Går Tor genom VPN:en? Vad delad tunnling ändrar

Här är övertygelsen som är värd att testa: en ansluten bricka betyder att Tors trafik först gick genom VPN:en. Slutsatsen fallerar oftare än den borde, och den fallerar tyst. En split-tunnel-matcher kan lämna Tor-processen utanför tunneln medan enheten förblir ansluten, och båda observationerna är sanna samtidigt. Ikonen rapporterar ett gränssnitt; vägen dina paket tog är en separat fråga. Svara utifrån routingen och matchern, inte utifrån brickan.

Vad en ansluten bricka bevisar, och vad den inte bevisar

En ansluten VPN betyder att ett gränssnitt är uppe och att det finns en tunnel till peeren. Tors ingångsanslutning är ett annat flöde, skapat av en annan process, och om det går in i den tunneln beror på matchern och routingtabellen som tillämpas på den. Uteslut processen och VPN:en ansluter ändå, Tor bygger ändå en krets, och ordningen du avsåg inträffade inte. De två observationerna svarar på olika frågor, därför avgör ingen av dem ensam ordningen.

Den luckan är inte en bugg i något av verktygen. Det är precis vad en uteslutningsregel är till för, och regeln skrevs förmodligen av en anledning som någon fortfarande minns.

Vilken matcher klienten tillämpar på en anslutning

Det som avgör vägen är matchern klienten tillämpar på varje anslutning: ett processnamn, ett destinationsprefix eller en route-post, beroende på klienten. En genväg på skrivbordet matchar ingen av dem, eftersom den är en startare, inte en policyenhet. Läs klientens regeluppsättning och namnge den enhet den faktiskt testar innan du resonerar om Tor. Om klienten matchar efter destination blir frågan vilka prefix som ligger inuti tunneln, inte vilket program som körs.

En destinationsbaserad regel som bara bär privata kontorsprefix är en vanlig form, och den lämnar vanliga Tor-ingångsanslutningar direkta enligt design. Det är policyn som fungerar som konfigurerad, och det är inte ordningen VPN-före-Tor, hur frisk brickan än ser ut. Skriv matchern och de uteslutna prefixen på samma rad i dina anteckningar, för det paret är regeln.

Vad som händer med Tor när tunneln faller

Ta nu bort tunneln och se vad Tor gör, för en policy som bara håller medan nätet är friskt är inte policyn du beskrev. Klienten kan neka direkt trafik medan tunneln är nere, tillåta den tyst, eller återansluta och tillämpa regeln igen ett ögonblick senare. En manuell frånkoppling och en krasch är olika händelser, och kraschen är den ingen har övat på. Testa med ofarlig trafik och notera vilket av de tre utfallen du faktiskt observerade.

Läs också klientens dokumenterade beteende, men behandla dokumentationen som en hypotes tills ditt test håller med den. Leverantörer beskriver standarden; din profil avgör undantaget.

Varför ut-gångsadressen inte kan svara på ingångsfrågan

En webbplats som nås via Tor rapporterar ut-reläets adress, vilket säger var kretsen kom ut och inget om hur första hoppet lämnade din enhet. Folk citerar den adressen som bevis för ordningen VPN-först, och den kan inte bära den vikten. Ingångsfrågan är lokal: vilket gränssnitt bar anslutningen till det första reläet, och vilken källadress VPN-peeren skulle ha sett. Svara med en route-sökning eller en paketfångst på enheten, inte med en webbplats.

Två olika vägar kan ge samma ut-land, så ett matchande resultat bevisar ännu mindre än det verkar. Jämför gränssnitt, inte geografi.

Program som aldrig ärvde webbläsarens inställningar

En dokumentvisare, en synkroniseringsklient och en pakethanterare skapar var sina egna anslutningar, och ingen av dem ärver webbläsarens proxyinställningar. Var och en följer klientens matcher, sin egen konfiguration eller systemproxyn, och kombinationen skrivs sällan ned. Så växer en undantagslista: ett program i taget, varje tillägg rimligt, tills ingen kan säga vad listan täcker. Håll i stället ett kort diagram per program, som namnger matchern, vägen och felbeteendet.

Om det extra VPN-lagret inte tjänar något syfte du kan ange, är det lättare att verifiera att lagret tas bort än att underhålla en lång undantagslista. Samtidigt Tor Projects anteckning om VPN:er närmar sig samma ordningsfråga från andra hållet. Färre rörliga delar betyder färre antaganden att testa om efter nästa klientuppdatering.