përgjigjet gjysmës IP të pyetjes, por vetëm nëse tuneli e mbarti vërtet lidhjen. Procesi Tor arrin gardianin me soketin e vet, dhe ai soket nuk drejtohet nga cilësimet e përfaqësuesit të Tor Browser. Shfletuesi flet me procesin tor të përfshirë përmes SOCKS në 9150, dhe pastaj tor hap lidhjen e vet duke përdorur tabelën e rrugëzimit të kernelit. Një rresht Socks5Proxy në torrc, ose një transport klienti, e ndryshojnë atë rrugë. Asgjë tjetër.

Në Linux mund ta lexoni përgjigjen nga makina. Pyetni kernelin cilin ndërfaqe do të përdorte për një adresë publike arbitrare, pastaj shikoni adresën lokale të lidhjes së vendosur:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Nëse rruga thotë dev wg0 ose dev tun0, dhe adresa lokale në lidhjen e vendosur është adresa e tunelit, Tor është brenda VPN. Nëse rruga përmend ndërfaqen tuaj fizike, është jashtë, çfarëdo që pretendon treguesi i vetë klientit.

Çfarë mund të shohë ofruesi juaj VPN

Ofruesi e përfundon sesionin tuaj VPN, prandaj sheh adresat me të cilat lidheni. Adresat e relajeve gardiane publikohen në konsensusin publik dhe portat e tyre njihen mirë, prandaj përputhja e njërës është kërkim në listë, jo inspektim i thellë paketash. Ofruesi nuk ka nevojë ta thyejë Tor për të ditur se një sesion është Tor.

Ajo që nuk sheh është pjesa tjetër e qarkut. Relaja e mesme dhe dalja zgjidhen brenda Tor, dhe ofruesi trajton vetëm lidhjen te gardiani. Përmbajtja e faqes mbetet brenda TLS që përfundon në dalje, dhe zgjidhja e emrave për trafikun Tor ndodh gjithashtu në dalje, prandaj te ofruesi nuk ka asnjë pyetje DNS për t'u korreluar me një destinacion.

Urat me obfs4 e ndryshojnë kërkimin, jo topologjinë. Adresa e urës mungon në listën publike të relajeve dhe trafiku formatohet që të mos duket si Tor, prandaj një operator që vetëm krahason adresa nuk do ta shënojë. Sesioni vjen ende nga klienti juaj VPN, dhe ofruesi sheh ende një pikë fundore, një volum dhe një orar.

Aftësia nuk është politikë mbajtjeje

Një operator që mund të vëzhgojë një lidhje nuk ka premtuar se do ta mbajë. Regjistrimi është vendim i veçantë, i shkruar në një politikë, i kufizuar nga juridiksioni dhe i verifikueshëm vetëm përmes provave që tashmë i besoni. Etiketa pa regjistra nuk e ndryshon rolin e rrjetit të përshkruar më sipër.

Identiteti i llogarisë zakonisht ka më shumë rëndësi se adresa e daljes. Nëse jeni futur me një adresë email, ose keni paguar me kartë, ofruesi mund ta lidhë sesionin me ju pa regjistruar asnjë destinacion. Rrotullimi i IP-ve të daljes nuk bën asgjë për këtë.

Kontrolloni mbulimin para se t'i besoni njërës prej dy përgjigjeve

Shumica e atyre që mendojnë se drejtojnë Tor përmes VPN drejtojnë vetëm një pjesë të tij. Tunelimi i ndarë që përjashton Tor Browser, çelësi vrasës që mbulon shfletuesin por jo shërbimin tor, njësia e nisjes që punon para se tuneli të ngrihet, dhe rruga IPv6 rreth tunelit janë katër të zakonshmet.

Leximi i ekranit të statusit të klientit nuk teston asnjë prej tyre. Testi që e bën: lëreni Tor Browser duke punuar, ulni tunelin dhe shikoni nëse lidhja gardiane mbijeton në ndërfaqen fizike.

Renditja në të cilën kontrolloj, duke u ndalur në dështimin e parë:

• ip route get 203.0.113.10 kthen pajisjen e tunelit.
• ss -tnp | grep -i tor tregon lidhjen gardiane me një adresë lokale tuneli.
• ip -6 route nuk ka rrugë të paracaktuar jashtë tunelit, ose IPv6 është i fikur në klient.
• Ulja e VPN e përfundon ose e ridrejton lidhjen tor në vend që ta lërë në lidhjen fizike.

Cila renditje i përshtatet asaj që mbroni

Të dyja renditjet fshehin diçka dhe ekspozojnë diçka, prandaj përgjigjja është një zgjedhje për vëzhguesin që ju intereson.

Lexojeni sipas kolonave derisa një rresht të përputhet me atë që po përpiqeni të parandaloni. Nëse shqetësimi është një rrjet lokal ose një ISP që regjistron ose bllokon Tor, Tor përmes VPN merret me të. Nëse shqetësimi është që operatori VPN të mësojë adresën tuaj të shtëpisë, VPN përmes Tor merret me të, dhe e paguan duke ekspozuar përdorimin e Tor rrjetit tuaj dhe adresën e shtëpisë gardianit.

Asnjë rregullim nuk i lë të dy skajet verbër. Shtimi i një vëzhguesi nuk heq një tjetër. Shënimi i Tor Project për drejtimin e një VPN me Tor thotë të njëjtën gjë nga ana tjetër: tuneli ndryshon kujt i besohet dhe cilat rrugë dështimi ekzistojnë, prandaj nuk është një përmirësim që shtohet pa vendosur çfarë doje të fshihje.

Vendosni së pari vëzhguesin, zgjidhni së dyti renditjen, dhe verifikoni me ip route get dhe ss në vend të treguesit të klientit. Nëse vëzhguesi është dikush që mund ta detyrojë vetë ofruesin VPN, asnjë zgjedhje renditjeje nuk e rregullon atë.