รีเลย์ทางออก Tor กับเซิร์ฟเวอร์ทางออก VPN: แต่ละฝ่ายรู้อะไร
รีเลย์ทางออก Tor และเซิร์ฟเวอร์ทางออก VPN ต่างก็แสดงที่อยู่สาธารณะหนึ่งเดียว แต่แบ่งความรู้ต่างกัน เปรียบเทียบการมองเห็น ความครอบคลุม และนโยบายพอร์ต
ทั้งสองดีไซน์ซ่อนที่อยู่ของคุณไว้หลัง IP สาธารณะหนึ่งเดียว และเว็บไซต์ที่พิมพ์ที่อยู่ที่เห็นก็แยกทั้งสองไม่ออก ความต่างอยู่ที่ใครเรียนรู้อะไรระหว่างทาง มีการครอบคลุมทราฟฟิกมากแค่ไหน และพอร์ตใดได้รับอนุญาตให้ทำงาน รีเลย์ทางออก Tor คือการกระโดดสุดท้ายของวงจรสามรีเลย์ ส่วนเซิร์ฟเวอร์ทางออก VPN ยุติอุโมงค์ของคุณและเปิดการเชื่อมต่อขาออกเอง นี่คือวิธีที่ฉันตัดสินว่างานหนึ่งต้องใช้อะไร และสิ่งที่ตรวจสอบก่อนจะถือว่าฝ่ายหนึ่งทำงานเหมือนอีกฝ่าย
สองเส้นทางที่สิ้นสุดที่ที่อยู่เดียว
Tor สร้างวงจรผ่านผู้เฝ้า รีเลย์กลาง และทางออก และเข้ารหัสเพย์โหลดเป็นชั้น ๆ เพื่อให้แต่ละรีเลย์ลอกเฉพาะชั้นของตน ทางออกสร้างการเชื่อมต่อ TCP ปกติไปยังปลายทาง จึงเป็นเหตุให้ปลายทางเห็นที่อยู่ของทางออก ไคลเอนต์ของคุณไม่เคยพูดกับปลายทางโดยตรง และผู้เฝ้าก็ไม่เห็นเช่นกัน
VPN คืออุโมงค์หนึ่งไปยังจุดปลายทางหนึ่ง เซิร์ฟเวอร์ของผู้ให้บริการถอดอุโมงค์และเปิดการเชื่อมต่อขาออก ปลายทางจึงเห็นที่อยู่เดียวเช่นกัน คราวนี้เป็นของผู้ให้บริการ ผลลัพธ์ที่สังเกตได้เหมือนกัน แต่ความรู้ไม่เหมือน การทดสอบที่พิมพ์ IP บอกว่าคุณอยู่ระบบไหน และไม่บอกอะไรเกี่ยวกับการแบ่งความไว้วางใจที่ต่างกันจริง
สุดท้ายใครรู้อะไร
จุดปลายทาง VPN เห็นที่อยู่ต้นทาง ปลายทาง เวลา และปริมาณในที่เดียว ความรวมศูนย์นั้นคือดีไซน์ ผู้ให้บริการรายเดียว พื้นที่บันทึกเดียว จุดเดียวสำหรับหมายเรียกหรือการตั้งค่าผิดพลาด ทุกอย่างที่คุณได้มาจากการไว้วางใจฝ่ายนั้นและนโยบายขาออกของจุดปลายทาง
Tor แบ่งความรู้นั้น ผู้เฝ้ารู้ที่อยู่ของคุณแต่ไม่รู้ปลายทาง ทางออกรู้ปลายทางแต่ไม่รู้ที่อยู่ของคุณ รีเลย์ไม่ควรเรียนรู้ทั้งสองอย่าง นี่คือคุณสมบัติเชิงโครงสร้าง ไม่ใช่คำสัญญาต่อผู้สังเกตระดับโลก รีเลย์ที่เชื่อมโยงเวลา หรือจุดปลายทางที่ถูกบุกรุก ดังนั้นจงมองมันเป็นการกระจายความเสี่ยงเดียวกันในอีกรูปแบบ ไม่ใช่การไม่ระบุตัวตนที่ล้มเหลวไม่ได้
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
ความครอบคลุมเป็นการตัดสินใจของเบราว์เซอร์หรือของเส้นทาง
เบราว์เซอร์ Tor กำหนดเส้นทางทราฟฟิกของตัวเองและเพิ่มการป้องกันที่ไคลเอนต์ VPN ทั่วไปไม่ทำซ้ำ การต้านทานลายนิ้วมือ การแยกฝ่ายแรก ขนาดหน้าต่างคงที่ และการกระทำตัวตนใหม่ที่ทิ้งสถานะเซสชัน แอปพลิเคชันอื่นไม่ใช้วงจรนั้นเว้นแต่จะตั้งค่าให้ทำ และการติดตั้ง Tor ทั้งระบบเป็นโครงการแยกจากการติดตั้งเบราว์เซอร์
VPN มีรูปร่างตรงกันข้าม ความครอบคลุมเป็นไปตามตารางเส้นทาง โปรไฟล์ WireGuard ที่มี AllowedIPs = 0.0.0.0/0 จึงจับทุกอย่าง และรายการอุโมงค์แยกจับเฉพาะคำนำหน้าที่ระบุ การรั่วไหลก็อาศัยอยู่ในกลไกนั้น คำถาม DNS, IPv6 และ WebRTC แต่ละอย่างสามารถเดินเส้นทางที่นโยบายเส้นทางไม่ได้รวมไว้ ตรวจจากภายในแอปพลิเคชันที่ล้มเหลว ไม่ใช่จากแท็บเบราว์เซอร์ที่อาจใช้อินเทอร์เฟซอื่น
นโยบายพอร์ต ปลายทางที่ถูกบล็อก และ HTTPS
รีเลย์ทางออกมีสิทธิ์ปฏิเสธพอร์ตขาออก และนโยบายเริ่มต้นปฏิเสธรายการพอร์ตที่เสี่ยงต่อการใช้งานในทางที่ผิด รวมถึงพอร์ต SMTP 25 ไคลเอนต์อีเมลที่ตั้งค่าผ่าน Tor จึงล้มเหลวที่ทางออก ซึ่งดูเหมือนความผิดพลาดของเครือข่ายและไม่ใช่ ผู้ให้บริการที่ดูแลรีเลย์กำหนดสิ่งนี้อย่างชัดเจน:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25ปลายทางก็บล็อกเช่นกัน และบล็อกสองระบบต่างกัน ที่อยู่ทางออก Tor ถูกเผยแพร่ เว็บไซต์จึงปฏิเสธทั้งรายการได้ จุดปลายทาง VPN อยู่ในช่วงศูนย์ข้อมูลที่ถูกปฏิเสธง่ายพอ ๆ กัน เมื่อหน้าเว็บล้มเหลว ให้แยกสามสาเหตุที่เป็นไปได้ก่อนเปลี่ยนอะไร นโยบายทางออกหรือขาออก ปลายทางที่ปฏิเสธต้นทาง หรือพอร์ทัลจับตัวที่ดักจับคำขอแรก
ทั้งสองระบบไม่ได้แทนที่การเข้ารหัสระหว่างทาง HTTP ธรรมดาอ่านได้ทั้งที่รีเลย์ทางออกและที่จุดปลายทาง VPN ดังนั้นเปิด HTTPS ไว้และอ่านคำเตือนใบรับรองแทนที่จะปิดทิ้ง การตรวจสองอย่างตัดสินคำถามเรื่องเส้นทางได้เร็ว: curl -s https://check.torproject.org/api/ip คืน IsTor เมื่อคำขอผ่านวงจร และ curl -s https://ifconfig.me แสดงที่อยู่ขาออกที่ VPN จะนำเสนอ การรันทั้งสองบอกคุณว่าเชลล์ใช้เส้นทางใดจริง
อย่าใช้ฝ่ายหนึ่งเป็นอีกฝ่าย
ที่อยู่ของรีเลย์ทางออกไม่ใช่โปรไฟล์ VPN การชี้ไคลเอนต์ OpenVPN หรือ WireGuard ไปที่รีเลย์บนพอร์ต 443 ไม่สร้างอุโมงค์ เพราะไม่มีบริการ VPN ฟังอยู่ที่นั่น รีเลย์เป็นการกระโดดในวงจรของคนอื่น ในทิศทางกลับกัน จุดปลายทาง VPN ไม่ใช่จุดเข้าสำหรับ Tor และการตั้งค่าสะพานของเบราว์เซอร์ Tor ไม่ใช่ที่สำหรับวางชื่อโฮสต์ของ VPN เชิงพาณิชย์ หากคุณรัน Tor บน VPN ผู้เฝ้าจะเห็นที่อยู่ VPN แทนของคุณ ซึ่งเปลี่ยนการแบ่งโดยไม่รวมสองบทบาทเข้าด้วยกัน
ก่อนเลือก ตอบสี่คำถามตามลำดับ ใครดำเนินการจุดปลายทางและเก็บอะไรไว้ เครื่องมือครอบคลุมอะไรบนอุปกรณ์นี้ นโยบายขาออกอนุญาตพอร์ตและปลายทางใด และแอปพลิเคชันเพิ่มอะไรเกินกว่าเส้นทางเครือข่าย งานที่ต้องการการเข้าถึงเครือข่ายปกติสำหรับหลายโปรแกรมต้องการ VPN งานที่ต้องการการป้องกันระดับเบราว์เซอร์และแบบจำลองวงจรต้องการเบราว์เซอร์ Tor ที่อัปเดตอยู่เสมอ หากคำตอบคือ «ทั้งสอง» ให้รันตามลำดับที่ตั้งใจและบันทึกว่าแต่ละฝ่ายเห็นที่อยู่ใด