Кой вижда трафика ви на нает VPN сървър?

Наемането на сървър променя на кого се доверявате и не премахва въпроса. Тунелът скрива трафика ви от мрежите, които пресича, после предава открития текст на машина, управлявана от чужд хипервизор. Проследяването на пакета навън от клиента ви показва къде стои всеки наблюдател и какво наистина може да види всеки от тях. Тази разходка е по-полезна от всяко твърдение за анонимност.

Започнете от клиента и проследете пакета навън

Преди нещо да напусне лаптопа, клиентът обвива пакета и го адресира до публичната крайна точка на сървъра. Локалната ви мрежа и доставчикът ви виждат един поток към този адрес и порт, с размер и ритъм. Това, което не виждат, е кой сайт сте отворили, защото тази дестинация седи вътре в криптирания товар. Линията между метаданни и съдържание е цялата разходка в едно изречение.

Този първи скок е мястото, където повечето маркетингови твърдения престават да бъдат интересни. Съсед в същата Wi-Fi мрежа вижда това, което вижда доставчикът, и никой от двамата не вижда страницата. Обемът и времето обаче остават видими и описват поведение дори когато товарът не го прави.

Хостинг мрежата вижда тунела, а не страницата

Вътре в мрежата на доставчика криптираният поток пристига на комутатор, после на виртуален интерфейс, после на вашата VM. Който и да управлява тази мрежа, може да брои байтове и да пази записи на потоците, без да държи ключ, и за това не е нужен ключ. Това е точно позицията, която заема един хостинг доставчик.

По пътя навън картината се променя. VM отваря нова връзка към дестинацията, така че хостинг мрежата може да види този адрес на дестинацията и TLS ръкостискането около него. Товарът остава защитен от собственото криптиране на приложението, а метаданните — не.

Прочетете редовете по ред и формата на проблема се появява: всеки вижда повече от реда над него и нито един не трябва да разбива VPN, за да го направи.

Във VM тунелът свършва и започва открит текст

Тунелът завършва на вашата VM, така че гостът вижда вътрешния пакет, преди нещо да го криптира отново. Това не е дефект; това прави един самостоятелно хостван изход. Означава обаче, че сигурността на изхода зависи от това кой администрира госта, и по тази сметка администраторът сте вие.

wg show
ss -tunp | head
nft list ruleset | head -40

Изпълнете тези команди на сървъра и ще прегледате същите сокети, които оператор с root на госта би могъл да прегледа. Всичко, което услугите ви записват в журнал, седи в същата граница на доверие, затова настройките на журнала на госта и записите на инфраструктурата са два отделни въпроса, а не една настройка.

Хипервизорът стои под госта

Виртуалната машина не притежава ядрото, на което работи. Хипервизорът картографира паметта ѝ и виртуалната ѝ мрежова карта, така че оператор на това ниво е извън способността на госта да го одитира. Изолацията на госта е реална и заслужава доверие между наематели, но тя не е обещание, че привилегирован достъп е невъзможен. Тази асиметрия заслужава да се каже направо, вместо да се крие зад думата изолация.

Отделен физически сървър променя подредбата, без да премахва мрежата, физическия достъп или интерфейса за управление, който доставчикът предоставя. Четете какво документира продуктът, вместо да оставяте една дума да реши въпроса за достъпа.

Превърнете разходката в решение за доверие

Запишете всеки наблюдател и способността, която му давате, после решете дали това даване пасва на трафика, който смятате да изпращате. Списъкът е кратък: локалната ви мрежа, доставчикът ви, хостинг мрежата, операторът на хипервизора и вие. Всичко друго е подизпълнител на някой от тях и наследява същата способност. Решаването предварително е по-евтино от откриването на списъка после.

След това проверете частите, които наистина можете да проверите: какви журнали пишат собствените ви услуги, колко дълго ги пазите и какво публикува доставчикът за записите на потоците и съхранението. Политиките, които можете да прочетете и тествате, са по-добри от предположения какво означава дума като частен.