من يستطيع رؤية حركة مرورك على خادم VPN مستأجر؟
استئجار خادم VPN ينقل الثقة إلى مزوّد الاستضافة. تتبّع المسار من العميل إلى المخرج واعرف ما يستطيع كل مراقب معرفته وما لا يستطيع.
استئجار خادم يغيّر من تثق به، ولا يزيل السؤال. النفق يخفي حركة مرورك عن الشبكات التي يعبرها، ثم يسلّم النص الصريح إلى آلة يديرها هايبرفايزر شخص آخر. تتبّع الحزمة من عميلك إلى الخارج يُظهر موقع كل مراقب وما يستطيع كل واحد منهم رؤيته فعلًا. هذه الجولة أنفع من أي ادعاء بأنك مجهول.
ابدأ من العميل وتتبّع الحزمة إلى الخارج
قبل أن يغادر أي شيء الحاسوب المحمول، يلفّ العميل الحزمة ويعنونها إلى نقطة النهاية العامة للخادم. شبكتك المحلية ومزوّد خدمة الإنترنت يريان مسارًا واحدًا إلى ذلك العنوان والمنفذ، بحجم وإيقاع. ما لا يريانه هو أي موقع فتحت، لأن تلك الوجهة تقع داخل الحمولة المشفّرة. الخط الفاصل بين البيانات الوصفية والمحتوى هو الجولة كلها في جملة واحدة.
تلك القفزة الأولى هي حيث تتوقف معظم الادعاءات التسويقية عن أن تكون مثيرة للاهتمام. جار على شبكة Wi-Fi نفسها يرى ما يراه مزوّد الإنترنت، ولا أي منهما يرى الصفحة. الحجم والتوقيت يبقيان مرئيين، وهما يصفان السلوك حتى عندما لا تفعل الحمولة ذلك.
شبكة الاستضافة ترى النفق لا الصفحة
داخل شبكة المزوّد تصل التدفقة المشفّرة إلى مُبدّل، ثم إلى واجهة افتراضية، ثم إلى آلتك الافتراضية. من يشغّل تلك الشبكة يستطيع عدّ البايتات وحفظ سجلات التدفق دون حمل أي مفتاح، ولا حاجة إلى مفتاح لذلك. هذا هو بالضبط الموقع الذي يشغله مزوّد الاستضافة.
في طريق الخروج تتغيّر الصورة. تفتح الآلة الافتراضية اتصالًا جديدًا بالوجهة، فترى شبكة الاستضافة عنوان تلك الوجهة ومصافحة TLS حوله. تبقى الحمولة محمية بتشفير التطبيق نفسه، أما البيانات الوصفية فلا.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
اقرأ الصفوف بالترتيب وسيظهر شكل المشكلة: كل صف يرى أكثر من الصف الذي فوقه، ولا يحتاج أي منها إلى كسر الـ VPN لفعل ذلك.
داخل الآلة الافتراضية ينتهي النفق ويبدأ النص الصريح
ينتهي النفق عند آلتك الافتراضية، فيرى الضيف الحزمة الداخلية قبل أن يعيد أي شيء تشفيرها. هذا ليس عيبًا؛ هذا ما يفعله مخرج مستضاف ذاتيًا. وهو يعني أن أمن المخرج يعتمد على من يدير الضيف، وبهذا الحساب أنت المدير.
wg show
ss -tunp | head
nft list ruleset | head -40نفّذ تلك الأوامر على الخادم وستفحص المقابس نفسها التي يمكن لمشغّل يملك صلاحية الجذر على الضيف فحصها. أي شيء تسجّله الخدمات التي تشغّلها يقع داخل حد الثقة نفسه، ولهذا فإن إعدادات سجلات الضيف وسجلات البنية التحتية سؤالان منفصلان لا إعداد واحد.
الهايبرفايزر يجلس تحت الضيف
الآلة الافتراضية لا تملك النواة التي تعمل عليها. يرسم الهايبرفايزر ذاكرتها وبطاقة شبكتها الافتراضية، فالمشغّل على تلك الطبقة خارج قدرة الضيف على التدقيق. عزل الضيف حقيقي ويستحق الاعتماد عليه بين المستأجرين، وهو ليس وعدًا بأن الوصول المميّز مستحيل. هذا التفاوت يستحق أن يُقال بوضوح بدل أن يُخفى خلف كلمة عزل.
الخادم الفيزيائي المخصص يغيّر الترتيب دون إزالة الشبكة أو الوصول الفيزيائي أو واجهة الإدارة التي يوفّرها المزوّد. اقرأ ما توثّقه المنتجات بدل أن تدع كلمة واحدة تحسم مسألة الوصول.
حوّل الجولة إلى قرار ثقة
اكتب كل مراقب والقدرة التي تمنحها له، ثم قرّر ما إذا كان هذا المنح يناسب حركة المرور التي تنوي إرسالها. القائمة قصيرة: شبكتك المحلية، ومزوّد الإنترنت، وشبكة الاستضافة، ومشغّل الهايبرفايزر، وأنت. أي شيء آخر هو متعاقد من الباطن لأحد هؤلاء ويرث القدرة نفسها. القرار مسبقًا أرخص من اكتشاف القائمة لاحقًا.
ثم تحقّق من الأجزاء التي يمكنك فحصها فعلًا: أي سجلات تكتبها خدماتك، وكم تحتفظ بها، وما ينشره المزوّد عن سجلات التدفق والاحتفاظ. السياسات التي يمكنك قراءتها واختبارها أفضل من الافتراضات حول معنى كلمة مثل «خاص».