VPN trước Tor: thứ tự thực sự thay đổi điều gì

Kết nối VPN trước tạo ra một chuỗi cụ thể: thiết bị, điểm cuối VPN, lối vào Tor, mạch Tor, đích đến. Mạng cục bộ của bạn nhìn thấy một kết nối được mã hóa tới VPN, và nút vào Tor nhìn thấy lối ra VPN như nguồn trực tiếp thay vì địa chỉ của nhà cung cấp. Nhà vận hành VPN lại nhìn thấy các kết nối hướng tới hạ tầng vào Tor và có thể suy ra việc dùng Tor từ các đích đến. Mỗi bên quan sát mất một thứ và được một thứ, vì vậy thứ tự là một sự trao đổi chứ không phải nâng cấp.

Không gì trong chuỗi đó thay đổi điều trang web học được từ tài khoản, cookie hoặc thông tin bạn gõ.

Thứ tự thay đổi điều gì

Mạng cục bộ và nhà cung cấp internet mất khả năng nhìn trực tiếp lưu lượng Tor của bạn, vì chặng đầu giờ là một đường hầm mã hóa tới nhà cung cấp. Người gác lối vào Tor mất địa chỉ nhà của bạn và nhìn thấy lối ra VPN. Nhà cung cấp VPN nhận được siêu dữ liệu mà ISP của bạn từng giữ: bạn liên hệ với địa chỉ nào, vào thời điểm nào và bao nhiêu dữ liệu di chuyển.

Sau người gác lối vào, mạch hoạt động như trước. Các relay vẫn tách vai trò vào, giữa và ra, và VPN không nhìn thấy nội dung cuối cùng nhiều hơn ISP của bạn.

Xác nhận đường đi thực sự được dùng

Tunneling chia tách là lý do thường gặp khiến chuỗi dự định không phải chuỗi thật.Nếu Tor Browser bị loại khỏi đường hầm, hoặc một hồ sơ thứ hai định tuyến khác đi, người gác lối vào lại thấy địa chỉ nhà cung cấp trong khi giao diện vẫn trông như đã kết nối. Hãy kiểm tra tuyến và lối ra quan sát được, không phải biểu tượng.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

Yêu cầu SOCKS qua cổng 9150 do chính ứng dụng khách của Tor Browser trả lời, nên phản hồi IsTor true xác nhận mạch của trình duyệt, không phải mọi chương trình khác đều dùng nó. Đáng ghi lại đầu ra của bộ phân giải vì DNS có thể đi ra bằng một tuyến mà đường hầm không bao phủ. Lưu cả hai đầu ra kèm dấu thời gian. Chúng là đường cơ sở cho lần so sánh tiếp theo.

So sánh với một yêu cầu trực tiếp từ terminal thông thường: nếu nó cũng báo Tor, thì có thứ khác đang chuyển hướng lưu lượng và chuỗi không như thiết kế giả định.

Quan sát điều gì xảy ra khi đường hầm sập

Một ứng dụng khách lặng lẽ quay về giao diện cục bộ sẽ thay đổi nguồn mà người gác lối vào nhìn thấy, và người dùng thường không biết vì trang vẫn đang tải. Chính lỗi đó mới đáng thử, không phải con đường suôn sẻ. Hãy ngắt đường hầm có chủ đích và xem lưu lượng Tor dừng lại hay tiếp tục mà không được bảo vệ.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Các quy tắc tường lửa chặn lưu lượng đi ra ngoài đường hầm là biện pháp kiểm soát dự phòng đáng tin cậy duy nhất, và chúng phải bao phủ cả ứng dụng khách SOCKS của trình duyệt lẫn bất kỳ chương trình nào khác mà bạn quan tâm. Tiện ích mở rộng trình duyệt không phải VPN cấp thiết bị và không ảnh hưởng tới chương trình khác hay người quan sát bên ngoài.

Quyết định xem lớp thêm có đáng tin hay không

Dự án Tor khuyên không xếp VPN bên dưới Tor trừ khi bạn có thể tự đánh giá cấu hình. Lý do họ nêu là sự phụ thuộc thêm: một bên nữa, một tài khoản nữa và một kiểu lỗi nữa. Nếu mục tiêu là ngăn ISP của bạn thấy bạn dùng Tor, VPN nhắm đúng vào bên quan sát đó. Nếu mục tiêu là ẩn danh mạnh hơn trước một bên quan sát toàn cầu, VPN không cung cấp điều đó.

Thứ tự ngược cũng tồn tại, và các tên không thể hoán đổi cho nhau:Tor trên VPN và VPN trên Tor mô tả những quan hệ tin cậy khác nhau và hành vi lỗi khác nhau. Đọc phần so sánh trước khi trộn chúng.

Hãy ghi ra bên quan sát nào bạn muốn dịch chuyển, sau đó xác minh rằng đường đi thật khớp với thiết kế, sau đó xác minh hành vi khi lỗi. Nếu ba câu trả lời đó không biện minh cho tài khoản và cấu hình thêm, cấu hình Tor Browser được ghi chép có ít phần hơn để làm sai.