Tor relayi va VPN serveri: nima uchun ular bir-birini almashtirmaydi

Tor relayidagi ochiq port VPN oxirgi nuqtasi emas. Avval port nima xizmat qilishini, relayning rolini, SOCKS tinglovchisining qamrovini va profilni tekshiring.

Sizda manzil bor, port javob beradi va mijoz uni hech qanday shikoyatsiz qabul qiladi. Bularning hech biri Tor relayini VPN oxirgi nuqtasiga aylantirmaydi va xato qimmatga tushadi, chunki profil toza import qilinadi va keyin qo'l berib ko'rishishda muvaffaqiyatsiz bo'ladi. Men quyidagi to'rtta tekshiruvni tartib bilan ishlataman; har birining to'xtash sharti bor va erta to'xtash asosiy masala. Agar birinchi tekshiruv muvaffaqiyatsiz bo'lsa, qolganlari yordam bera olmaydi.

Port aslida nimaga xizmat qilishini tekshiring

Ochiq port faqat tinglovchi borligini isbotlaydi, ortiq emas. Relayning ORPorti TLS qo'l berib ko'rishishdan keyin Torning o'z hujayralari bilan gaplashadi, shuning uchun muvaffaqiyatli TLS sinovi u yerda VPN protokoli qabul qilinadimi-yo'qmi haqida deyarli hech narsa aytmaydi:

nc -vz 203.0.113.20 443
openssl s_client -connect 203.0.113.20:443 -brief < /dev/null

Sertifikat borligi faktini emas, sertifikatning o'zini o'qing. Relaylar ataylab ko'zga tashlanmaydigan nom bilan o'zi imzolagan sertifikat taqdim etadi, chunki relay trafigi oddiy HTTPSga o'xshashi kerak; VPN serverining sertifikati esa profilingiz kutgan nomni olib yuradi. Agar qarshi tomon VPN protokolining birinchi paketiga hech qachon javob bermasa, profilni qanchalik tahrirlash ham natijani o'zgartirmaydi.

Agar manzil mijozingiz yuboradigan qo'l berib ko'rishishni tugatmasa, shu yerda to'xtang. Bu protokol javobi, konfiguratsiya muammosi emas va import qilingan profilning abadiy 'connecting' holatida qolishining eng keng tarqalgan sababi shu.

Tarmoq hajmini emas, relayning rolini tekshiring

Relay rollari turli ish qiladi. Guard mijozlar uchun birinchi sakrash, o'rta relay zanjirlarni boshqa relaylar orasida uzatadi, exit manzillarga tegadigan rol, ko'prik esa BridgeDB orqali tarqatiladigan ommaviy bo'lmagan kirish nuqtasi. Torning lug'ati bu ta'riflarni alohida saqlaydi va erishish mumkinligi har bir rolning qismi, ixtiyoriy mijozlarga xizmat ko'rsatish ruxsati esa ularning hech birining qismi emas.

Exit siyosatini o'qishga arziydi, chunki u uzatish qoidasiga o'xshaydigan yagona qism va exit qaysi manzillarga chiqishga ruxsat berishini tartibga soladi, ichkariga kiritiladigan mijozlarni emas. 25-portni to'sadigan qattiq exit siyosati tashqi suiiste'mol nazorati haqida bir narsa aytadi, OpenVPN mijozini mashinaga yo'naltirish mumkinmi-yo'qmi haqida emas.

Obro'ga asoslanib fikr yuritsangiz, to'xtang: relaylar trafikni uzatgani uchun manzil siznikini qabul qilishi shart emas. Tor yo'llarni konsensus va o'z protokoli orqali tanlaydi; VPN mijozi ishtirokchi emas va qo'shiladigan zanjiri yo'q.

SOCKS tinglovchisi mahalliy yoki ommaviy ekanini tekshiring

Tor mijozi shu mashinadagi ilovalarga SOCKS interfeysini ochadi, odatda loopbackda. Bu tinglovchi mahalliy qulaylik, relay internetga taklif qiladigan xizmat emas va unga ommaviy proksi sifatida qarash odamlarning o'zlari o'ylamagan ochiq relayni ishga tushirishiga olib keladigan yo'ldir:

ss -ltnp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org

Bog'lash manzili ishoradir. 127.0.0.1:9050 ustidagi SocksPort o'z ishini qilyapti; 0.0.0.0 ustida tinglab, tashqaridan erishish mumkin bo'lgani ochiq proksidir va Torning o'z kirish siyosati nazorati aynan bu ochiqlik xususiyat emas, muammo bo'lgani uchun mavjud.

Tor kerak bo'lgan ilova uchun uni loopback portiga yo'naltiring va nomlarni Tor hal qilsin, yuqoridagi socks5h shakli shuni qiladi. Bu port uchun relay manzilini qo'ymang; relay ilovangiz so'rayotgan interfeysni taklif qilmaydi.

VPN profili haqiqiy oxirgi nuqtaga mos kelishini tekshiring

VPN profili kutishlar to'plamidir: OpenVPN uchun server sertifikati yoki CA, mijoz sertifikati va kaliti, odatda TLS kaliti kerak, WireGuardga esa qarshi tomonning ommaviy kaliti, oxirgi nuqta va ruxsat etilgan IP kerak. Bularning hech birini manzil va ochiq portdan chiqarib bo'lmaydi, shuning uchun shunday qurilgan profil ulanishda emas, birinchi almashinuvda muvaffaqiyatsiz bo'ladi.

Sizga profil berilganda, uni o'zingiz nazorat qiladigan oxirgi nuqtaga yoki taniy oladigan provayderga qarshi tekshiring:

wg show
openvpn --config client.ovpn --verb 4

OpenVPN jurnalida TLS muzokarasi xatosi nomuvofiqlikni to'g'ridan-to'g'ri nomlaydi; wg show chiqishida qo'l berib ko'rishish satri bo'lmagan qarshi tomon hech qachon birortasini tugatmagan. Ikkalasi ham mijozning aylanuvchi ko'rsatkichidan ko'ra ko'proq ma'lumot beradi va ikkalasi ham Tor emas, kalit materiali yoki protokolga ishora qiladi.

Aslida qanday himoyaga ehtiyojingiz borligini tekshiring

Bu arxitekturani hal qiladigan tekshiruv. Tor brauzeri sizga VPN bermaydigan zanjir izolyatsiyasi va barmoq izlariga qarshi himoyani beradi; VPN manzilning ko'rinishini o'zgartiradi va sizni provayder oldida tasdiqlaydi. Ular orasidagi tanlov muvofiqlik emas, tahdid modeli masalasi va ikkalasini aralashtirish maxfiy ko'rinadigan, lekin unday bo'lmagan sozlamani keltirib chiqaradi.

Zanjirlash tartibga ega. Tor trafigini tashuvchi VPN qo'llab-quvvatlanadigan tartib, chunki Tor mijoziga faqat chiqish TCP kerak. Tor ichida tunnel qilingan VPN mijozi bir xil narsa emas va Tor mijozi amalga oshiradigan narsa ham emas, shuning uchun shunga asoslanib rejalashtirmang.

Biror narsani import qilishdan oldin to'rttasini ham tasdiqlang:

  • Port protokolingizning qo'l berib ko'rishishini tugatadi, faqat TCP ulanishini emas.
  • Xostning rolini bilasiz va uzatishni ruxsat deb hisoblamaysiz.
  • Ishlatadigan SOCKS tinglovchingiz loopback va sizniki, boshqaning relayidagi ommaviy port emas.
  • Profilning kalitlari yoki sertifikatlari siz ulanadigan oxirgi nuqtaga tegishli.

O'xshash maqolalar