VPN пре Tor-а: шта редослед заиста мења

Прво повезивање VPN-а ствара одређени ланац: уређај, крајња тачка VPN-а, улаз Tor-а, коло Tor-а, одредиште. Ваша локална мрежа види једну шифровану везу ка VPN-у, а улазни чвор Tor-а види излаз VPN-а као непосредни извор уместо адресе вашег провајдера. Оператер VPN-а, пак, види везе ка улазној инфраструктури Tor-а и може да закључи о коришћењу Tor-а из одредишта. Сваки посматрач губи нешто и добија нешто, зато је редослед размена, а не надградња.

Ништа у том ланцу не мења шта сајт сазнаје из вашег налога, колачића или откуцаних података.

Шта редослед мења

Локална мрежа и ISP губе директну видљивост вашег Tor саобраћаја, јер је први скок сада шифровани тунел до провајдера. Улазни чувар Tor-а губи вашу кућну адресу и види излаз VPN-а. Провајдер VPN-а добија метаподатке које је раније имао ваш ISP: које адресе контактирате, у које време и колико података се креће.

Иза улазног чувара коло се понаша као раније. Релеји и даље раздвајају улоге улаза, средине и излаза, а VPN не види коначни садржај више него ваш ISP.

Потврдите пут који се заиста користи

Подељено тунеловање је уобичајен разлог зашто планирани ланац није стварни.Ако је Tor Browser искључен из тунела, или други профил усмерава другачије, улазни чувар поново види адресу провајдера док интерфејс још изгледа повезан. Проверите руту и запажени излаз, а не икону.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

На SOCKS захтев кроз порт 9150 одговара сопствени клијент Tor Browser-а, па одговор IsTor true потврђује коло прегледача, а не да га користи сваки други програм. Вреди забележити излаз резолвера, јер DNS може изаћи путем који тунел не покрива. Сачувајте оба излаза са временском ознаком. Они су основа за следеће поређење.

Упоредите са директним захтевом из обичног терминала: ако и он пријављује Tor, нешто друго преусмерава саобраћај и ланац није онакав какав је дизајн претпоставио.

Гледајте шта се дешава када тунел падне

Клијент који тихо падне назад на локални интерфејс мења извор који улазни чувар види, а корисник то обично не зна јер се страница још учитава. Управо тај квар вреди тестирати, а не глатки пут. Намерно прекините тунел и гледајте да ли се Tor саобраћај зауставља или наставља незаштићен.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Правила заштитног зида која блокирају одлазни саобраћај изван тунела једини су поуздани резервни контрол и морају да покрију и SOCKS клијента прегледача и сваки други програм који вам је важан. Екстензија прегледача није VPN уређаја и не утиче на друге програме или спољне посматраче.

Одлучите да ли додатни слој заслужује поверење

Пројекат Tor саветује да не слажете VPN испод Tor-а осим ако сами не можете да процените подешавање. Наведени разлог је додатна зависност: још једна страна, још један налог и још један режим квара. Ако је циљ да ваш ISP не види да користите Tor, VPN се обраћа управо том посматрачу. Ако је циљ јача анонимност против глобалног посматрача, VPN је не пружа.

Постоји и обрнути редослед, а имена нису заменљива:Tor преко VPN-а и VPN преко Tor-а описују различите односе поверења и различито понашање при квару. Прочитајте поређење пре него што их помешате.

Запишите ког посматрача покушавате да померите, затим проверите да стварни пут одговара дизајну, затим проверите понашање при квару. Ако та три одговора не оправдавају додатни налог и конфигурацију, документовано подешавање Tor Browser-а има мање делова који могу да се погреше.