Чи йде Tor через VPN? Що змінює роздільне тунелювання

Ось переконання, яке варто перевірити: підключений значок означає, що трафік Tor спершу пройшов через VPN. Цей висновок помиляється частіше, ніж мав би, і помиляється тихо. Зіставляч розділеного тунелю може залишити процес Tor поза тунелем, поки пристрій залишається підключеним, і обидва спостереження істинні одночасно. Значок повідомляє про інтерфейс; шлях, який пройшли ваші пакети, — окреме питання. Відповідайте на нього з маршрутизації та зіставляча, а не зі значка.

Що доводить підключений значок, а що ні

Підключений VPN означає, що інтерфейс піднято і тунель до партнера існує. Вхідне з'єднання Tor — це інший потік, створений іншим процесом, і те, чи входить він у цей тунель, залежить від зіставляча й таблиці маршрутизації, застосованих до нього. Виключіть процес — і VPN усе одно підключиться, Tor усе одно побудує коло, а задуманий вами порядок не настане. Два спостереження відповідають на різні питання, тому жодне з них саме по собі не вирішує порядок.

Цей розрив — не помилка в жодному з інструментів. Саме для цього існує правило виключення, і правило, ймовірно, написане з причини, яку хтось ще пам'ятає.

Який зіставляч клієнт застосовує до з'єднання

Шлях визначає зіставляч, який клієнт застосовує до кожного з'єднання: ім'я процесу, префікс призначення або запис маршруту — залежно від клієнта. Ярлик на робочому столі не збігається з жодним із них, бо це засіб запуску, а не одиниця політики. Прочитайте набір правил клієнта і назвіть одиницю, яку він справді перевіряє, перш ніж міркувати про Tor. Якщо клієнт зіставляє за призначенням, питання стає в тому, які префікси лежать усередині тунелю, а не в тому, яка програма працює.

Правило на основі призначення, що несе лише префікси приватного офісу, — поширена форма, і воно залишає звичайні вхідні з'єднання Tor прямими за задумом. Це політика, що працює як налаштовано, і це не порядок «VPN перед Tor», як би здорово не виглядав значок. Запишіть зіставляч і виключені префікси в один рядок своїх нотаток, бо саме ця пара і є правило.

Що відбувається з Tor, коли тунель падає

Тепер приберіть тунель і подивіться, що робить Tor, бо політика, яка тримається лише поки мережа здорова, — не та політика, яку ви описали. Клієнт може відмовляти прямому трафіку, поки тунель лежить, мовчки пропускати його або за мить перепідключитися й знову застосувати правило. Ручне відключення і збій — різні події, і збій — те, чого ніхто не репетирував. Тестуйте безпечним трафіком і запишіть, який із трьох результатів ви справді спостерігали.

Прочитайте й документовану поведінку клієнта, але ставтеся до документації як до гіпотези, поки ваш тест із нею не погодиться. Постачальники описують типове; виняток вирішує ваш профіль.

Чому адреса виходу не може відповісти на питання входу

Сайт, доступний через Tor, повідомляє адресу вихідного реле, що говорить, звідки вийшло коло, і нічого про те, як перший крок залишив ваш пристрій. Люди цитують цю адресу як доказ порядку «VPN першим», але вона не витримує такої ваги. Питання входу локальне: який інтерфейс ніс з'єднання до першого реле і яку адресу джерела побачив би партнер VPN. Дайте відповідь пошуком маршруту або перехопленням пакетів на пристрої, а не сайтом.

Два різні шляхи можуть дати ту саму країну виходу, тому збіг доводить ще менше, ніж здається. Порівнюйте інтерфейси, а не географію.

Програми, що так і не успадкували налаштування браузера

Переглядач документів, клієнт синхронізації та менеджер пакетів створюють кожен свої з'єднання, і жоден не успадковує проксі-налаштування браузера. Кожен дотримується зіставляча клієнта, власної конфігурації або системного проксі, і ця комбінація рідко записується. Так зростає список винятків: по одній програмі, кожне додавання розумне, поки ніхто вже не може сказати, що список охоплює. Натомість ведіть коротку схему для кожної програми, називаючи зіставляч, маршрут і поведінку при збої.

Якщо додатковий шар VPN не служить жодній меті, яку ви можете назвати, видалити шар легше перевірити, ніж підтримувати довгий список винятків. Тим часом замітка проєкту Tor про VPN підходить до того самого питання порядку з іншого боку. Менше рухомих частин означає менше припущень, які треба перевіряти після наступного оновлення клієнта.