Hvem kan se din trafik på en lejet VPN-server?

At leje en server ændrer, hvem du har tillid til, og det fjerner ikke spørgsmålet. Tunnelen skjuler din trafik for de net, den krydser, og giver derefter klarteksten til en maskine, som en andens hypervisor kører. At følge pakken ud fra din klient viser, hvor hver observatør står, og hvad hver af dem faktisk kan se. Den gennemgang er mere nyttig end nogen påstand om at være anonym.

Start ved klienten og følg pakken ud

Før noget forlader bærbaren, pakker klienten pakken ind og adresserer den til serverens offentlige endpoint. Dit lokale netværk og din udbyder ser én strøm til den adresse og port, med en størrelse og en rytme. Det, de ikke ser, er hvilket websted du åbnede, fordi den destination ligger inde i den krypterede nyttelast. Linjen mellem metadata og indhold er hele gennemgangen i én sætning.

Det første spring er der, hvor de fleste marketingpåstande holder op med at være interessante. En nabo på samme Wi-Fi ser det, udbyderen ser, og ingen af dem ser siden. Volumen og timing forbliver dog synlige, og de beskriver adfærd, selv når nyttelasten ikke gør det.

Hostingnettet ser tunnelen, ikke siden

Inde i udbyderens netværk ankommer den krypterede strøm til en switch, derefter til en virtuel grænseflade, derefter til din VM. Den, der driver det netværk, kan tælle bytes og føre strømregistre uden at holde nogen nøgle, og der er ikke brug for nogen nøgle til det. Det er præcis den position, en hostingudbyder indtager.

På vejen ud ændrer billedet sig. VM'en åbner en ny forbindelse til destinationen, så hostingnettet kan se den destinationsadresse og det TLS-håndtryk, der omgiver den. Nyttelasten forbliver beskyttet af applikationens egen kryptering, og metadata gør ikke.

Læs rækkerne i rækkefølge, og problemets form viser sig: hver ser mere end rækken ovenover, og ingen af dem behøver at bryde VPN'en for at gøre det.

Inde i VM'en slutter tunnelen, og klartekst begynder

Tunnelen slutter på din VM, så gæsten ser den indre pakke, før noget krypterer den igen. Det er ikke en fejl; det er, hvad en selvhostet udgang gør. Det betyder, at udgangens sikkerhed afhænger af, hvem der administrerer gæsten, og på den konto er du administratoren.

wg show
ss -tunp | head
nft list ruleset | head -40

Kør dem på serveren, og du inspicerer de samme sockets, som en operatør med root på gæsten kunne inspicere. Alt, hvad de tjenester, du kører, logger, ligger inden for samme tillidsgrænse, og derfor er gæstens logindstillinger og infrastrukturregistre to separate spørgsmål snarere end én indstilling.

Hypervisoren sidder under gæsten

En virtuel maskine ejer ikke den kerne, den kører på. Hypervisoren mapper dens hukommelse og dens virtuelle netværkskort, så en operatør på det lag er uden for gæstens evne til at revidere. Gæsteisolering er reel og værd at stole på mellem lejere, og det er ikke et løfte om, at privilegeret adgang er umulig. Den asymmetri fortjener at blive sagt ligeud i stedet for at gemme sig bag ordet isolering.

En dedikeret fysisk server ændrer arrangementet uden at fjerne netværket, den fysiske adgang eller den administrationsflade, udbyderen leverer. Læs, hvad produktet dokumenterer, i stedet for at lade ét ord afgøre adgangsspørgsmålet.

Gør gennemgangen til en tillidsbeslutning

Skriv hver observatør ned og den kapacitet, du giver den, og beslut derefter, om den bevilling passer til den trafik, du planlægger at sende. Listen er kort: dit lokale netværk, din udbyder, hostingnettet, hypervisoroperatøren og dig. Alt andet er en underleverandør til en af dem og arver samme kapacitet. At beslutte på forhånd er billigere end at opdage listen bagefter.

Bekræft derefter de dele, du faktisk kan kontrollere: hvilke logfiler dine egne tjenester skriver, hvor længe du opbevarer dem, og hvad udbyderen offentliggør om strømregistre og opbevaring. Politikker, du kan læse og teste, slår antagelser om, hvad et ord som privat betyder.