VPN qua Tor: kiểm tra lớp truyền tải trước

Tor trước nghĩa là ứng dụng khách VPN nằm sau một proxy SOCKS, nên bản thân đường hầm được dựng qua Tor và lưu lượng ứng dụng đi ra từ điểm cuối VPN. Đó là một thứ tự cụ thể, và không phải thứ mà hầu hết mọi người dựng. Mở Tor Browser bên cạnh một ứng dụng khách VPN thông thường không buộc chương trình nào phải dùng đường của chương trình kia.

Đi qua các bước kiểm tra theo thứ tự. Mỗi bước quyết định xem bước tiếp theo có đáng bắt đầu không.

Bạn thực sự đang dựng thứ tự nào

Hai thứ tự bị nhầm lẫn trong cùng một cuộc trò chuyện. Tor trước nghĩa là ứng dụng khách VPN đến máy chủ của nó qua một proxy SOCKS, nên đường hầm được dựng trên Tor. VPN trước nghĩa là lưu lượng Tor đi ra qua đường hầm, điều mà hầu hết mọi người dựng do vô tình rồi mô tả đó là thứ tự kia. Cái đầu tập trung ranh giới chuyển tiếp ở nhà cung cấp VPN, cái sau tập trung nó ở điểm vào và điểm ra của Tor. Không cái nào là thứ bạn có được khi để cả hai ứng dụng mở cùng lúc.

Ghi lại thứ tự mà công việc cần trước khi cấu hình bất cứ thứ gì, vì cả hai đòi hỏi cài đặt phần mềm khác nhau và thất bại ở những chỗ khác nhau. Một thứ tự bị dán nhãn sai sẽ khiến bạn mất một giờ gỡ lỗi sai tầng. Mọi thứ bên dưới đều giả định Tor trước.

Kiểm tra lớp truyền tải trước mọi thứ khác

Giao diện SOCKS của Tor mang các luồng TCP và không cung cấp liên kết UDP tổng quát. Một VPN có lớp truyền tải là UDP không thể coi proxy đó như một giao diện mạng thông thường, và không cài đặt nào của ứng dụng khách thay đổi được điều proxy sẵn sàng chuyển tiếp. WireGuard ở dạng thông thường là nạn nhân rõ ràng. Một hồ sơ OpenVPN ở chế độ TCP là giải pháp thông dụng, và nó vẫn phải được nói rõ rằng hãy dùng proxy.

ss -lntp | grep 9050
curl --socks5-hostname 127.0.0.1:9050 -o /dev/null -w '%{http_code}\n' https://example.com

Xác nhận proxy đang lắng nghe và có thể mang một yêu cầu HTTPS đơn giản trước khi gỡ lỗi một đường hầm qua nó. Nếu yêu cầu đơn giản thất bại, ứng dụng khách VPN sẽ không bao giờ thành công và nhật ký của nó sẽ không cho bạn biết vì sao.

Viết lại bản đồ người quan sát

Điểm vào của Tor có thể thấy nguồn kết nối vào Tor trừ khi có gì đó trước đó đã thay đổi nó, nên bước nhảy đó biết địa chỉ của bạn. Nhà cung cấp VPN nhận một kết nối đến từ phía Tor nhưng vẫn có thể biết một tài khoản, bản ghi thanh toán hoặc thông tin đăng nhập mà bạn gửi bên trong đường hầm. Các đích đến được tiếp cận qua VPN thấy lối ra của nó chứ không phải lối ra của Tor, và điều đó tập trung ranh giới chuyển tiếp cuối cùng ở một nhà cung cấp.

Nó cũng không tạo lại một đường phân tán đến từng đích. Tor Browser dựng một mạch mới cho mỗi trang; một VPN được mang qua Tor dựng một đường hầm duy nhất, và mọi trang phía sau nó chia sẻ điểm cuối đó. Hãy coi sự khác biệt là một thực tế thiết kế chứ không phải hạn chế cần xóa bỏ.

Đếm các tầng thất bại khi nó hỏng

Một thiết lập hỏng có ít nhất bốn tầng độc lập: kết nối SOCKS, bắt tay TLS với máy chủ VPN, bản thân bắt tay VPN, và sau đó là định tuyến hoặc phân giải tên bên trong đường hầm. Mỗi tầng thất bại với một triệu chứng khác nhau và mỗi tầng cần một cách sửa khác nhau. Nới lỏng kiểm tra chứng chỉ vì đường hầm không lên là chẩn đoán sai kinh điển, và nó biến vấn đề truyền tải thành vấn đề bảo mật.

Ghi lại tầng đầu tiên thất bại và dừng ở đó. Việc proxy từ chối và khóa bị từ chối không phải là các biến thể của cùng một sự kiện.

Dừng lại nếu mô hình đe dọa cần đến các biện pháp phòng vệ của Tor Browser

Định tuyến các ứng dụng tùy ý qua một VPN được Tor mang theo không cho những ứng dụng đó các tính năng dấu vân tay và cách ly của Tor Browser. Tài khoản, định danh và hành vi mạng riêng của chúng vẫn liên quan, và một đường hầm không chuẩn hóa bất kỳ điều nào trong số đó. Nếu mục tiêu là một trình duyệt hòa lẫn với người dùng khác, thứ tự này không mang lại điều đó.

Bản thân Tor Project cảnh báo chống lại những kết hợp mà người dùng không thể cấu hình đúng, và trường hợp này đúng với hầu hết mọi người. Đây là thiết kế có chủ đích cho một mô hình đe dọa hẹp, không phải lối tắt đến lưu lượng ẩn danh cho toàn bộ thiết bị.