A all VPN o fewn VM guddio traffig rhag y gwesteiwr?

Rydych chi'n gosod y cleient y tu mewn i beiriant rhithwir, mae'r twnnel yn codi, ac mae traffig y gwestai'n cael ei amgryptio. Mae hynny'n werth rhywbeth yn erbyn y rhwydwaith y tu allan i'r peiriant. Mae'n prynu llawer llai yn erbyn y system weithredu sy'n rhedeg y gwestai, sy'n gallu darllen cof y gwestai ac arsylwi ar ei sgrin. Mae'r gwiriadau isod yn gwahanu'r hyn y mae'r twnnel yn ei warchod oddi wrth yr hyn y mae'r gwesteiwr yn ei gadw.

Mae'r gwesteiwr yn darllen testun clir cyn i'r twnnel wneud

Mae hypervisor bwrdd gwaith yn rhoi amser prosesydd i'r gwestai ac yn gallu darllen y cof y mae'n ei ysgrifennu, gan gynnwys y dudalen mae'r porwr newydd ei dadgryptio. Mae offeryn monitro ar y gwesteiwr yn darllen y testun clir hwnnw heb ymosod ar y seiffr, ac mae allweddbwrdd-cofnodwr ar yr un lefel yn casglu hadau'r bysellau cyn i unrhyw gleient eu lapio. Nid oes angen VPN wedi'i dorri ar gyfer hynny, felly gall twnnel glân fod ochr yn ochr â gwesteiwr offerynnol.

Yr hyn nad yw'r safle hwnnw'n ei drosglwyddo yw allweddau'r pen pell, na chynnwys y mae pen arall yn ei warchod o ben i ben. Mae'r twnnel yn dal yn erbyn y rhwydwaith y mae'n ei chroesi; mae'r bwlch yn lleol.

Mae arteffactau'n byw hirach na'r sesiwn

Oedwch westai VirtualBox ac mae ffeil .sav gyda chyflwr y cof wedi'i chadw yn ymddangos wrth ei hymyl. Mae VMware yn gadael ffeiliau .vmem a .vmsn yn ystod gwaith atal a chipolau, ac mae pwyntiau gwirio Hyper-V yn tyfu disgiau gwahaniaethol .avhdx ar gyfrol y gwesteiwr. Nid oes yr un o'r ffeiliau hynny'n cael ei amgryptio gan amgryptiad disg y gwestai. Gall ffeil tudalennu'r gwesteiwr hefyd dderbyn tudalennau a wthiwyd allan gan y hypervisor, y trywydd y mae Tails yn rhybuddio amdano yn ei ganllaw rhithwireddu. Gwiriwch a yw'r hypervisor yn cadw chipolau ac a yw cyfnewid y gwesteiwr ar gyfrol amgryptiedig.

Penderfynwch ar reol cadw ar gyfer y ffeiliau hynny yn lle ymddiried yn y rhagosodiad, sy'n eu cadw nes i rywun eu dileu. Nid yw gwestai sy'n hysbysebu sesiwn amnestig yn newid unrhyw beth o hyn; y gwesteiwr sy'n ysgrifennu'r ffeil, felly polisi'r gwesteiwr sy'n llywodraethu. Os na allwch ddweud ble mae'r chipolau'n byw na phwy all eu hagor, nid yw dyluniad y gwestai wedi'i werthuso.

Mae amgryptio disg yn cwmpasu achos culach

Mae amgryptio disg y gwestai yn gwarchod delwedd wrth orffwys, cyfrol a gludir i beiriant arall, neu gopi wrth gefn sy'n dianc. Nid yw'n gwneud dim tra mae'r gwestai'n rhedeg, oherwydd mae'r hypervisor yn darllen y cof ar ôl i'r gwestai ei ddadgryptio. Triniwch yr ymadrodd cyfrinair fel gwarchodaeth ar gyfer copïau wedi'u storio, nid fel tarian yn erbyn y peiriant sy'n gweithredu'r VM.

Mae allweddau a gweithredu byw yn gwestiynau ar wahân. Mewn amgylchedd a gynhelir neu a rennir, gall y darparwr ddal allweddau'r ddelwedd wrth redeg y gwestai ar galedwedd nad ydych byth yn ei archwilio, felly cofnodwch y ddau ateb.

Nid yw'r cludiant yr un olygfa

Mae rhywun sy'n cario twnnel y gwestai yn gweld y penau allanol, yr amseru a'r cyfaint, hyd yn oed pan fydd y llwyth yn aros yn gaeëdig. Mae metadata o'r fath yn aml yn ateb y cwestiwn sydd gan yr arsylwr mewn gwirionedd, felly triniwch ef fel rhan o'r amlygiad yn hytrach na sŵn. Mae modd y addasydd a'r llwybro yn penderfynu a yw rheolau VPN ar lefel gwesteiwr yn cyffwrdd â thraffig y gwestai o gwbl.

Profwch hynny o fewn y gwestai, nid o borwr ar y gwesteiwr. Gall porwr y gwesteiwr fod wedi'i orchuddio tra bod y gwestai'n cael ei bontio'n syth allan, a gall y ddau rannu un cysylltiad wrth ddefnyddio llwybrau gwahanol. Cofnodwch y modd addasydd, yna archwiliwch gipiad ar ryngwyneb ffisegol y gwesteiwr yn lle ymddiried mewn rhagdybiaeth.

Lleihau'r croesfannau, yna ysgrifennu'r cofnod

Rhedwch y gwestai ar galedwedd rydych chi'n ei reoli, cadwch y hypervisor wedi'i glytio, a galluogwch ffolderi a rennir, rhannu'r clipfwrdd a llusgo-a-gollwng dim ond lle mae'r gwaith eu hangen. Mae pob un yn sianel rhwng gwesteiwr a gwestai, ac mae'r rhagosodiad a anfonir fel arfer yn fwy agored nag y mae'r dasg yn ei gwneud yn ofynnol. Diffoddwch yr ychwanegion gwestai nad ydych yn eu defnyddio, yna cadarnhewch fod y gosodiadau'n goroesi ailgychwyn, oherwydd gall uwchraddiad adfer yr hyn y gwnaethoch ei ddiffodd.

Mae'r camau hyn yn culhau'r croesfannau; nid ydynt yn troi'r gwestai yn ffin ymddiriedaeth ffisegol ar wahân. Triniaeth o VM wedi'i chaledu fel un yw'r man lle mae asesiadau risg fel arfer yn mynd o'i le.

Ar gyfer gwaith sensitif, cofnodwch sut mae'r traffig yn cael ei lwybro a pha systemau lleol sy'n rhedeg ac yn cadw'r llwyth gwaith. Ychwanegwch pwy sy'n rheoli'r gwesteiwr a pha ffeiliau sy'n goroesi'r sesiwn. Mae nodyn preifatrwydd sy'n rhestru'r twnnel yn unig yn disgrifio hanner y trefniant.