Serbisyong Onion kumpara sa serbisyong VPN: magkaibang modelo ng pag-access

Inilalarawan ng mga tao ang serbisyong Onion at ang serbisyong naaabot lamang sa VPN bilang dalawang anyo ng isang ideya: itago ang port at ibahagi ang lihim na address. Nagkakaiba sila sa kung ano ang kinalakip ng address, sino ang makakaabot dito at ano ang dapat mangyari bago dumating ang isang kahilingan. Ang isa ay tagpuan sa loob ng Tor, ang isa ay ruta sa loob ng pribadong network. Ang pagtrato sa kanila bilang mapagpapalit ay lumilikha ng mga disenyong hindi pribado at hindi mapapanatili.

Mito: parehong nakatagong pinto lamang ang dalawang disenyo

Ang karaniwang katangian ay totoo ngunit manipis: wala sa dalawang disenyo ang naglalagay ng administratibong interface sa pampublikong port na direktang naaabot. Nagkakaiba ang lahat ng iba pa. Ang address ng Onion ay hinango mula sa sariling susi ng serbisyo, kaya ang pangalan ay nakatali sa pagkakakilanlan; ang address ng VPN ay address lamang sa loob ng network na pinapasok ka. Itinatago ng isa ang serbisyo sa isang sapin sa ibabaw, pinapasok ka ng isa sa pribadong topolohiya. Ang pagtingin sa pangalawa bilang kasingkahulugan ng una ang simula ng kalituhan.

Wala sa dalawang katangiang ito ang kontrol sa seguridad para sa app mismo. Hindi inaayos ng nakatagong lokasyon ang software sa likod nito, at hindi nagdaragdag ng pagpapatunay ang pribadong ruta sa pahina ng pag-login. Kailangan pa rin ng dalawang disenyo ang sariling pahintulot ng app, at kailangan pa rin ng dalawa ang may responsibilidad sa mga update at pagbawi.

Ano ba talaga ang itinuturo ng address ng Onion

Ang address ng Onion sa bersyon v3 ay nag-e-encode ng pampublikong susi ng serbisyo, kaya walang makakapili ng address para sa serbisyong hindi niya kontrolado. Kumokonekta ang kliyente sa pamamagitan ng Tor sa tagpuan, at naaabot ng serbisyo ang parehong punto mula sa sariling panig; walang ordinaryong palabas na node ang nagdadala ng koneksiyong iyon hanggang sa serbisyo. Ang pangalan ay pagkakakilanlan, hindi rekord ng DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Kaya walang naidudulot ang pagdaragdag ng ruta o entry sa hosts para sa pangalang onion. Ang paghahanap ay hindi ang mekanismo; ang kliyente ng Tor at ang mga circuit nito ang mekanismo. Kung ang serbisyo ay para sa maliit na grupo, maaaring humingi ng susi ang awtorisasyon ng kliyente ng onion bago tanggapin ang koneksiyon, ngunit hindi pa rin iyon ang pag-login sa app. Ang paglalathala ng address ay sinadyang kilos din, dahil sinumang makakaalam nito ay maaaring subukang kumonekta maliban kung nilimitahan mo ito.

Huminto kung ang tanging dahilan ng disenyong onion ay iwasan ang pag-set up ng pagpapatunay. Hindi iyon ibinibigay ng sapin sa ibabaw, at itatayo mo rin ito mamaya.

Ano ba talaga ang ibinibigay ng rutang VPN

Pinapasok ng VPN ang isang aparato sa network at binibigyan ito ng ruta patungo sa gateway o subnet. Nakikita ng serbisyong nasa likod ng gateway na iyon ang address mula sa pool ng tunel at inilalapat ang awtorisasyong mayroon ito. Walang sinasabi ang ruta tungkol sa kung sino ang user; sinasabi nito kung saan maaaring pumunta ang mga packet.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Ang modelong iyon ay bagay sa kilalang grupo na may mga pinamamahalaang aparato, dahil maaaring ipatupad ng gateway ang kalagayan ng aparato at maaaring i-audit ang network. Hindi ito bagay sa mga anonymous o basta-bastang bisita, na kailangan munang irehistro. Ang pag-login ng app mismo ang humuhusga kung ano ang mababasa ng konektadong user. Ang paghalo ng maaabot sa pahintulot ang paraan kung paano nagbibigay ang VPN ng buong subnet sa lahat ng makakakonekta.

Huminto kung hindi kilala ang audience o patuloy itong nagbabago. Ang pagrehistro ng mga estranghero sa pribadong network para ipakita ang isang pahina ay malaking pangako kumpara sa paglalathala ng serbisyo.

Ang pagpili sa pagitan nila, at ang nananatiling pareho

Piliin ang modelong onion kapag teknikal ang audience, hindi dapat magkaroon ng pampublikong address ang serbisyo, at kaya mong tanggapin ang mga pangangailangan ng kliyente ng Tor. Piliin ang modelong VPN kapag ang audience ay tiyak na grupo na ikaw ang namamahala sa mga aparato at nais mong itala ang kanilang pag-access sa antas ng network. Wala sa mga pagpipilian ang nag-aalis ng pangangailangan sa pagpapatunay ng app, pag-patch o daan ng pagbawi. Wala rin sa dalawa ang awtomatikong mas pribado sa kahulugang mahalaga sa iyong mga user.

Sa dalawang disenyo, isulat kung sino ang makakaabot sa serbisyo, paano sila nakikilala at ano ang nangyayari kapag nawala ang isang kredensiyal. Kasama sa sagot para sa serbisyong onion ang mga susi ng awtorisasyon ng kliyente at ang address mismo; kasama sa sagot para sa VPN ang account, aparato at patakaran ng gateway. Magkaibang listahan ang mga ito, at isa lamang ang magiging malinaw sa susunod na administrador.

Nagtatapos ang paghahambing sa lugar kung saan nagsisimula ang app. Ang nakatagong address at pribadong ruta ay mga piniling transportasyon, at kailangan pa ring magpasya ng app kung ano ang pinapayagan sa isang kahilingan. Itago ang mga pasyang iyon sa magkaibang dokumento, at wala sa dalawang disenyo ang tahimik na sasipsip sa gawain ng isa.