Tor aktarıcısı ile VPN sunucusu: neden birbirlerinin yerine geçmezler

Bir adresiniz var, port yanıt veriyor ve bir istemci bunu hiçbir şikâyet olmadan kabul ediyor. Bunların hiçbiri bir Tor aktarıcısını VPN uç noktası yapmaz ve hata pahalıdır çünkü profil temiz biçimde içe aktarılır ve daha sonra el sıkışmada başarısız olur. Aşağıdaki dört kontrolü sırayla kullanıyorum; her birinin bir durma koşulu var ve erken durmak tam da amaç. İlk kontrol başarısız olursa diğerleri size yardımcı olamaz.

Portun gerçekte neye hizmet ettiğini kontrol edin

Açık bir port bir dinleyiciyi kanıtlar, fazlasını değil. Bir aktarıcının ORPort'u TLS el sıkışmasından sonra Tor'un kendi hücreleriyle konuşur, bu yüzden başarılı bir TLS testi orada bir VPN protokolünün kabul edilip edilmediği hakkında neredeyse hiçbir şey söylemez:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Sertifikanın var olması gerçeğini değil, sertifikanın kendisini okuyun. Aktarıcılar kasıtlı olarak göze batmayan bir adla kendinden imzalı bir sertifika sunar, çünkü aktarıcı trafiği sıradan HTTPS'e benzemelidir; VPN sunucusunun sertifikası ise profilinizin beklediği adı taşır. Karşı taraf VPN protokolünün ilk paketine hiç yanıt vermezse, profil düzenlemesinin hiçbir miktarı sonucu değiştirmez.

Adres, istemcinizin gönderdiği el sıkışmayı tamamlamıyorsa burada durun. Bu bir protokol yanıtıdır, yapılandırma sorunu değildir ve içe aktarılmış bir profilin sonsuza dek 'connecting' durumunda kalmasının en yaygın nedeni budur.

Ağın boyutunu değil, aktarıcının rolünü kontrol edin

Aktarıcı rolleri farklı işler yapar. Guard istemciler için ilk atlamadır, orta aktarıcı devreleri diğer aktarıcılar arasında iletir, exit hedeflere dokunan roldür ve köprü BridgeDB aracılığıyla dağıtılan kamuya açık olmayan bir giriş noktasıdır. Tor'un sözlüğü bu tanımları ayrı tutar ve erişilebilir olmak her rolün parçasıdır, oysa rastgele istemcilere hizmet verme izni hiçbirinin parçası değildir.

Exit politikası okumaya değer çünkü iletme kuralına benzeyen tek kısımdır ve exitin dışarı çıkmasına izin vereceği hedefleri düzenler, içeri alınan istemcileri değil. 25 numaralı portu engelleyen kısıtlayıcı bir exit politikası giden kötüye kullanım denetimi hakkında bir şey söyler, bir OpenVPN istemcisini makineye yönlendirip yönlendiremeyeceğiniz hakkında değil.

İtibardan yola çıkarak akıl yürütüyorsanız durun: aktarıcılar trafiği ilettiği için adres sizinkini kabul etmek zorunda değildir. Tor yolları konsensüs ve kendi protokolü aracılığıyla seçer; VPN istemcisi katılımcı değildir ve katılacağı bir devre yoktur.

SOCKS dinleyicisinin yerel mi yoksa genel mi olduğunu kontrol edin

Tor istemcisi aynı makinedeki uygulamalara bir SOCKS arayüzü sunar, varsayılan olarak loopback üzerinde. Bu dinleyici yerel bir kolaylıktır, bir aktarıcının internete sunduğu hizmet değildir ve ona genel bir vekil sunucu gibi davranmak, insanların amaçlamadıkları açık bir aktarıcı çalıştırmasına yol açan yoldur:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Bağlama adresi ipucudur. 127.0.0.1:9050 üzerindeki SocksPort işini yapıyor; 0.0.0.0 üzerinde dinleyen ve dışarıdan erişilebilen ise açık bir vekil sunucudur ve Tor'un kendi erişim politikası kontrolleri tam da bu açıklık bir sorun olduğu için vardır, bir özellik olduğu için değil.

Tor'a ihtiyaç duyan bir uygulama için onu loopback portuna yönlendirin ve adları Tor'un çözmesine izin verin, yukarıdaki socks5h biçimi bunu yapar. O portun yerine aktarıcı adresini koymayın; aktarıcı uygulamanızın istediği arayüzü sunmaz.

VPN profilinin gerçek bir uç noktaya uyduğunu kontrol edin

VPN profili bir beklentiler demetidir: OpenVPN sunucu sertifikasına veya CA'ya, bir istemci sertifikasına ve anahtara ve genellikle bir TLS anahtarına ihtiyaç duyar, WireGuard ise karşı tarafın açık anahtarına, bir uç noktaya ve izin verilen IP'lere ihtiyaç duyar. Bunların hiçbiri bir adresten ve açık bir porttan türetilemez, bu yüzden böyle kurulmuş bir profil bağlanırken değil ilk değiş tokuşta başarısız olur.

Size bir profil verildiğinde, onu kontrol ettiğiniz bir uç noktaya veya tanımlayabildiğiniz bir sağlayıcıya karşı doğrulayın:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN günlüğünde bir TLS müzakere hatası uyuşmazlığı doğrudan adlandırır; wg show çıktısında el sıkışma satırı olmayan bir karşı taraf hiçbirini tamamlamamıştır. İkisi de istemcinin dönen göstergesinden daha bilgilendiricidir ve ikisi de Tor'u değil anahtar malzemesini veya protokolü işaret eder.

Gerçekte hangi korumaya ihtiyacınız olduğunu kontrol edin

Mimariyi belirleyen kontrol budur. Tor Tarayıcı size VPN'in sağlamadığı devre yalıtımı ve parmak izi savunması verir; VPN ise bir hedefin gördüğü adresi değiştirir ve sizi bir sağlayıcıya karşı doğrular. İkisi arasında seçim yapmak uyumluluk değil tehdit modeli sorusudur ve ikisini karıştırmak özel görünen ama öyle olmayan bir kurulum üretir.

Zincirlemenin bir sırası vardır. Tor trafiğini taşıyan VPN desteklenen bir düzenlemedir, çünkü Tor istemcisi yalnızca giden TCP'ye ihtiyaç duyar. Tor'un içinde tünellenmiş bir VPN istemcisi aynı şey değildir ve Tor istemcisinin uyguladığı şey de değildir, bu yüzden buna göre plan yapmayın.

Herhangi bir şeyi içe aktarmadan önce dördünü de doğrulayın:

• Port, protokolünüzün el sıkışmasını tamamlar, yalnızca bir TCP bağlantısını değil.
• Ana makinenin rolünü biliyorsunuz ve iletmeyi izin olarak görmüyorsunuz.
• Kullandığınız SOCKS dinleyicisi loopback ve size ait, başkasının aktarıcısındaki genel bir port değil.
• Profilin anahtarları veya sertifikaları bağlandığınız uç noktaya aittir.