Relay thoát Tor so với máy chủ thoát VPN: mỗi bên biết gì
Relay thoát Tor và máy chủ thoát VPN đều hiển thị một địa chỉ công khai, nhưng chia sẻ hiểu biết theo cách khác nhau. So sánh khả năng hiển thị, phạm vi và chính sách cổng.
Cả hai thiết kế đều giấu địa chỉ của bạn sau một IP công khai, và một trang in ra địa chỉ nó thấy không thể phân biệt chúng. Khác biệt nằm ở việc ai học được gì trên đường đi, bao nhiêu lưu lượng được bao phủ và những cổng nào được phép hoạt động. Relay thoát Tor là bước nhảy cuối của mạch ba relay; máy chủ thoát VPN kết thúc đường hầm của bạn và tự mở kết nối đi ra. Dưới đây là cách tôi quyết định nhiệm vụ cần bên nào, và những gì tôi kiểm tra trước khi giả định bên này hành xử như bên kia.
Hai con đường kết thúc ở một địa chỉ
Tor xây dựng một mạch qua một người canh gác, một relay giữa và một lối ra, và mã hóa tải trọng theo lớp để mỗi relay chỉ bóc lớp của mình. Lối ra thực hiện kết nối TCP thông thường tới đích, vì thế đích nhìn thấy địa chỉ lối ra. Ứng dụng khách của bạn không bao giờ nói trực tiếp với đích, và người canh gác cũng không thấy nó.
VPN là một đường hầm tới một điểm cuối. Máy chủ của nhà vận hành gỡ đường hầm và mở kết nối đi ra, nên đích cũng chỉ thấy một địa chỉ, lần này là của nhà vận hành. Kết quả quan sát được là như nhau; hiểu biết thì không. Một bài kiểm tra in ra IP trả lời bạn đang ở hệ thống nào và không nói gì về cách chia sẻ niềm tin vốn thực sự khác nhau.
Cuối cùng ai biết gì
Điểm cuối VPN thấy địa chỉ nguồn, đích, thời điểm và khối lượng ở một chỗ. Sự tập trung đó chính là thiết kế: một nhà vận hành, một bề mặt nhật ký, một nơi để triệu tập hoặc cấu hình sai. Mọi thứ bạn giành được đến từ việc tin tưởng bên đó và từ chính sách đi ra của điểm cuối.
Tor chia sẻ hiểu biết đó. Người canh gác biết địa chỉ của bạn nhưng không biết đích; lối ra biết đích nhưng không biết địa chỉ của bạn. Một relay không được học cả hai. Đó là thuộc tính cấu trúc, không phải lời hứa chống lại kẻ quan sát toàn cầu, một relay tương quan thời điểm hay một điểm cuối bị xâm phạm, nên hãy coi đó là cách phân phối khác của cùng rủi ro, không phải sự ẩn danh không thể thất bại.
| What is known | Tor exit relay | VPN exit server |
|---|---|---|
| Your public address | Seen by the guard relay, not the exit | Seen at the endpoint |
| Final destination | Seen at the exit | Seen at the endpoint |
| Coverage | Applications configured for Tor, chiefly Tor Browser | Whatever the route policy includes |
| Plain HTTP payload | Readable at the exit | Readable at the endpoint |
Phạm vi là quyết định của trình duyệt hay của tuyến
Trình duyệt Tor tự định tuyến lưu lượng của mình và thêm các biện pháp bảo vệ mà một ứng dụng khách VPN thông thường không tái tạo: chống dấu vân tay, cô lập bên thứ nhất, kích thước cửa sổ cố định và hành động Danh tính mới loại bỏ trạng thái phiên. Các ứng dụng khác không dùng mạch đó trừ khi được cấu hình cho việc đó, và thiết lập Tor toàn hệ thống là một dự án riêng so với việc cài trình duyệt.
VPN có hình dạng ngược lại. Phạm vi đi theo bảng định tuyến, nên một hồ sơ WireGuard có AllowedIPs = 0.0.0.0/0 bắt được mọi thứ và danh sách đường hầm chia tách chỉ bắt các tiền tố mà nó nêu tên. Chính trong cơ chế đó cũng tồn tại rò rỉ: truy vấn DNS, IPv6 và WebRTC mỗi thứ có thể đi theo một đường mà chính sách định tuyến không bao gồm. Hãy kiểm tra từ bên trong ứng dụng đã thất bại, không phải từ tab trình duyệt có thể đang dùng giao diện khác.
Chính sách cổng, đích bị chặn và HTTPS
Relay thoát được tự do từ chối các cổng đi ra, và chính sách mặc định từ chối danh sách các cổng dễ bị lạm dụng, trong đó có cổng SMTP 25. Vì thế một ứng dụng thư được cấu hình qua Tor sẽ thất bại ở lối ra, điều trông giống lỗi mạng và không phải. Các nhà vận hành chạy relay đặt điều này một cách rõ ràng:
# torrc — refuse outbound SMTP from this relay
ExitPolicy reject *:25Các đích cũng chặn, và chúng chặn hai hệ thống theo cách khác nhau. Địa chỉ lối ra Tor được công bố, nên một trang có thể từ chối toàn bộ danh sách; các điểm cuối VPN nằm trong dải trung tâm dữ liệu cũng bị từ chối dễ dàng như vậy. Khi một trang thất bại, hãy tách ba ứng viên trước khi thay đổi bất cứ điều gì: chính sách lối ra hay đi ra, một đích từ chối nguồn, hay một cổng bắt giữ chiếm yêu cầu đầu tiên.
Không hệ thống nào thay thế mã hóa truyền tải. HTTP thuần có thể đọc được cả ở relay thoát lẫn ở điểm cuối VPN, nên hãy để HTTPS bật và đọc cảnh báo chứng chỉ thay vì bỏ qua nó. Hai kiểm tra giải quyết nhanh câu hỏi về tuyến: curl -s https://check.torproject.org/api/ip trả về IsTor khi yêu cầu đi qua một mạch, và curl -s https://ifconfig.me hiển thị địa chỉ đi ra mà một VPN sẽ trình bày. Chạy cả hai cho bạn biết shell thực sự dùng tuyến nào.
Đừng dùng bên này như bên kia
Địa chỉ của relay thoát không phải là hồ sơ VPN. Trỏ một ứng dụng khách OpenVPN hay WireGuard tới relay trên cổng 443 không tạo đường hầm, vì không có dịch vụ VPN nào lắng nghe ở đó; relay là một bước nhảy trong mạch của người khác. Ở chiều ngược lại, điểm cuối VPN không phải điểm vào cho Tor, và phần cài đặt cầu nối của trình duyệt Tor không phải nơi dán tên máy chủ của một VPN thương mại. Nếu bạn chạy Tor trên VPN, người canh gác thấy địa chỉ VPN thay vì của bạn, điều đó thay đổi cách phân chia mà không hợp nhất hai vai trò.
Trước khi chọn, trả lời bốn câu hỏi theo thứ tự: ai vận hành điểm cuối và nó giữ lại gì, công cụ bao phủ gì trên thiết bị này, chính sách đi ra cho phép những cổng và đích nào, và ứng dụng thêm gì ngoài đường mạng. Một nhiệm vụ cần truy cập mạng thông thường cho nhiều chương trình muốn một VPN. Một nhiệm vụ cần các biện pháp bảo vệ ở cấp trình duyệt và mô hình mạch muốn trình duyệt Tor, được giữ cập nhật. Nếu câu trả lời là «cả hai», hãy chạy chúng theo thứ tự có chủ đích và ghi lại bên nào thấy địa chỉ nào.