Kiu povas vidi vian trafikon sur luata VPN-servilo?

Lui servilon ŝanĝas, kiun vi fidas, kaj ĝi ne forigas la demandon. La tunelo kaŝas vian trafikon de la retoj, kiujn ĝi trapasas, poste transdonas la klaran tekston al maŝino, kiun funkciigas hipervidilo de iu alia. Sekvi la paketon eksteren de via kliento montras, kie staras ĉiu observanto kaj kion ĉiu el ili efektive povas vidi. Tiu trapaŝo pli utilas ol iu ajn aserto pri esti anonima.

Komencu ĉe la kliento kaj sekvu la paketon eksteren

Antaŭ ol io ajn forlasas la tekkomputilon, la kliento ĉirkaŭvolvas la paketon kaj adresas ĝin al la publika finpunkto de la servilo. Via loka reto kaj via provizanto vidas unu fluon al tiu adreso kaj pordo, kun grando kaj ritmo. Kion ili ne vidas, estas kiun retejon vi malfermis, ĉar tiu celloko sidas ene de la ĉifrita utilaĵo. La linio inter metadatumoj kaj enhavo estas la tuta trapaŝo en unu frazo.

Tiu unua salto estas la loko, kie plej multaj merkatikaj asertoj ĉesas esti interesaj. Najbaro en la sama Wi-Fi vidas tion, kion vidas la provizanto, kaj neniu el ili vidas la paĝon. Volumeno kaj tempo tamen restas videblaj, kaj ili priskribas konduton eĉ kiam la utilaĵo ne faras tion.

La gastiga reto vidas la tunelon, ne la paĝon

Ene de la reto de la provizanto la ĉifrita fluo alvenas al ŝaltilo, poste al virtuala interfaco, poste al via VM. Kiu ajn funkciigas tiun reton povas kalkuli bajtojn kaj konservi fluajn rikordojn sen teni ajnan ŝlosilon, kaj neniu ŝlosilo necesas por tio. Ĝi estas precize la pozicio, kiun okupas gastiga provizanto.

Sur la vojo eksteren la bildo ŝanĝiĝas. La VM malfermas novan konekton al la celloko, do la gastiga reto povas vidi tiun cellokan adreson kaj la TLS-manpremon ĉirkaŭ ĝi. La utilaĵo restas protektita per la propra ĉifrado de la aplikaĵo, kaj la metadatumoj ne.

Legu la vicojn laŭorde kaj la formo de la problemo aperas: ĉiu vidas pli ol la vico supre, kaj neniu el ili devas rompi la VPN por fari tion.

Ene de la VM la tunelo finiĝas kaj klara teksto komenciĝas

La tunelo finiĝas sur via VM, do la gasto vidas la internan paketon antaŭ ol io reĉifras ĝin. Tio ne estas difekto; tion faras memgastigata eliro. Ĝi ja signifas, ke la sekureco de la eliro dependas de tio, kiu administras la gaston, kaj laŭ tiu konto vi estas la administranto.

wg show
ss -tunp | head
nft list ruleset | head -40

Rulu tiujn sur la servilo kaj vi inspektas la samajn ingojn, kiujn operatoro kun radika alirado sur la gasto povus inspekti. Ĉio, kion protokolas la servoj, kiujn vi funkciigas, sidas ene de la sama fida limo, kaj tial gastaj protokolaj agordoj kaj infrastrukturaj rikordoj estas du apartaj demandoj, ne unu agordo.

La hipervidilo sidas sub la gasto

Virtuala maŝino ne posedas la kernon, sur kiu ĝi funkcias. La hipervidilo mapas ĝian memoron kaj ĝian virtualan retkarton, do operatoro sur tiu tavolo staras ekster la kapablo de la gasto aŭditi ĝin. Gasta izolado estas reala kaj indas fidi ĝin inter luantoj, kaj ĝi ne estas promeso, ke privilegia aliro estas neebla. Tiu nesimetrio meritas esti dirata senplombe anstataŭ kaŝiĝi malantaŭ la vorto izolado.

Dediĉita fizika servilo ŝanĝas la aranĝon sen forigi la reton, la fizikan aliron aŭ la administran interfacon, kiun la provizanto liveras. Legu, kion la produkto dokumentas, anstataŭ lasi unu vorton solvi la demandon pri aliro.

Turnu la trapaŝon en fidan decidon

Skribu ĉiun observanton kaj la kapablon, kiun vi donas al ĝi, poste decidu, ĉu tiu donaco taŭgas por la trafiko, kiun vi planas sendi. La listo estas mallonga: via loka reto, via provizanto, la gastiga reto, la operatoro de la hipervidilo, kaj vi. Io ajn alia estas subkontraktanto de unu el tiuj kaj heredas la saman kapablon. Decidi anticipe estas pli malmultekosta ol malkovri la liston poste.

Poste kontrolu la partojn, kiujn vi efektive povas kontroli: kiujn protokolojn skribas viaj propraj servoj, kiom longe vi konservas ilin, kaj kion la provizanto publikigas pri fluaj rikordoj kaj konservado. Politikoj, kiujn vi povas legi kaj testi, superas supozojn pri tio, kion signifas vorto kiel privata.