Tor su VPN: configurazione e rischi
Combinare Tor e VPN è una tecnica per aumentare anonimato e privacy. Esistono due modalita principali: Tor over VPN (ti connetti prima alla VPN, poi a Tor) e VPN over Tor (prima Tor, poi VPN). Entrambe hanno vantaggi specifici e controindicazioni importanti.
Differenze tra le modalita
Tor over VPN nasconde l'uso di Tor al tuo ISP perché vede solo traffico VPN; e l'opzione più semplice è popolare. VPN over Tor permette di accedere a servizi che bloccano IP di exit node Tor, ma richiede setup complesso e ha rischi diversi (il provider VPN ti vede arrivare da Tor).
Procedura passo-passo
- Tor over VPN: connettiti normalmente al provider VPN.
- Apri Tor Browser: il traffico parte cifrato dalla VPN e entra in Tor.
- Verifica su check.torproject.org che tu sia su Tor.
- VPN over Tor: configura proxychains o un container con tutto il traffico forzato in Tor.
- Avvia poi il client VPN attraverso Tor (richiede provider che accetti pagamento anonimo).
- Verifica IP finale e che la catena sia corretta.
- Considera che ProtonVPN ha integrazione Tor nativa via server speciali.
Snowflake e bridges
Per chi vive in paesi con censura attiva di Tor (Cina, Iran, Russia), Tor Project offre bridges (entry node non pubblici) e Snowflake (volontari che fanno da proxy WebRTC). Combinati con VPN obfuscation creano stack difficile da bloccare. Tor Browser ha integrazione nativa per bridges in Settings > Connection.
Onion services e .onion
Tor non e solo anonimato outbound ma anche piattaforma per hidden services accessibili solo via Tor. Molti servizi (DuckDuckGo, ProtonMail, BBC, New York Times) gestiscono onion mirror ufficiali, accessibili via Tor anche se il dominio classico e bloccato. ProtonMail ad esempio offre protonmailrmez3lotccipshtkleegetolb73fuirgj7r4o4vfu7ozyd.onion.
Quando NON combinare Tor e VPN
Combinare Tor e VPN può essere controproducente se non capisci il modello di minaccia. Per privacy quotidiana basta VPN seria. Per anonimato pesante (whistleblower, attivismo politico) Tor da solo, da OS dedicato (Tails) e con disciplina operativa, e più sicuro che mix mal configurato.
OpSec essenziale
Anonimato vero richiede operational security oltre la tecnologia: niente login con account personali, browser fingerprinting (Tor Browser di default ok), tempistiche di accesso (evita pattern), uso di OS dedicato (Tails, Whonix), spending pattern (evita pagamenti correlabili). La tecnologia e solo strumento, l'OpSec è il vincolo critico per attori sofisticati.
Tor exit policies
I Tor exit node hanno policy: alcuni bloccano specifiche porte (SMTP, BitTorrent) per evitare abusi. Per usi specifici verifica che la sessione Tor abbia exit node che permette il traffico desiderato. ExitNodes country specification in torrc permette di scegliere stato di uscita per scopi geo-specific.
Best practice di sicurezza
Indipendentemente dalla soluzione VPN scelta, alcune regole valgono sempre: usa chiavi e certificati robusti (RSA 2048+ o ECC P-256+, chiavi WireGuard generate con tool ufficiali), aggiorna regolarmente sia il software server sia i client, applica patch security non appena rilasciate, monitora i log per identificare attività anomale, ruota le credenziali periodicamente, segmenta la rete in modo che il tunnel non dia accesso indiscriminato a tutta la LAN aziendale, e formalizza una policy di disaster recovery con backup delle configurazioni. La VPN protegge il tunnel in transito ma non sostituisce hygiene di sicurezza degli endpoint: combina con MFA, EDR, patching aggressivo e formazione utenti per ottenere una postura di sicurezza completa.
Monitoring e osservabilita
Una VPN che non viene monitorata è una VPN che non sai se funziona. Raccogli metriche minime: numero di sessioni attive, latenza media end-to-end, percentuale di handshake riusciti vs falliti, throughput aggregato, geolocazione client. Strumenti come Prometheus + Grafana, Zabbix, PRTG o stack ELK forniscono dashboard utili. Configura alert proattivi su soglie critiche: tunnel down per oltre N minuti, picchi anomali di tentativi di autenticazione falliti, traffico fuori orario. In ambito aziendale integra con SIEM per correlazione cross-system e response automatica. Il monitoring continuo trasforma la VPN da componente passiva a infrastruttura osservabile e tunable nel tempo.
Documentazione e procedure operative
Documenta sempre l'architettura VPN come la documentereresti per un nuovo collega che la prende in carico domani: diagramma di rete, IP scheme, chiavi/certificati e dove sono custoditi, procedure di onboarding e revoca utenti, processi di rotazione chiavi, runbook per incidenti comuni (tunnel giu, latency anomala, certificato scaduto), responsabilità ownership. Conserva la documentazione in un wiki interno (Confluence, BookStack, GitBook) versionato e con backup. Quando un membro del team lascia, basta passare il riferimento alla documentazione: continuita operativa garantita anche con turnover.
Errori comuni e come risolverli
- Pensare che si diventi anonimi al 100%: il fingerprinting del browser e altri leak operativi sono il vero rischio.
- Login su account personali dietro Tor: annullano l'anonimato: usa account separati monouso.
- Tor exit node compromesso: alcuni exit node fanno MITM su HTTP: usa sempre HTTPS.
- Velocità inaccettabile: Tor e intrinsecamente lento (1-5 Mbps): non e adatto a streaming.
Domande frequenti
D: Tor o VPN?
R: Dipende: VPN per privacy quotidiana e geo-unblock; Tor per anonimato vero contro avversari potenti.
D: Quale modalita scegliere?
R: Tor over VPN nella stragrande maggioranza dei casi; VPN over Tor solo per scenari avanzati.
D: Tor è legale?
R: Si in molti paesi; uso illecito (acquisti dark, pirateria) resta illegale a prescindere.
Hai bisogno di aiuto?
Se vuoi configurare VPN aziendale con G Tech Group, scrivici tramite il modulo di contatto.