Tor exit relay laban sa VPN exit server: ano ang alam ng bawat isa
Ang Tor exit relay at ang VPN exit server ay parehong nagpapakita ng isang pampublikong address, ngunit magkaiba ang paghahati ng kaalaman. Ihambing ang visibility, saklaw at patakaran sa port.
Parehong itinatago ng dalawang disenyo ang address mo sa likod ng isang pampublikong IP, at hindi sila makikilala ng site na nagpi-print ng address na nakikita nito. Ang pagkakaiba ay kung sino ang natututo ng ano sa daan, gaano karaming trapiko ang saklaw, at aling mga port ang pinapayagang gumana. Ang Tor exit relay ang huling pagtalon ng circuit na may tatlong relay; ang VPN exit server ang nagtatapos ng tunnel mo at siya mismo ang nagbubukas ng palabas na koneksyon. Narito kung paano ako nagpapasya kung alin ang kailangan ng isang gawain, at ano ang sinusuri ko bago ipagpalagay na ang isa ay kumikilos na parang ang isa.
Dalawang landas na nagtatapos sa isang address
Ang Tor ay gumagawa ng circuit sa pamamagitan ng isang guwardiya, isang gitnang relay at isang labasan, at ine-encrypt ang payload sa mga suson upang ang bawat relay ay mag-alis lamang ng sarili nitong suson. Ang labasan ay gumagawa ng ordinaryong TCP na koneksyon sa destinasyon, kaya nakikita ng destinasyon ang address ng labasan. Hindi kailanman direktang nakikipag-usap ang iyong kliyente sa destinasyon, at hindi rin ito nakikita ng guwardiya.
Ang VPN ay isang tunnel patungo sa isang endpoint. Tinatanggal ng server ng operator ang tunnel at binubuksan ang palabas na koneksyon, kaya nakikita rin ng destinasyon ang isang address, sa pagkakataong ito ay ang sa operator. Ang nakikitang resulta ay pareho; ang kaalaman ay hindi. Ang isang pagsubok na nagpi-print ng IP ay sumasagot kung aling sistema ka naroroon at walang sinasabi tungkol sa paghahati ng tiwala na talagang naiiba.
Sino ang sa huli ay nakakaalam ng ano
Ang VPN endpoint ay nakikita ang source address, destinasyon, oras at dami sa isang lugar. Ang konsentrasyong iyon ang disenyo: isang operator, isang ibabaw ng log, isang lugar para sa subpoena o maling configuration. Lahat ng nakukuha mo ay nagmumula sa pagtitiwala sa partidong iyon at sa patakaran sa palabas ng endpoint.
Hinahati ng Tor ang kaalamang iyon. Alam ng guwardiya ang address mo pero hindi ang destinasyon; alam ng labasan ang destinasyon pero hindi ang address mo. Hindi dapat matutunan ng isang relay ang pareho. Ito ay estrukturang katangian, hindi isang pangako laban sa pandaigdigang tagamasid, relay na nag-uugnay ng oras, o endpoint na nakompromiso, kaya ituring itong ibang pamamahagi ng parehong panganib at hindi bilang anonymity na hindi maaaring mabigo.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Ang saklaw ay desisyon ng browser o desisyon ng ruta
Ang Tor browser ay nagruruta ng sarili nitong trapiko at nagdadagdag ng mga proteksyong hindi ginagawa ng ordinaryong VPN client: paglaban sa fingerprint, paghihiwalay ng unang partido, nakapirming laki ng window at aksyong Bagong Pagkakakilanlan na nagtatapon ng estado ng sesyon. Hindi ginagamit ng ibang aplikasyon ang circuit na iyon maliban kung naka-configure sila para doon, at ang system-wide na setup ng Tor ay hiwalay na proyekto sa pag-install ng browser.
Ang VPN ay kabaligtarang hugis. Ang saklaw ay sumusunod sa routing table, kaya ang WireGuard profile na may AllowedIPs = 0.0.0.0/0 ay humuhuli ng lahat at ang split-tunnel list ay humuhuli lamang ng mga prefix na pinangalanan nito. Sa mekanismong iyon din nakatira ang mga leak: ang DNS query, IPv6 at WebRTC ay maaaring tumahak ng rutang hindi kasama sa patakaran ng ruta. Suriin mula sa loob ng aplikasyong nabigo, hindi mula sa tab ng browser na maaaring gumagamit ng ibang interface.
Patakaran sa port, naka-block na destinasyon at HTTPS
Ang exit relay ay malayang tumanggi sa palabas na port, at tinatanggihan ng default na patakaran ang listahan ng mga port na madaling maabuso, kasama ang SMTP port 25. Kaya ang mail client na naka-configure sa Tor ay nabigo sa labasan, na mukhang sira ng network at hindi. Ang mga operator na nagpapatakbo ng relay ay tahasang itinatakda ito:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Naharang din ang mga destinasyon, at iba ang pagharang nila sa dalawang sistema. Nailalathala ang mga Tor exit address, kaya maaaring tanggihan ng isang site ang buong listahan; ang mga VPN endpoint ay nasa saklaw ng data center na tinatanggihan din nang kasing dali. Kapag nabigo ang isang pahina, paghiwalayin ang tatlong kandidato bago baguhin ang anuman: patakaran sa labasan o palabas, destinasyong tumatanggi sa pinagmulan, o captive portal na umaagaw sa unang kahilingan.
Wala sa dalawang sistema ang pumapalit sa transport encryption. Ang simpleng HTTP ay nababasa sa exit relay at sa VPN endpoint, kaya panatilihing naka-on ang HTTPS at basahin ang babala sa sertipiko sa halip na itapon ito. Dalawang pagsusuri ang mabilis na nagtatakda ng tanong sa ruta: ibinabalik ng curl -s https://check.torproject.org/api/ip ang IsTor kapag dumaan ang kahilingan sa circuit, at ipinapakita ng curl -s https://ifconfig.me ang palabas na address na ipapakita ng VPN. Ang pagpapatakbo ng pareho ay nagsasabi kung aling landas ang aktwal na ginagamit ng shell.
Huwag gamitin ang isa bilang ang isa
Ang address ng exit relay ay hindi VPN profile. Ang pagturo ng OpenVPN o WireGuard client sa relay sa port 443 ay hindi gumagawa ng tunnel, dahil walang serbisyong VPN na nakikinig doon; ang relay ay isang pagtalon sa circuit ng ibang tao. Sa kabilang direksyon, ang VPN endpoint ay hindi pasukan para sa Tor, at ang mga setting ng tulay ng Tor browser ay hindi lugar para i-paste ang hostname ng komersyal na VPN. Kung pinapatakbo mo ang Tor sa ibabaw ng VPN, nakikita ng guwardiya ang address ng VPN sa halip na sa iyo, na nagbabago ng paghahati nang hindi pinagsasama ang dalawang papel.
Bago pumili, sagutin ang apat na tanong sa pagkakasunod-sunod: sino ang nagpapatakbo ng endpoint at ano ang itinatago nito, ano ang saklaw ng tool sa device na ito, aling port at destinasyon ang pinapayagan ng palabas na patakaran, at ano ang idinadagdag ng aplikasyon lampas sa landas ng network. Ang gawaing nangangailangan ng ordinaryong network access para sa maraming programa ay gusto ng VPN. Ang gawaing nangangailangan ng proteksyon sa antas ng browser at modelo ng circuit ay gusto ng Tor browser, na pinananatiling napapanahon. Kung ang sagot ay «pareho», patakbuhin ang mga ito sa sinadyang pagkakasunod-sunod at isulat kung aling address ang nakikita ng bawat panig.