Излазни релеј Tor наспрам излазног сервера VPN: шта свако зна
Излазни релеј Tor и излазни сервер VPN показују обе једну јавну адресу, али знање деле другачије. Упоредите видљивост, покривеност и политику портова.
Оба решења крију вашу адресу иза једне јавне IP адресе, а сајт који испише адресу коју види не може их разликовати. Разлика је у томе ко шта сазна на путу, колико је саобраћаја покривено и који портови смеју да раде. Излазни релеј Tor је последњи скок круга од три релеја; излазни сервер VPN прекида ваш тунел и сам успоставља одлазну везу. Ево како одлучујем који је потребан задатку и шта проверавам пре него што претпоставим да се један понаша као други.
Два пута која се завршавају на једној адреси
Tor гради круг кроз чувара, средњи релеј и излаз и шифрује терет у слојевима, тако да сваки релеј скида само свој слој. Излаз успоставља обичну TCP везу са одредиштем, зато одредиште види излазну адресу. Ваш клијент никада не разговара директно са одредиштем, а ни чувар га не види.
VPN је један тунел до једне крајње тачке. Сервер оператера уклања тунел и отвара одлазну везу, па и одредиште види једну адресу, овог пута оператерову. Видљив резултат је исти; знање није. Тест који испише IP одговара на ком сте систему и ништа не говори о подели поверења која се заиста разликује.
Ко на крају шта зна
VPN крајња тачка види изворну адресу, одредиште, време и обим на једном месту. Та концентрација је дизајн: један оператер, једна површина записа, једно место за позив или лошу конфигурацију. Све што добијете долази из поверења у ту страну и из одлазне политике крајње тачке.
Tor дели то знање. Чувар зна вашу адресу, али не одредиште; излаз зна одредиште, али не вашу адресу. Релеј не треба да научи обоје. То је структурна особина, а не обећање против глобалног посматрача, релеја који повезује времена или компромитоване крајње тачке, па је третирајте као другачију расподелу истог ризика, а не као анонимност која не може да закаже.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Покривеност је одлука прегледача или руте
Tor прегледач усмерава сопствени саобраћај и додаје заштите које генерички VPN клијент не репродукује: отпор отисцима, изолацију прве стране, фиксну величину прозора и радњу Нови идентитет која одбацује стање сесије. Друге апликације не користе тај круг ако нису тако конфигурисане, а системска Tor поставка је засебан пројекат од инсталације прегледача.
VPN је супротног облика. Покривеност прати табелу рута, па WireGuard профил са AllowedIPs = 0.0.0.0/0 хвата све, а листа за подељени тунел хвата само префиксе које наводи. Управо у том механизму живе и цурења: DNS упити, IPv6 и WebRTC могу сваки да узме пут који политика рута није обухватила. Проверавајте изнутра апликације која није успела, а не из картице прегледача која можда користи друго сучеље.
Политика портова, блокирана одредишта и HTTPS
Излазни релеј слободно одбија одлазне портове, а подразумевана политика одбацује листу портова склоних злоупотреби, међу њима SMTP порт 25. Зато поштански клијент конфигурисан кроз Tor пада на излазу, што изгледа као мрежни квар и није. Оператери који држе релеј то изричито постављају:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Одредишта такође блокирају, и то два система блокирају различито. Tor излазне адресе су објављене, па страница може да одбије целу листу; VPN крајње тачке седе у распонима дата центара који се одбијају једнако лежерно. Када страница не успе, раздвојте три кандидата пре него што било шта промените: излазну или одлазну политику, одредиште које одбија извор или captive портал који отима први захтев.
Ниједан систем не замењује транспортно шифровање. Обичан HTTP је читљив и на излазном релеју и на VPN крајњој тачки, па држите HTTPS укључен и прочитајте упозорење о сертификату уместо да га одбаците. Две провере брзо решавају питање руте: curl -s https://check.torproject.org/api/ip враћа IsTor када је захтев прошао кроз круг, а curl -s https://ifconfig.me показује одлазну адресу коју би VPN представио. Покретање обе каже вам којим путем љуска заиста иде.
Не користите једно као друго
Адреса излазног релеја није VPN профил. Усмеравање OpenVPN или WireGuard клијента на релеј на порту 443 не ствара тунел, јер тамо не слуша никаква VPN услуга; релеј је скок у туђем кругу. У другом смеру, VPN крајња тачка није улазна тачка за Tor, а поставке мостова у Tor прегледачу нису место за лепљење hostname-а комерцијалног VPN-а. Ако возите Tor преко VPN-а, чувар види VPN адресу уместо ваше, што мења поделу без спајања две улоге.
Пре избора одговорите на четири питања по реду: ко управља крајњом тачком и шта задржава, шта алат покрива на овом уређају, које портове и одредишта одлазна политика дозвољава и шта апликација додаје изнад мрежног пута. Задатак коме треба обичан мрежни приступ за многе програме тражи VPN. Задатак коме требају заштите на нивоу прегледача и модел круга тражи Tor прегледач, одржаван ажурним. Ако је одговор „оба“, возите их у намерном реду и запишите коју адресу види свака страна.