Вихідний релей Tor проти вихідного сервера VPN: що знає кожен
Вихідний релей Tor і вихідний сервер VPN показують одну публічну адресу, але по-різному ділять знання. Порівняйте видимість, охоплення та політику портів.
Обидві схеми ховають вашу адресу за одним публічним IP, і сайт, який друкує видиму йому адресу, не може їх розрізнити. Різниця в тому, хто що дізнається дорогою, яка частка трафіку охоплена і які порти дозволені. Вихідний релей Tor — останній крок ланцюга з трьох реле; вихідний сервер VPN завершує ваш тунель і сам відкриває вихідне з'єднання. Ось як я вирішую, що потрібно завданню, і що перевіряю, перш ніж припускати, що одне поводиться як інше.
Два шляхи, що закінчуються на одній адресі
Tor будує ланцюг через охоронний вузол, середній релей і вихід та шифрує корисне навантаження шарами, так що кожен релей знімає лише свій шар. Вихід встановлює звичайне TCP-з'єднання з призначенням, тому призначення бачить адресу виходу. Ваш клієнт ніколи не говорить з призначенням напряму, і охоронний вузол теж його не бачить.
VPN — це один тунель до однієї кінцевої точки. Сервер оператора знімає тунель і відкриває вихідне з'єднання, тому призначення теж бачить одну адресу, цього разу оператора. Спостережуваний результат той самий; знання — ні. Тест, що друкує IP, відповідає, у якій системі ви перебуваєте, і нічого не каже про розподіл довіри, який справді відрізняється.
Хто зрештою що знає
Кінцева точка VPN бачить адресу джерела, призначення, час і обсяг в одному місці. Ця концентрація і є задумом: один оператор, одна поверхня журналів, одне місце для повістки або помилкової конфігурації. Усе, що ви отримуєте, походить від довіри до цієї сторони та від вихідної політики кінцевої точки.
Tor розділяє це знання. Охоронний вузол знає вашу адресу, але не призначення; вихід знає призначення, але не вашу адресу. Релей не повинен дізнаватися обидва. Це структурна властивість, а не обіцянка проти глобального спостерігача, релея, що зіставляє час, або скомпрометованої кінцевої точки, тому ставтеся до неї як до іншого розподілу того самого ризику, а не як до анонімності, яка не може відмовити.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Охоплення — це рішення браузера або маршруту
Браузер Tor маршрутизує власний трафік і додає захисти, які звичайний клієнт VPN не відтворює: стійкість до відбитків, ізоляцію першої сторони, фіксований розмір вікна та дію «Нова особистість», що скидає стан сеансу. Інші застосунки не використовують цей ланцюг, якщо не налаштовані на це, а загальносистемне встановлення Tor — окремий проєкт від встановлення браузера.
VPN має протилежну форму. Охоплення йде за таблицею маршрутів, тому профіль WireGuard з AllowedIPs = 0.0.0.0/0 захоплює все, а список розділеного тунелю — лише перелічені префікси. Саме в цьому механізмі живуть і витоки: запити DNS, IPv6 і WebRTC можуть кожен піти шляхом, який політика маршрутів не включала. Перевіряйте зсередини застосунку, який не спрацював, а не з вкладки браузера, що, можливо, використовує інший інтерфейс.
Політика портів, заблоковані призначення та HTTPS
Вихідний релей може відмовляти у вихідних портах, і типова політика відхиляє список портів, схильних до зловживань, серед них порт SMTP 25. Тому поштовий клієнт, налаштований через Tor, зазнає невдачі на виході, що виглядає як збій мережі і ним не є. Оператори, які тримають релей, задають це явно:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Призначення теж блокують, і вони блокують дві системи по-різному. Вихідні адреси Tor публікуються, тому сайт може відхилити весь список; кінцеві точки VPN розташовані в діапазонах дата-центрів, які відхиляються так само легко. Коли сторінка не відкривається, розділіть три кандидати, перш ніж щось змінювати: політику виходу або вихідного трафіку, призначення, що відхиляє джерело, або captive-портал, який перехоплює перший запит.
Жодна із систем не замінює шифрування транспорту. Звичайний HTTP читається і на вихідному релеї, і на кінцевій точці VPN, тому залиште HTTPS увімкненим і прочитайте попередження про сертифікат, а не відмахуйтеся від нього. Дві перевірки швидко вирішують питання маршруту: curl -s https://check.torproject.org/api/ip повертає IsTor, коли запит пройшов через ланцюг, а curl -s https://ifconfig.me показує вихідну адресу, яку представив би VPN. Запуск обох підкаже, який шлях оболонка використовує насправді.
Не використовуйте одне як інше
Адреса вихідного релея — не профіль VPN. Спрямувати клієнт OpenVPN або WireGuard на релей на порту 443 не створює тунель, бо там не слухає жодна служба VPN; релей — це крок у чужому ланцюзі. У зворотному напрямку кінцева точка VPN не є точкою входу для Tor, а налаштування мостів у браузері Tor — не місце для вставлення імені хоста комерційного VPN. Якщо ви запускаєте Tor поверх VPN, охоронний вузол бачить адресу VPN замість вашої, що змінює розподіл, не зливаючи дві ролі.
Перш ніж обирати, дайте відповіді на чотири питання по порядку: хто керує кінцевою точкою і що вона зберігає, що інструмент покриває на цьому пристрої, які порти та призначення дозволяє вихідна політика і що застосунок додає понад мережевий шлях. Завданню, якому потрібен звичайний мережевий доступ для багатьох програм, потрібен VPN. Завданню, якому потрібні захисти рівня браузера та модель ланцюга, потрібен браузер Tor, підтримуваний в актуальному стані. Якщо відповідь «обидва», запускайте їх у продуманому порядку і запишіть, яку адресу бачить кожна сторона.