Tor реле наспрам VPN сервера: зашто нису заменљиви

Отворен порт на Tor релеу није VPN крајња тачка. Прво проверите шта порт опслужује, улогу релеа, обухват SOCKS слушаоца и профил.

Имате адресу, порт одговара и клијент је прихвата без икакве жалбе. Ништа од тога не чини Tor реле VPN крајњом тачком, а грешка је скупа јер се профил увози чисто и касније пада при руковању. Користим четири провере испод по реду; свака има услов за заустављање, а рано заустављање је управо поента. Ако прва провера не успе, остале вам не могу помоћи.

Проверите шта порт заиста опслужује

Отворен порт доказује слушаоца, ништа више. ORPort релеа говори сопственим ћелијама Tor-а након TLS руковања, тако да успешна TLS провера готово ништа не говори о томе да ли се тамо прихвата VPN протокол:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Читајте сертификат, а не чињеницу да постоји. Релеи представљају самопотписани сертификат са намерно неприметним именом, јер саобраћај релеа треба да личи на обичан HTTPS; сертификат VPN сервера носи име које ваш профил очекује. Ако друга страна никада не одговори на први пакет VPN протокола, никакво уређивање профила неће променити исход.

Зауставите се овде ако адреса не заврши руковање које шаље ваш клијент. То је одговор протокола, а не проблем конфигурације, и то је најчешћи разлог зашто увезени профил заувек остаје на 'connecting'.

Проверите улогу релеа, а не величину мреже

Улоге релеа обављају различите послове. Guard је први скок за клијенте, средњи реле прослеђује кругове између других релеа, exit је онај који дотиче одредишта, а мост је нејавна улазна тачка која се дели кроз BridgeDB. Речник Tor-а држи те дефиниције одвојено, а доступност је део сваке улоге, док дозвола да служите произвољним клијентима није део ниједне од њих.

Exit политика вреди читања јер је једини део који личи на правило прослеђивања, и она уређује одредишта којима exit допушта излаз, а не клијенте којима је дозвољен улаз. Рестриктивна exit политика која блокира порт 25 говори нешто о контроли злоупотребе одлазног саобраћаја, а не о томе да ли смемо да усмерите OpenVPN клијент на машину.

Зауставите се ако закључујете из репутације: пошто релеи прослеђују саобраћај, адреса мора да прихвати ваш. Tor бира путеве кроз консензус и сопствени протокол; VPN клијент није учесник и нема круг коме би се придружио.

Проверите да ли је SOCKS слушалац локалан или јаван

Клијент Tor-а излаже SOCKS интерфејс апликацијама на истој машини, према подразумеваном на loopback-у. Тај слушалац је локална погодност, а не услуга коју реле нуди интернету, и третирање као јавног проксија је пут којим људи заврше са отвореним релеом који нису намеравали:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Адреса везивања је показатељ. SocksPort на 127.0.0.1:9050 ради свој посао; онај који слуша на 0.0.0.0 и доступан је споља је отворени прокси, а сопствене контроле политике приступа Tor-а постоје управо зато што је то излагање проблем, а не функција.

За апликацију којој је потребан Tor, усмерите је на loopback порт и пустите Tor да решава имена, што ради облик socks5h горе. Не замењујте адресу релеа тим портом; реле не нуди интерфејс који ваша апликација тражи.

Проверите да VPN профил одговара стварној крајњој тачки

VPN профил је скуп очекивања: OpenVPN тражи сертификат сервера или CA, клијентски сертификат и кључ, и обично TLS кључ, док WireGuard тражи јавни кључ друге стране, крајњу тачку и дозвољене IP адресе. Ништа од тога не може се извести из адресе и отвореног порта, зато профил тако изграђен пада при првој размени, а не при повезивању.

Када вам предају профил, проверите га према крајњој тачки коју контролишете или пружаоцу кога можете да препознате:

wg show
openvpn --config client.ovpn --verb 4

У дневнику OpenVPN-а грешка TLS преговарања директно именује неслагање; у wg show друга страна без линије руковања никада није завршила ниједну. Обе су информативније од клијентовог обртног индикатора, и обе указују на кључни материјал или протокол, а не на Tor.

Проверите која заштита вам је заиста потребна

Ово је провера која одлучује архитектуру. Tor Browser вам даје изолацију кругова и одбрану од отисака прстију коју VPN нема; VPN мења адресу коју одредиште види и аутентификује вас код пружаоца. Избор између њих је питање модела претњи, а не компатибилности, а њихово мешање ствара поставку која изгледа приватно и није.

Ланчано повезивање има редослед. VPN који носи Tor саобраћај је подржано уређење, јер клијенту Tor-а треба само одлазни TCP. VPN клијент тунелиран унутар Tor-а није исто и није оно што Tor клијент примењује, зато не планирајте на основу тога.

Пре него што било шта увезете, потврдите све четири:

  • Порт завршава руковање вашег протокола, не само TCP везу.
  • Знате улогу домаћина и не сматрате прослеђивање дозволом.
  • SOCKS слушалац који користите је loopback и ваш, а не јавни порт на туђем релеу.
  • Кључеви или сертификати профила припадају крајњој тачки са којом се повезујете.

Повезани чланци