Monero праз VPN: які з трох сеткавых шляхоў змяняецца?

Адкрыйце кашалёк, запусціце дэман і намалюйце тры стрэлкі, перш чым нешта ўключыць. Адна стрэлка ідзе ад кашалька да порта RPC вузла, другая нясе сінхранізацыю паміж аднаранговымі вузламі дэмана, трэцяя нясе лакальна адпраўленыя транзакцыі да шляху перадачы. Гэта розныя злучэнні з рознымі наладамі, і VPN або сетка ананімнасці можа ахопліваць адно з іх, два або ніводнага.

Ідзіце па шляхах у тым парадку, у якім іх адкрывае праграмнае забеспячэнне. Пазначэнне кожнай стрэлкі яе прызначэннем і транспартам — гэта тое, што робіць наступнае сцвярджэнне пра прыватнасць правераным. Парадак важны, бо наступнае сцвярджэнне звычайна ахоплівае толькі адзін з іх.

Пачніце з малявання злучэння кашалька з вузлом

Кашалёк, які зносіцца з аддаленым вузлом, шле запыты RPC на адрас і порт гэтага вузла. Кашалёк з лакальным дэманам зносіцца замест гэтага з інтэрфейсам зваротнай пятлі. Гэта розныя даверныя адносіны, нават калі ў звычайнай размове абодва называюць “вузлом”.

Запішыце адрас, порт і транспарт, якія кашалёк настроены выкарыстоўваць. Калі ў кашалька ёсць уласная налада проксі, запішыце яе асобна ад налад дэмана; налада аднаго працэса не наладжвае другі.

Менавіта тут публічная канцавая кропка RPC становіцца спакуслівай. Адкрыццё службы RPC вузла, каб спрасціць схему, абменьвае сеткавы шлях на паверхню атакі. Трымайце сувязь кашалька з вузлом на прыватным шляху або інтэрфейсе зваротнай пятлі і задакументуйце, які менавіта. Схема, якая хавае гэтае адкрыццё, горш за адсутнасць схемы.

Далей прасачыце трафік аднаранговых вузлоў дэмана

Дэман, які сінхранізуецца, адкрывае зыходныя злучэнні да аднаранговых вузлоў і абменьвае даныя ланцуга праз свой порт аднаранговай сеткі. Гэты трафік не з'яўляецца спасылкай RPC кашалька і не накіроўваецца аўтаматычна праз проксі кашалька. Ён падпарадкоўваецца ўласным сеткавым наладам дэмана і табліцы маршрутызацыі хоста.

Запішыце порт аднаранговых вузлоў, колькасць злучэнняў і тое, ці настроены дэман на выкарыстанне проксі для гэтага трафіку. Затым праверце маршрут хоста для ўзорнага адраса аднаранговага вузла. Калі VPN захоплівае маршрут па змаўчанні, злучэнні, хутчэй за ўсё, выкарыстоўваюць яго; калі дэман прывязаны да пэўнага інтэрфейса, магчыма, не. Гэтыя два факты вызначаюць стрэлку.

Пытанне назіральніка змяняецца разам з гэтым шляхам. VPN хавае злучэнні з аднаранговымі вузламі ад лакальнай сеткі доступу, але канцавая кропка VPN і самі гэтыя вузлы бачаць іншую карціну. Ні адно з назіранняў не даказвае, што запыты кашалька ішлі тым жа шляхам.

Затым адасобце шлях перадачы транзакцый

Лакальна адпраўленыя транзакцыі можна накіраваць у сетку праз настроены рэтранслятар або проксі. У актуальнай дакументацыі дэмана Monero гэтая опцыя адпраўляе праз проксі толькі трафік перадачы транзакцый, які вы на яго скіроўваеце. Яна не робіць кожнае злучэнне RPC, кашалька і сінхранізацыі трафікам праз проксі.

Дакументацыя праекта пра сеткі ананімнасці апісвае інтэграцыю Tor і I2P як эксперыментальную і абмяжоўвае паводзіны перадачы. Чытайце дакументацыю для той версіі, якую вы сапраўды запускаеце, бо старыя абмеркаванні выкарыстоўваюць такія назвы, як Kovri, і апісваюць кампаненты, якіх у такой форме ўжо няма.

Трымайце шлях перадачы асобна на схеме. Транзакцыя, якая выходзіць праз проксі, пакуль запыты балансу кашалька ідуць праз аддалены вузел, мае двух розных назіральнікаў, і тое, што транзакцыя ішла праз проксі, нічога не кажа пра шлях запыту.

Дадайце VPN толькі пасля таго, як тры шляхі пазначаны

Калі стрэлкі намаляваны, адзначце, якія з іх VPN сапраўды нясе. VPN поўнага тунэлю захоплівае маршрут хоста па змаўчанні, таму злучэнні, якія ідуць па змаўчанні, будуць выкарыстоўваць яго. Раздзелены тунэль, прывязаны інтэрфейс або проксі, які выходзіць праз пэўны адрас, могуць пакінуць некаторыя стрэлкі па-за тунэлем.

Цяпер выразна сфармулюйце мадэль назіральніка. У схеме, дзе злучэнне сеткі ананімнасці ідзе ўнутры VPN, лакальная сетка доступу бачыць знешняе злучэнне VPN, а бок VPN бачыць далейшае злучэнне. Гэта змена назіральніка, а не доказ знікнення ідэнтыфікавальных сігналаў.

Праверце паводзіны пры збоі ў рамках таго ж праходу. Калі VPN падае, ці вяртаецца дэман да прамога злучэння з аднаранговымі вузламі, ці працягвае кашалёк апытваць аддалены вузел, і ці закрываецца проксі перадачы ў стане адмовы? Калі блакаванне не настроена, перападключэнне звычайна азначае новую прямую спробу, а не цішыню.

Праверце шляхі, якія, на ваш погляд, вы наладзілі

Выкарыстоўвайце ўласныя сродкі хоста: прачытайце маршрут для кожнага прызначэння, агледзіце слухаючыя і ўсталяваныя сокеты і пацвердзіце, які працэс валодае кожным злучэннем. Рабіце гэта, калі кашалёк, дэман і перадача ўсе запушчаны, бо шлях, які існуе толькі пры запуску, можа знікнуць пасля перападключэння.

Паўтарыце пасля перападключэння VPN і пасля перазапуску дэмана. Параўнайце прызначэнні і транспарты са схемай. Калі стрэлка перамясцілася, мадэль прыватнасці перамясцілася разам з ёй, нават калі кожны працэс па-ранейшаму паведамляе пра здароўе.

Запішыце тры прызначэнні, транспарт для кожнага і назіральніка, ад якога вы хочаце іх схаваць. Кароткая карта шляхоў з названымі назіральнікамі карыснейшая за адзіны індыкатар VPN, калі на адной машыне працуюць некалькі незалежных кліентаў.