Tor sa ibabaw ng VPN: sino ang nakakakita ng iyong IP, at sino ang nakakakita ng paggamit ng Tor?

Kinokonekta mo ang VPN client, hinihintay ang tunnel, pagkatapos bubuksan ang Tor Browser at hayaang bumuo ng circuit. Ang karaniwang pagkakasunod-sunod na iyon ang nagtatakda kung sino ang nakakakita ng ano. Sa ganoong ayos, binabati ng entry relay ng Tor ang address ng exit ng iyong VPN, at binabati ng iyong VPN provider ang isang pampublikong guard relay. Gawin ito nang baliktad at parehong nagbabago ang dalawang tagamasid. Pareho ang dalawang ayos na dapat suriin, dahil tahimik na sinisira ng mga setting ng client ang ayos na inakalang umiiral ng mga tao, at ang tseke na humuhuli nito ay pareho sa dalawang kaso.

Magsimula sa ayos, hindi sa produkto

Dalawang kaayusan ang tinatawag na «VPN na may Tor», at ang una lang ang karaniwan. Sa Tor sa ibabaw ng VPN, nakataas na ang tunnel kapag nagsimula ang Tor, kaya ipinapadala ng prosesong tor ang koneksyon nito sa guard papasok sa tunnel tulad ng iba pang palabas na trapiko. Sa VPN sa ibabaw ng Tor, nauuna ang Tor at ang mismong sesyon ng VPN ay naglalakbay sa circuit, na dumarating sa provider mula sa exit ng Tor.

Ang nagbabago sa pagitan nila ay kung aling address ang nakatayo sa malayong dulo ng pinakalabas na kawing. Ang bawat tagamasid ay nakakakita lamang ng naunang hop, hindi kailanman ang buong landas: nakikita ng guard kung sino ang kumonekta rito, at nakikita ng VPN server kung sino ang kumonekta rito. Hindi dinadala ng Tor ang iyong lokal na address ng tunnel palabas, at walang field sa protocol kung saan ito magagawa.

Sa dalawang ayos, nakikita pa rin ng destinasyong website ang isang exit ng Tor, at walang ayos na nagbabago sa natututuhan ng site na iyon mula sa iyong pag-login. Ang pagkakaiba ay limitado sa dalawang gilid.

Ano ang nakikita ng entry relay ng Tor

Ang entry, o guard, ay tumatanggap ng ordinaryong TCP connection sa isang relay port at nagsisimula ng TLS handshake sa client. Sa kaayusang Tor-sa-ibabaw-ng-VPN, ang pinagmulan ng koneksyong iyon ay ang exit ng iyong VPN. Sa kaayusang Tor-una, ito ang address na ginamit ng iyong makina upang maabot ang network ng Tor, karaniwang ang iyong koneksyon sa bahay.

Sinasagot niyan ang kalahati ng tanong tungkol sa IP, pero kung aktwal na dinadala ng tunnel ang koneksyon. Naabot ng prosesong Tor ang guard gamit ang sarili nitong socket, at ang socket na iyon ay hindi pinamumunuan ng mga setting ng proxy ng Tor Browser. Nakikipag-usap ang browser sa kalakip na prosesong tor sa pamamagitan ng SOCKS sa 9150, at pagkatapos ay binubuksan ng tor ang sarili nitong koneksyon gamit ang routing table ng kernel. Binabago ng linyang Socks5Proxy sa torrc, o ng transport ng client, ang landas na iyon. Wala nang iba.

Sa Linux mababasa mo ang sagot mula sa makina. Tanungin ang kernel kung aling interface ang gagamitin para sa anumang pampublikong address, pagkatapos tingnan ang lokal na address ng naitatag na koneksyon:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Kung sinasabi ng ruta na dev wg0 o dev tun0, at ang lokal na address sa naitatag na koneksyon ay ang address ng tunnel, ang Tor ay nasa loob ng VPN. Kung pinangalanan ng ruta ang iyong pisikal na interface, ito ay nasa labas, anuman ang sinasabi ng sariling indicator ng client.

Ano ang nakikita ng iyong VPN provider

Tinatapos ng provider ang iyong sesyon ng VPN, kaya nakikita nito ang mga address na kinokonektahan mo. Ang mga address ng guard relay ay inilalathala sa pampublikong consensus at kilala ang kanilang mga port, kaya ang pagtutugma ng isa ay paghahanap sa listahan, hindi malalim na inspeksyon ng packet. Hindi kailangang basagin ng provider ang Tor para malaman na ang isang sesyon ay Tor.

Ang hindi nito nakikita ay ang natitirang bahagi ng circuit. Pinipili ang gitnang relay at exit sa loob ng Tor, at ang provider lang ang humahawak sa kawing patungo sa guard. Nananatili ang nilalaman ng pahina sa TLS na nagtatapos sa exit, at ang paglutas ng pangalan para sa trapiko ng Tor ay nangyayari rin sa exit, kaya walang query ng DNS sa provider na maiuugnay sa isang destinasyon.

Binabago ng mga tulay na may obfs4 ang paghahanap, hindi ang topolohiya. Wala ang address ng tulay sa pampublikong listahan ng relay at hinuhubog ang trapiko upang hindi magmukhang Tor, kaya hindi ito mamarkahan ng operator na naghahambing lamang ng mga address. Nagmumula pa rin ang sesyon sa iyong VPN client, at nakikita pa rin ng provider ang isang dulo, isang volume at isang iskedyul.

Ang kakayahan ay hindi patakaran ng pagpapanatili

Ang operator na makapagmamasid ng koneksyon ay hindi nangakong itatago ito. Ang pag-log ay hiwalay na desisyon, nakasulat sa isang patakaran, nililimitahan ng hurisdiksyon at masusuri lamang sa pamamagitan ng ebidensyang pinagkakatiwalaan mo na. Hindi binabago ng tatak na walang log ang papel sa network na inilarawan sa itaas.

Ang pagkakakilanlan ng account ay karaniwang mas mahalaga kaysa sa address ng exit. Kung nag-sign in ka gamit ang isang email address, o nagbayad gamit ang card, maaaring iugnay ng provider ang sesyon sa iyo nang walang ni isang destinasyong naitala. Walang nagagawa ang pag-ikot ng mga exit IP tungkol doon.

Suriin ang saklaw bago magtiwala sa alinman sa dalawang sagot

Karamihan sa mga naniniwalang nagpapatakbo sila ng Tor sa ibabaw ng VPN ay bahagi lamang ang pinapatakbo. Ang split tunneling na hindi kasama ang Tor Browser, ang kill switch na sumasaklaw sa browser pero hindi sa serbisyong tor, ang startup unit na tumatakbo bago paitaas ang tunnel, at ang rutang IPv6 na lumiligid sa tunnel ang karaniwang apat.

Ang pagbasa ng status screen ng client ay hindi sumusubok sa alinman sa mga iyon. Ang pagsubok na gumagawa nito: hayaang tumakbo ang Tor Browser, ibaba ang tunnel, at panoorin kung nabubuhay ang koneksyon sa guard sa pisikal na interface.

Ang ayos na sinusuri ko, humihinto sa unang pagkabigo:

• ip route get 203.0.113.10 ibinabalik ang device ng tunnel.
• ss -tnp | grep -i tor ipinapakita ang koneksyon sa guard na may lokal na address ng tunnel.
• ip -6 route walang default na ruta sa labas ng tunnel, o patay ang IPv6 sa client.
• Ang pagbaba ng VPN ay nagtatapos o naglilihis ng koneksyon ng tor sa halip na iwanan ito sa pisikal na kawing.

Aling ayos ang umaangkop sa ipinagtatanggol mo

Parehong nagtatago at naglalantad ng isang bagay ang dalawang ayos, kaya ang sagot ay isang pagpili tungkol sa tagamasid na mahalaga sa iyo.

Basahin ito nang hanay-hanay hanggang may row na tumugma sa sinusubukan mong pigilan. Kung ang alalahanin ay isang lokal na network o ISP na nagtatala o humaharang sa Tor, pinangangasiwaan ito ng Tor sa ibabaw ng VPN. Kung ang alalahanin ay malaman ng operator ng VPN ang address ng iyong bahay, pinangangasiwaan ito ng VPN sa ibabaw ng Tor, at binabayaran ito sa pamamagitan ng paglalantad ng paggamit ng Tor sa iyong sariling network at ng address ng bahay sa guard.

Walang kaayusang nag-iiwan sa dalawang gilid na bulag. Ang pagdaragdag ng tagamasid ay hindi nag-aalis ng isa pa. Ang tala ng Tor Project tungkol sa pagpapatakbo ng VPN na may Tor ay nagsasabi ng parehong bagay mula sa kabilang panig: binabago ng tunnel kung sino ang pinagkakatiwalaan at kung anong mga landas ng pagkabigo ang umiiral, kaya hindi ito isang upgrade na idaragdag nang hindi nagpapasya kung ano ang gusto mong itago.

Magpasya muna tungkol sa tagamasid, piliin ang ayos pagkatapos, at i-verify gamit ang ip route get at ss sa halip na ang indicator ng client. Kung ang tagamasid ay isang taong kayang pilitin ang mismong VPN provider, walang pagpili ng ayos ang makakapag-ayos niyon.