Tor qua VPN: ai thấy IP của bạn và ai thấy việc bạn dùng Tor?
Khi dùng Tor qua VPN, relay vào thấy đầu ra VPN của bạn và nhà cung cấp của bạn thấy một relay gác. Đảo ngược thứ tự thì cả hai người quan sát đều thay đổi.
Bạn kết nối ứng dụng VPN, chờ đường hầm, rồi mở Tor Browser và để nó dựng một mạch. Chính trình tự bình thường đó quyết định ai thấy gì. Theo thứ tự đó, relay vào của Tor chào địa chỉ đầu ra VPN của bạn, và nhà cung cấp VPN của bạn chào một relay gác công khai. Làm ngược lại thì cả hai người quan sát đều thay đổi. Cả hai thứ tự đều đáng xem xét, vì cấu hình ứng dụng âm thầm phá vỡ thứ tự mà người ta tưởng đang có, và phép kiểm tra bắt được điều đó giống nhau trong cả hai trường hợp.
Bắt đầu từ thứ tự, không phải sản phẩm
Hai cách sắp xếp được gọi là «VPN với Tor», và chỉ cách thứ nhất là phổ biến. Với Tor qua VPN, đường hầm đã dựng khi Tor khởi động, nên tiến trình tor gửi kết nối gác của nó vào đường hầm như mọi lưu lượng đi ra khác. Với VPN qua Tor, Tor khởi động trước và chính phiên VPN đi qua mạch, đến nhà cung cấp từ một đầu ra Tor.
Điều thay đổi giữa chúng là địa chỉ nào đứng ở đầu xa của mắt xích ngoài cùng. Mỗi người quan sát chỉ thấy chặng trước, không bao giờ thấy toàn bộ đường đi: relay gác thấy ai đã kết nối tới nó, và máy chủ VPN thấy ai đã kết nối tới nó. Tor không mang địa chỉ đường hầm cục bộ của bạn ra ngoài, và không có trường nào trong giao thức để làm điều đó.
Trong cả hai thứ tự, trang đích vẫn thấy một đầu ra Tor, và không thứ tự nào thay đổi điều trang đó học được từ lần đăng nhập của bạn. Khác biệt chỉ giới hạn ở hai mép.
Relay vào của Tor thấy gì
Cổng vào, hay relay gác, nhận một kết nối TCP thông thường trên cổng relay và bắt đầu bắt tay TLS với ứng dụng. Trong cách bố trí Tor-qua-VPN, nguồn của kết nối đó là đầu ra VPN của bạn. Trong cách bố trí Tor-trước, đó là địa chỉ mà máy của bạn đã dùng để tới mạng Tor, thường là kết nối tại nhà của bạn.
Điều đó trả lời nửa IP của câu hỏi, nhưng chỉ khi đường hầm thực sự chở kết nối. Tiến trình Tor tới relay gác bằng socket riêng của nó, và socket đó không chịu sự điều khiển của cấu hình proxy trong Tor Browser. Trình duyệt nói chuyện với tiến trình tor đi kèm qua SOCKS ở cổng 9150, rồi tor mở kết nối riêng của nó bằng bảng định tuyến của nhân. Một dòng Socks5Proxy trong torrc, hoặc một transport của ứng dụng, thay đổi đường đó. Không gì khác.
Trên Linux bạn có thể đọc câu trả lời từ chính máy. Hỏi nhân xem nó sẽ dùng giao diện nào cho một địa chỉ công khai bất kỳ, rồi xem địa chỉ cục bộ của kết nối đã thiết lập:
ip route get 203.0.113.10
sudo ss -tnp | grep -i torNếu tuyến nói dev wg0 hoặc dev tun0, và địa chỉ cục bộ trên kết nối đã thiết lập là địa chỉ đường hầm, Tor nằm trong VPN. Nếu tuyến nêu giao diện vật lý của bạn, nó nằm ngoài, bất kể chỉ báo của ứng dụng nói gì.
Nhà cung cấp VPN của bạn thấy được gì
Nhà cung cấp kết thúc phiên VPN của bạn, nên thấy các địa chỉ bạn kết nối tới. Địa chỉ relay gác được công bố trong đồng thuận công khai và cổng của chúng được biết rõ, nên khớp một cái là tra danh sách chứ không phải kiểm tra gói sâu. Nhà cung cấp không cần phá Tor để biết một phiên là Tor.
Điều nó không thấy là phần còn lại của mạch. Relay giữa và đầu ra được chọn bên trong Tor, và nhà cung cấp chỉ xử lý mắt xích tới relay gác. Nội dung trang ở trong TLS kết thúc tại đầu ra, và việc phân giải tên cho lưu lượng Tor cũng diễn ra tại đầu ra, nên không có truy vấn DNS nào ở nhà cung cấp để tương quan với một đích.
Cầu nối với obfs4 thay đổi việc tra cứu, không thay đổi cấu trúc. Địa chỉ cầu nối không có trong danh sách relay công khai và lưu lượng được tạo hình để không trông giống Tor, nên nhà vận hành chỉ so sánh địa chỉ sẽ không đánh dấu nó. Phiên vẫn đến từ ứng dụng VPN của bạn, và nhà cung cấp vẫn thấy một điểm cuối, một khối lượng và một lịch trình.
Năng lực không phải chính sách lưu trữ
Nhà vận hành có thể quan sát một kết nối đã không hứa giữ nó. Ghi nhật ký là quyết định riêng, được ghi trong chính sách, giới hạn bởi thẩm quyền và chỉ kiểm chứng được bằng bằng chứng bạn đã tin. Nhãn không nhật ký không thay đổi vai trò mạng mô tả ở trên.
Danh tính tài khoản thường quan trọng hơn địa chỉ đầu ra. Nếu bạn đăng nhập bằng địa chỉ email, hoặc trả bằng thẻ, nhà cung cấp có thể gắn phiên với bạn mà không ghi một đích nào. Việc xoay IP đầu ra không làm gì về điều đó.
Kiểm tra phạm vi trước khi tin vào bất kỳ câu trả lời nào
Phần lớn người tưởng mình chạy Tor qua VPN chỉ chạy một phần của nó. Đường hầm chia tách loại trừ Tor Browser, công tắc ngắt bao trùm trình duyệt nhưng không bao trùm dịch vụ tor, đơn vị khởi động chạy trước khi đường hầm dựng lên, và tuyến IPv6 đi vòng qua đường hầm là bốn điều thường gặp.
Đọc màn hình trạng thái của ứng dụng không kiểm tra được điều nào trong số đó. Phép thử làm được điều đó: để Tor Browser chạy, hạ đường hầm xuống, và xem kết nối gác có sống sót trên giao diện vật lý không.
Thứ tự tôi kiểm tra, dừng ở thất bại đầu tiên:
ip route get 203.0.113.10trả về thiết bị đường hầm.ss -tnp | grep -i torhiển thị kết nối gác với địa chỉ cục bộ của đường hầm.ip -6 routekhông có tuyến mặc định bên ngoài đường hầm, hoặc IPv6 bị tắt trong ứng dụng.- Hạ VPN xuống sẽ kết thúc hoặc chuyển hướng kết nối tor thay vì để nó trên mắt xích vật lý.
Thứ tự nào phù hợp với điều bạn đang bảo vệ
Cả hai thứ tự đều giấu một điều và phơi bày một điều, nên câu trả lời là lựa chọn về người quan sát mà bạn quan tâm.
| Observer | Tor over VPN | VPN over Tor |
|---|---|---|
| Your ISP or local network | Sees a VPN connection, not Tor | Sees a Tor guard connection |
| Your VPN provider | Sees Tor use, and your home address | Sees a Tor exit as the client, not your home address |
| Tor entry relay | Sees the VPN exit | Sees your home address |
| Destination website | Sees a Tor exit | Sees a Tor exit |
Đọc theo cột cho đến khi một hàng khớp với điều bạn muốn ngăn. Nếu mối lo là mạng cục bộ hay nhà cung cấp dịch vụ ghi lại hoặc chặn Tor, Tor qua VPN xử lý việc đó. Nếu mối lo là nhà vận hành VPN biết địa chỉ nhà của bạn, VPN qua Tor xử lý việc đó, và trả giá bằng cách phơi bày việc dùng Tor cho chính mạng của bạn và địa chỉ nhà cho relay gác.
Không cách bố trí nào để cả hai mép mù. Thêm một người quan sát không loại bỏ người khác. Ghi chú của Tor Project về chạy VPN cùng Tor nói điều tương tự từ phía bên kia: đường hầm thay đổi ai được tin và những đường hỏng nào tồn tại, nên đây không phải một nâng cấp để thêm vào mà không quyết định điều bạn muốn giấu.
Quyết định người quan sát trước, chọn thứ tự sau, và kiểm chứng bằng ip route get và ss thay vì chỉ báo của ứng dụng. Nếu người quan sát là kẻ có thể cưỡng ép chính nhà cung cấp VPN, không lựa chọn thứ tự nào sửa được điều đó.