Ny Tor-krets kontra att byta VPN-server: vad som faktiskt ändras
En kretsändring flyttar Tor-vägen, medan ett serverbyte flyttar tunnelns ändpunkt. Vilken av dem som ändrar adressen en webbplats ser beror på ordningen.
Att byta Tor-krets och att byta VPN-server känns båda som att få en ny väg, men de brister på olika ställen när du behandlar dem som samma knapp. Den ena ber Tor-klienten bygga en annan väg för en webbplats, den andra ber VPN-klienten ansluta till en annan ändpunkt. Ingen av dem är en återställning, och adressen en webbplats till slut ser beror på vilken av de två som ligger närmast målet. Så här avgör jag vilken kontroll jag tar till, och vad jag kontrollerar efteråt.
Två operationer i två olika lager
Tor är ett överlägg. Klienten väljer en vaktrelä, en mittrelä och en utgångsrelä och transporterar sedan TCP-strömmar genom den kretsen; målet ser utgången och inget annat. En kretsändring är ett beslut som fattas inne i Tor om vilka reläer som transporterar en ström.
En VPN är en tunnel under. Klienten väljer en ändpunkt, lindar in trafiken i ett yttre lager, och allt som kommer efteråt ser ändpunktens adress. Ett serverbyte är ett beslut om var den yttre vägen slutar.
Eftersom lagren är oberoende kan en operation vara osynlig i andra änden av anslutningen. Den asymmetrin förklarar det mesta av förvirringen kring de här två kontrollerna.
Vad New Tor Circuit for this Site gör
New Tor Circuit for this Site stänger i webbplatsens informationspanel strömmarna som Tor transporterar för den webbplatsen och bygger en ny krets för nästa begäran. Flikar, kakor, inloggningar och resten av sessionen stannar exakt där de var, och det är poängen: du behåller sessionen och ändrar vägen.
Det gör den till rätt verktyg för ett snävt fel: en utgångsrelä som målet blockerar, en captcha-loop som följer utgången, eller en enda webbplats som hänger sig medan alla andra fungerar. Kretsvisningen i samma panel listar de tre reläerna, så du kan bekräfta att utgången verkligen ändrades i stället för att anta det.
Håll koll på vakten. Tor håller en liten uppsättning ingångsvakter, och en kretsändring återanvänder normalt samma vakt, så det första hoppet i nätverket flyttar sig inte. New Identity är den större återställningen: den stänger flikar och rensar webbläsarens tillstånd innan den bygger en ny krets, och identitetskontrollerna dokumenteras separat av en anledning: det är en annan operation med en annan kostnad.
Vad ett byte av VPN-server gör
Klienten river tunneln och ansluter till en annan ändpunkt. Nästa hopp utanför tunneln, vare sig det är en Tor-vakt eller målet självt, ser en annan källadress. Anslutningar inne i tunneln bryts och måste återupprättas, så sidor kan hänga tills de får tidsgräns i stället för att laddas om rent.
Inget ovanför tunneln skrivs om, men nedrivningen är inte osynlig. I en uppställning med VPN:en först väljs utgången fortfarande av Tor, men att släppa tunneln dödar de TCP-anslutningar som Tor håller till sin vakt, så Tor river dessa kretsar och bygger nya, och väljer utgång på nytt. Webbplatsen kan därför se en annan utgångsadress efter ett byte, även om bytet självt aldrig valde en. Det bytet avgör är adressen vakten ser, medan den återuppbyggda kretsen är det som väljer utgången på nytt. Om du bytte servrar bara för att ändra vad en webbplats ser medan Tor står framför, flyttade du ett lager som webbplatsen aldrig observerar direkt, och varje ändring webbplatsen märker kom från återuppbyggnaden, inte från bytet.
Ett byte påverkar också bara den väg klienten äger. En webbläsare som återanvänder en öppen anslutning kan se ut att sitta fast på den gamla vägen tills den återansluter, och ett cachat DNS-svar är det andra vanliga hindret. Ladda om först, bedöm sedan.
Ordningen avgör vad målet ser
De två ordningarna svarar på olika frågor. Med VPN:en framför Tor ser vakten och reläerna VPN:ens ändpunkt medan målet ser Tor-utgången. Med Tor framför VPN:en ser målet VPN:ens ändpunkt, eftersom tunneln är det sista trafiken passerar.
| Setup | Switch VPN server | Change Tor circuit |
|---|---|---|
| VPN, then Tor | Guard sees the new address; the rebuilt circuit re-chooses the exit, so the site may see a different exit, not necessarily the same one. | Site sees a new exit; the VPN endpoint is untouched. |
| Tor, then VPN | Site sees the new VPN address immediately. | Circuit is rebuilt, but the site still sees the VPN address. |
En IP-sökning rapporterar alltså vad målet såg, inte vägen som transporterade det. En tjänst som visar utgången i den ena uppställningen och VPN:en i den andra beter sig korrekt och läcker inte.
Vad ingen av operationerna gör
Ingen av dem raderar ett kontos identitet. En inloggad session är en kaka plus en post på serversidan, och en vägändring rör ingen av dem. En stabil webbläsarprofil, samma inloggning och samma fingeravtryck överlever båda åtgärderna.
Ingen av dem är heller bevis. En webbplats rapporterar en adress den observerade under en begäran; den kan inte rapportera din reläväg eller om din VPN föll tio minuter tidigare. Behöver du den tidslinjen ska du skriva ner den där och då, för den kan inte rekonstrueras från andra änden i efterhand.
Koppla kontrollen till symtomet
Börja med det som misslyckades, inte med vilken knapp som ser mer grundlig ut:
- En webbplats blockerar dig, captchor loopar, eller en enda webbplats är långsam: ny krets för den webbplatsen.
- En uppställning med bara VPN behöver en annan synlig adress: byt server.
- Du förväntade dig en utgång men webbplatsen rapporterar din VPN: kontrollera ordningen, Tor ligger bakom tunneln.
- Flikar stängda och allt återställt: du använde New Identity, inte en kretsändring.
- Utgången ser oförändrad ut efter en kretsändring: reläer får med rätta upprepas, och vakten flyttar sig inte alls.
Skriv ner åtgärden och symtomet den skulle åtgärda innan du ändrar något annat. Två byten i rad ger en jämförelse som inte går att tolka, och att upprepa båda när bara ett lager beter sig fel är hur en kontroll på fem minuter blir en hel eftermiddag.