VPN sa pamamagitan ng Tor: unahin ang pagsusuri ng transport

Ang Tor muna ay nangangahulugang ang VPN client ay nakaupo sa likod ng SOCKS proxy, kaya ang tunnel mismo ay itinatayo sa pamamagitan ng Tor at ang trapiko ng aplikasyon ay lumalabas mula sa endpoint ng VPN. Ito ay isang tiyak na pagkakasunod-sunod, at hindi ito ang itinatayo ng karamihan. Ang pagbukas ng Tor Browser sa tabi ng ordinaryong VPN client ay hindi nagpipilit sa alinman sa dalawang programa na gamitin ang landas ng isa.

Daanan ang mga pagsusuri nang sunod-sunod. Bawat isa ay nagpapasya kung sulit bang simulan ang susunod.

Aling pagkakasunod-sunod ang aktuwal na itinatayo mo

Dalawang pagkakasunod-sunod ang napagpapalit sa iisang usapan. Ang Tor muna ay nangangahulugang naaabot ng VPN client ang server nito sa pamamagitan ng SOCKS proxy, kaya ang tunnel ay itinatayo sa ibabaw ng Tor. Ang VPN muna ay nangangahulugang lumalabas ang trapiko ng Tor sa tunnel, na itinatayo ng karamihan nang aksidente at pagkatapos ay inilalarawan bilang ang isa pa. Ang una ay nagpapagitna ng hangganan ng pagpapasa sa operator ng VPN, ang pangalawa ay nagpapagitna nito sa pasukan at labasan ng Tor. Wala sa kanila ang nakukuha mo sa pagpapanatiling bukas ang dalawang aplikasyon nang sabay.

Isulat kung aling pagkakasunod-sunod ang kailangan ng gawain bago mag-configure ng anuman, dahil ang dalawa ay nangangailangan ng magkaibang software settings at nabibigo sa magkaibang lugar. Ang maling nakalagay na pagkakasunod-sunod ay magpapadala sa iyo na mag-debug ng maling layer nang isang oras. Lahat ng nasa ibaba ay ipinapalagay na Tor muna.

Suriin ang transport bago ang anupaman

Ang SOCKS interface ng Tor ay nagdadala ng TCP streams at hindi nagbibigay ng pangkalahatang UDP association. Ang VPN na ang transport ay UDP ay hindi maituturing ang proxy na iyon bilang ordinaryong network interface, at walang setting ng client ang nagbabago sa handang ipasa ng proxy. Ang WireGuard sa karaniwang anyo nito ay ang halatang biktima. Ang OpenVPN profile sa TCP mode ay ang karaniwang solusyon, at kailangan pa rin itong sabihan nang malinaw na gamitin ang proxy.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Kumpirmahin na nakikinig ang proxy at kayang magdala ng isang simpleng HTTPS request bago mag-debug ng tunnel sa pamamagitan nito. Kung mabibigo ang simpleng request, hinding-hindi magtatagumpay ang VPN client at hindi sasabihin ng mga log nito kung bakit.

Isulat muli ang mapa ng observer

Nakikita ng pasukan ng Tor ang pinagmumulang kumokonekta sa Tor maliban kung may naunang nagbago nito, kaya natututuhan ng hakbang na iyon ang iyong address. Tumatanggap ang provider ng VPN ng koneksyong dumarating mula sa panig ng Tor ngunit maaaring alam pa rin nito ang isang account, talaan ng pagbabayad o kredensyal na ipinadala mo sa loob ng tunnel. Ang mga destinasyong naaabot sa pamamagitan ng VPN ay nakikita ang labasan nito sa halip na labasan ng Tor, at iyon ay nagpapagitna ng huling hangganan ng pagpapasa sa isang operator.

Hindi rin nito muling nililikha ang distributed na landas patungo sa bawat destinasyon. Ang Tor Browser ay nagtatayo ng bagong circuit para sa bawat site; ang VPN na dinadala ng Tor ay nagtatayo ng isang tunnel, at bawat site sa likod nito ay nagbabahagi ng endpoint na iyon. Ituring ang pagkakaiba bilang katotohanan ng disenyo at hindi bilang limitasyong dapat alisin.

Bilangin ang mga layer ng pagkasira kapag nasira ito

Ang sirang setup ay may hindi bababa sa apat na independent na layer: ang SOCKS koneksyon, ang TLS handshake sa server ng VPN, ang mismong handshake ng VPN, at pagkatapos ay routing o paglutas ng pangalan sa loob ng tunnel. Bawat isa ay nabibigo sa magkaibang sintomas at bawat isa ay nangangailangan ng magkaibang pagkukumpuni. Ang pagluluwag ng mga pagsusuri ng certificate dahil hindi umaangat ang tunnel ay ang klasikong maling diagnosis, at ginagawa nitong isyu ng seguridad ang isyu ng transport.

I-log ang unang layer na nabibigo at huminto doon. Ang pagtanggi ng proxy at tinanggihang key ay hindi mga baryasyon ng parehong pangyayari.

Huminto kung kailangan ng threat model ang mga depensa ng Tor Browser

Ang pag-route ng arbitraryong aplikasyon sa VPN na dinadala ng Tor ay hindi nagbibigay sa mga aplikasyong iyon ng fingerprint at isolation features ng Tor Browser. Nananatiling mahalaga ang kanilang mga account, identifier at sariling gawi sa network, at walang anuman sa mga ito ang ginagawang normal ng tunnel. Kung ang layunin ay browser na humahalo sa ibang mga user, hindi ito ibinibigay ng pagkakasunod-sunod na ito.

Ang Tor Project mismo ay nagbababala laban sa mga kombinasyong hindi maayos na ma-configure ng mga user, at ang isang ito ay tumutukoy sa karamihan. Ito ay sadyang disenyo para sa makitid na threat model, hindi shortcut patungo sa anonymous na trapiko ng buong device.