Rele Tor kundrejt serverit VPN: pse nuk janë të këmbyeshëm

Keni një adresë, porti përgjigjet dhe një klient e pranon pa asnjë ankesë. Asnjë prej këtyre nuk e bën një rele Tor pikë fundore VPN, dhe gabimi është i shtrenjtë sepse profili importohet pastër dhe dështon më vonë në shtrëngimin e duarve. Unë përdor katër kontrollet më poshtë me radhë; secila ka një kusht ndalimi, dhe ndalimi i hershëm është pikërisht qëllimi. Nëse kontrolli i parë dështon, të tjerët nuk mund t'ju ndihmojnë.

Kontrolloni çfarë shërben porti në të vërtetë

Një port i hapur provon një dëgjues, asgjë më shumë. ORPort i një releje flet qelizat e vetë Tor pas një shtrëngimi duarsh TLS, prandaj një provë e suksesshme TLS pothuajse nuk ju thotë asgjë nëse atje pranohet një protokoll VPN:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Lexoni certifikatën, jo faktin që ekziston një. Reletë paraqesin një certifikatë të vetë-nënshkruar me një emër të qëllimshëm të pavërejtshëm, sepse trafiku i relesë duhet të ngjajë me HTTPS të zakonshëm; certifikata e një serveri VPN mban emrin që pret profili juaj. Nëse pala tjetër nuk përgjigjet kurrë ndaj paketës së parë të protokollit VPN, asnjë sasi redaktimi i profilit nuk do ta ndryshojë rezultatin.

Ndaloni këtu nëse adresa nuk e përfundon shtrëngimin e duarve që dërgon klienti juaj. Kjo është përgjigje protokolli, jo problem konfigurimi, dhe është arsyeja më e zakonshme pse një profil i importuar mbetet përgjithmonë në 'connecting'.

Kontrolloni rolin e relesë, jo madhësinë e rrjetit

Rolet e relesë bëjnë punë të ndryshme. Guard është kërcimi i parë për klientët, releja e mesme përçon qarqet mes releve të tjera, exit është ajo që prek destinacionet, dhe ura është një pikë hyrjeje jo publike e shpërndarë përmes BridgeDB. Fjalorthi i Tor i mban ato përkufizime të ndara, dhe të qenit i arritshëm është pjesë e çdo roli, ndërsa leja për të shërbyer klientë arbitrarë nuk është pjesë e asnjërës prej tyre.

Politika e exit meriton lexim sepse është pjesa e vetme që i ngjan një rregulli përçimi, dhe ajo rregullon destinacionet që exiti do të lejojë të dalin, jo klientët që lejohen të hyjnë. Një politikë exit restriktive që bllokon portin 25 thotë diçka për kontrollin e abuzimit në dalje, jo për atë nëse mund të drejtoni një klient OpenVPN drejt makinës.

Ndaloni nëse arsyetoni nga reputacioni: meqë reletë përçojnë trafik, adresa duhet të pranojë tuajin. Tor zgjedh shtigjet përmes konsensusit dhe protokollit të vet; një klient VPN nuk është pjesëmarrës dhe nuk ka qark për t'u bashkuar.

Kontrolloni nëse dëgjuesi SOCKS është lokal apo publik

Klienti i Tor ekspozon një ndërfaqe SOCKS për aplikacionet në të njëjtën makinë, si parazgjedhje në loopback. Ai dëgjues është një komoditet lokal, jo një shërbim që një rele i ofron internetit, dhe trajtimi i tij si proxy publik është mënyra se si njerëzit përfundojnë duke drejtuar një rele të hapur që nuk e kishin ndërmend:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Adresa e lidhjes është treguesi. Një SocksPort në 127.0.0.1:9050 po bën punën e vet; një që dëgjon në 0.0.0.0 dhe është i arritshëm nga jashtë është proxy i hapur, dhe kontrollet e politikës së aksesit të vetë Tor ekzistojnë pikërisht sepse ai ekspozim është problem dhe jo veçori.

Për një aplikacion që ka nevojë për Tor, drejtojeni atë te porti loopback dhe lërini Tor të zgjidhë emrat, çka bën forma socks5h më sipër. Mos e zëvendësoni adresën e relesë me atë port; releja nuk ofron ndërfaqen që kërkon aplikacioni juaj.

Kontrolloni që profili VPN përputhet me një pikë fundore reale

Një profil VPN është një tufë pritshmërish: OpenVPN ka nevojë për certifikatën e serverit ose CA, një certifikatë klienti dhe një çelës, dhe zakonisht një çelës TLS, ndërsa WireGuard ka nevojë për çelësin publik të palës tjetër, një pikë fundore dhe IP të lejuara. Asnjë prej këtyre nuk mund të nxirret nga një adresë dhe një port i hapur, prandaj një profil i ndërtuar kështu dështon në shkëmbimin e parë dhe jo gjatë lidhjes.

Kur ju dorëzohet një profil, verifikojeni kundrejt një pikë fundore që ju kontrolloni ose një ofruesi që mund ta identifikoni:

wg show
openvpn --config client.ovpn --verb 4

Në regjistrin e OpenVPN, një gabim negociimi TLS emërton drejtpërdrejt mospërputhjen; në wg show, pala tjetër pa rresht shtrëngimi duarsh nuk ka përfunduar kurrë një. Të dyja janë më informuese se treguesi rrotullues i klientit, dhe të dyja tregojnë materialin e çelësit ose protokollin, jo Tor.

Kontrolloni çfarë mbrojtjeje ju nevojitet në të vërtetë

Ky është kontrolli që vendos arkitekturën. Shfletuesi Tor ju jep izolim qarku dhe mbrojtje ndaj gjurmëve të gishtërinjve që një VPN nuk i ka; një VPN ndryshon adresën që sheh një destinacion dhe ju vërteton te një ofrues. Zgjedhja mes tyre është çështje modeli kërcënimi, jo përputhshmërie, dhe përzierja e tyre prodhon një konfigurim që duket privat dhe nuk është.

Zinxhirimi ka një rend. Një VPN që mbart trafikun e Tor është një rregullim i mbështetur, sepse klienti i Tor ka nevojë vetëm për TCP në dalje. Një klient VPN i tunelizuar brenda Tor nuk është e njëjta gjë dhe nuk është ajo që zbaton klienti i Tor, prandaj mos planifikoni mbi atë bazë.

Përpara se të importoni çdo gjë, konfirmoni të katërtat:

• Porti e përfundon shtrëngimin e duarve të protokollit tuaj, jo vetëm një lidhje TCP.
• Ju e njihni rolin e hostit dhe nuk e trajtoni përçimin si leje.
• Dëgjuesi SOCKS që përdorni është loopback dhe i juaji, jo një port publik në relenë e dikujt tjetër.
• Çelësat ose certifikatat e profilit i përkasin pikës fundore me të cilën lidheni.