Tor преко VPN-а: ко види вашу IP адресу и ко види да користите Tor?

Повежете VPN клијент, сачекате тунел, затим отворите Tor Browser и пустите га да изгради круг. Управо тај обичан редослед одлучује ко шта види. У том редоследу Tor улазни релеј поздравља адресу вашег VPN излаза, а ваш VPN провајдер поздравља јавни заштитни релеј. Урадите обрнуто и оба посматрача се мењају. Оба редоследа вреди проћи, јер поставке клијента тихо ломе редослед за који су људи веровали да постоји, а провера која то хвата иста је у оба случаја.

Почните од редоследа, не од производа

Два распореда се називају „VPN са Tor-ом“, и само је први уобичајен. Код Tor-а преко VPN-а тунел је већ подигнут када Tor стартује, па tor процес шаље своју везу са чуваром у тунел као и сваки други излазни саобраћај. Код VPN-а преко Tor-а прво се диже Tor и сама VPN сесија путује кроз круг, стижући до провајдера са Tor излаза.

Оно што се мења између њих је која адреса стоји на даљем крају најспољније карике. Сваки посматрач види само претходни скок, никада цео пут: чувар види онога ко се са њим повезао, а VPN сервер види онога ко се са њим повезао. Tor не носи вашу локалну адресу тунела напоље и у протоколу нема поља где би то могао.

У оба редоследа одредишни веб-сајт и даље види Tor излаз и ниједан редослед не мења шта тај сајт научи из ваше пријаве. Разлика је ограничена на две ивице.

Шта види Tor улазни релеј

Улаз, или чувар, прихвата обичну TCP везу на релеј порту и почиње TLS руковање са клијентом. У постави Tor-преко-VPN-а извор те везе је ваш VPN излаз. У постави Tor-први то је адреса коју је ваше рачунало користило да достигне Tor мрежу, обично ваша кућна веза.

То одговара на IP половину питања, али само ако је тунел заиста пренео везу. Tor процес достиже чувара својим сопственим сокетом, а тај сокет није под контролом прокси поставки Tor Browser-а. Прегледач разговара са уграђеним tor процесом преко SOCKS-а на 9150, а затим tor отвара сопствену везу користећи табелу рутирања језгра. Линија Socks5Proxy у torrc-у, или клијентски транспорт, мењају тај пут. Ништа друго.

На Linux-у одговор можете прочитати са машине. Питајте језгро који би интерфејс користило за произвољну јавну адресу, затим погледајте локалну адресу успостављене везе:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Ако рута каже dev wg0 или dev tun0, а локална адреса на успостављеној вези је адреса тунела, Tor је унутар VPN-а. Ако рута наводи ваш физички интерфејс, он је напољу, шта год тврдио сопствени индикатор клијента.

Шта може видети ваш VPN провајдер

Провајдер завршава вашу VPN сесију, па види адресе са којима се повезујете. Адресе заштитних релеја објављују се у јавном консензусу и њихови портови су добро познати, па је упаривање једне претрага списка, а не дубока инспекција пакета. Провајдер не мора да сломи Tor да би знао да је сесија Tor.

Оно што не види је остатак круга. Средњи релеј и излаз бирају се унутар Tor-а, а провајдер обрађује само карику до чувара. Садржај странице остаје унутар TLS-а који се завршава на излазу, а разрешавање имена за Tor саобраћај такође се дешава на излазу, па нема ниједног DNS упита код провајдера који би се могао повезати са одредиштем.

Мостови са obfs4 мењају претрагу, не топологију. Адреса моста нема на јавном списку релеја и саобраћај се обликује да не изгледа као Tor, па га оператер који само пореди адресе неће означити. Сесија и даље долази са вашег VPN клијента, а провајдер и даље види једну крајњу тачку, један обим и један распоред.

Способност није политика задржавања

Оператер који може да посматра везу није обећао да ће је чувати. Логовање је одвојена одлука, записана у политици, ограничена јурисдикцијом и проверљива само кроз доказе којима већ верујете. Ознака без логова не мења мрежну улогу описану горе.

Идентитет налога обично је важнији од адресе излаза. Ако сте се пријавили имејл адресом или платили картицом, провајдер може да веже сесију за вас без логовања иједног одредишта. Ротирање излазних IP адреса не чини ништа у вези с тим.

Проверите покривеност пре него што поверујете било ком од два одговора

Већина људи који верују да возе Tor преко VPN-а вози само део тога. Подељено тунелирање које искључује Tor Browser, прекидач који покрива прегледач али не и tor услугу, стартна јединица која се покреће пре него што је тунел подигнут, и IPv6 путања око тунела уобичајена су четири.

Читање екрана стања клијента не тестира ниједан од њих. Тест који то ради: оставите Tor Browser да ради, спустите тунел и гледајте да ли веза са чуваром преживљава на физичком интерфејсу.

Редослед у ком проверавам, заустављајући се на првом неуспеху:

• ip route get 203.0.113.10 враћа уређај тунела.
• ss -tnp | grep -i tor приказује везу са чуваром са локалном адресом тунела.
• ip -6 route нема подразумевану руту изван тунела, или је IPv6 искључен у клијенту.
• Искључивање VPN-а прекида или преусмерава tor везу уместо да је остави на физичкој карици.

Који редослед одговара ономе што браните

Оба редоследа нешто скривају и нешто откривају, па је одговор избор о посматрачу до којег вам је стало.

Читајте по колони док ред не одговори ономе што покушавате да спречите. Ако је брига локална мрежа или ISP који бележи или блокира Tor, Tor преко VPN-а то решава. Ако је брига да VPN оператер сазна вашу кућну адресу, VPN преко Tor-а то решава и плаћа за то излажући коришћење Tor-а вашој сопственој мрежи, а кућну адресу чувару.

Ниједан распоред не оставља обе ивице слепе. Додавање посматрача не уклања другог. Напомена Tor Project-а о покретању VPN-а са Tor-ом каже исту ствар са друге стране: тунел мења коме се верује и које путање отказа постоје, па није надоградња коју додајете без одлуке о томе шта сте хтели да сакријете.

Прво одлучите о посматрачу, друго бирајте редослед и проверавајте са ip route get и ss, а не са индикатором клијента. Ако је посматрач неко ко може да присили самог VPN провајдера, никакав избор редоследа то не исправља.