Tor çıkış aktarıcısı ile VPN çıkış sunucusu: her biri ne bilir
Bir Tor çıkış aktarıcısı ve bir VPN çıkış sunucusu ikisi de tek bir genel adres gösterir, ancak bilgiyi farklı bölüşürler. Görünürlüğü, kapsamı ve port politikasını karşılaştırın.
Her iki tasarım da adresinizi tek bir genel IP'nin arkasına saklar ve gördüğü adresi yazdıran bir site ikisini ayırt edemez. Fark, yolda kimin ne öğrendiği, trafiğin ne kadarının kapsandığı ve hangi portların çalışmasına izin verildiğidir. Tor çıkış aktarıcısı üç aktarıcılı bir devrenin son sıçramasıdır; VPN çıkış sunucusu tünelinizi sonlandırır ve giden bağlantıyı kendisi açar. Bir görevin hangisine ihtiyacı olduğuna nasıl karar verdiğim ve birinin diğeri gibi davrandığını varsaymadan önce neyi kontrol ettiğim aşağıda.
Tek bir adreste biten iki yol
Tor bir koruma, orta aktarıcı ve çıkış üzerinden devre kurar ve yükü katmanlar hâlinde şifreler, böylece her aktarıcı yalnızca kendi katmanını soyar. Çıkış, hedefle olağan TCP bağlantısını kurar, bu yüzden hedef çıkış adresini görür. İstemciniz hedefle asla doğrudan konuşmaz ve koruma da onu görmez.
VPN tek bir uç noktaya giden tek bir tüneldir. Operatörün sunucusu tüneli kaldırır ve giden bağlantıyı açar, böylece hedef de tek bir adres görür, bu kez operatörün adresini. Gözlemlenebilir sonuç aynıdır; bilgi değil. Bir IP yazdıran test hangi sistemde olduğunuzu yanıtlar ve gerçekte farklı olan güven bölüşümü hakkında hiçbir şey söylemez.
Sonunda kim ne bilir
VPN uç noktası kaynak adresi, hedefi, zamanlamayı ve hacmi tek bir yerde görür. Bu yoğunlaşma tasarımın kendisidir: tek operatör, tek günlük yüzeyi, celp veya yanlış yapılandırma için tek yer. Kazandığınız her şey o tarafa duyulan güvenden ve uç noktanın giden politikasından gelir.
Tor bu bilgiyi bölüşür. Koruma adresinizi bilir ama hedefi bilmez; çıkış hedefi bilir ama adresinizi bilmez. Bir aktarıcı ikisini de öğrenmemelidir. Bu yapısal bir özelliktir, küresel bir gözlemciye, zamanları ilişkilendiren bir aktarıcıya veya ele geçirilmiş bir uç noktaya karşı verilmiş bir söz değildir, bu yüzden ona aynı riskin farklı bir dağılımı olarak bakın, asla başarısız olamayan bir anonimlik olarak değil.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Kapsam bir tarayıcı kararı ya da bir yol kararıdır
Tor tarayıcısı kendi trafiğini yönlendirir ve genel bir VPN istemcisinin yeniden üretmediği korumalar ekler: parmak izine direnç, birinci taraf yalıtımı, sabit pencere boyutu ve oturum durumunu atan Yeni Kimlik eylemi. Diğer uygulamalar bunun için yapılandırılmadıkça o devreyi kullanmaz ve sistem genelinde Tor kurulumu tarayıcıyı kurmaktan ayrı bir projedir.
VPN ters şekildedir. Kapsam yönlendirme tablosunu izler, bu yüzden AllowedIPs = 0.0.0.0/0 içeren bir WireGuard profili her şeyi yakalar ve bölünmüş tünel listesi yalnızca adını verdiği önekleri yakalar. Sızıntılar da tam bu mekanizmada yaşar: DNS sorguları, IPv6 ve WebRTC her biri yönlendirme politikasının içermediği bir yol tutabilir. Başarısız olan uygulamanın içinden denetleyin, başka bir arayüz kullanıyor olabilecek bir tarayıcı sekmesinden değil.
Port politikası, engellenen hedefler ve HTTPS
Çıkış aktarıcısı giden portları reddetmekte özgürdür ve varsayılan politika kötüye kullanıma açık portların listesini reddeder, bunlar arasında SMTP port 25 de vardır. Bu yüzden Tor üzerinden yapılandırılmış bir posta istemcisi çıkışta başarısız olur, bu bir ağ arızası gibi görünür ve değildir. Aktarıcı işleten operatörler bunu açıkça belirler:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Hedefler de engeller ve iki sistemi farklı biçimde engeller. Tor çıkış adresleri yayımlanır, bu yüzden bir site tüm listeyi reddedebilir; VPN uç noktaları aynı kolaylıkla reddedilen veri merkezi aralıklarında bulunur. Bir sayfa başarısız olduğunda, bir şeyi değiştirmeden önce üç adayı ayırın: çıkış veya giden politikası, kaynağı reddeden bir hedef veya ilk isteği kaçıran bir captive portal.
İki sistemden hiçbiri taşıma şifrelemesinin yerini almaz. Düz HTTP hem çıkış aktarıcısında hem VPN uç noktasında okunabilir, bu yüzden HTTPS'i açık tutun ve sertifika uyarısını yok saymak yerine okuyun. İki kontrol yol sorusunu hızla çözer: istek bir devreden geçtiğinde curl -s https://check.torproject.org/api/ip IsTor döndürür ve curl -s https://ifconfig.me bir VPN'in sunacağı giden adresi gösterir. İkisini de çalıştırmak kabuğun gerçekte hangi yolu kullandığını söyler.
Birini diğeri yerine kullanmayın
Bir çıkış aktarıcısının adresi VPN profili değildir. Bir OpenVPN veya WireGuard istemcisini 443 portundaki bir aktarıcıya yöneltmek tünel oluşturmaz, çünkü orada hiçbir VPN hizmeti dinlemiyordur; aktarıcı başkasının devresinde bir sıçramadır. Ters yönde ise VPN uç noktası Tor için bir giriş noktası değildir ve Tor tarayıcısının köprü ayarları ticari bir VPN ana makine adını yapıştırma yeri değildir. Tor'u bir VPN üzerinden çalıştırırsanız koruma sizin yerinize VPN adresini görür, bu da iki rolü birleştirmeden bölüşümü değiştirir.
Seçmeden önce dört soruyu sırayla yanıtlayın: uç noktayı kim işletiyor ve neyi saklıyor, araç bu cihazda neyi kapsıyor, giden politika hangi portlara ve hedeflere izin veriyor ve uygulama ağ yolunun ötesinde ne ekliyor. Birçok program için olağan ağ erişimine ihtiyaç duyan bir görev VPN ister. Tarayıcı düzeyindeki korumalara ve devre modeline ihtiyaç duyan bir görev, güncel tutulan Tor tarayıcısını ister. Yanıt «ikisi de» ise, onları bilinçli bir sırayla çalıştırın ve her tarafın hangi adresi gördüğünü yazın.