Wa kin jo ferkear sjen op in hierde VPN-tsjinner?
It hieren fan in VPN-tsjinner ferpleatst it fertrouwen nei de hostingprovider. Rin it paad fan klant nei útgong en sjoch wat elke waarnimmer wol en net leare kin.
In tsjinner hiere feroaret wa't jo fertrouwe, en it helpt de fraach net fuort. De tunnel ferberget jo ferkear foar de netwurken dy't er krúst, en jout dan de platte tekst oan in masine dy't troch de hypervisor fan immen oars draaid wurdt. It pakket fan jo klant nei bûten folgje lit sjen wêr't elke waarnimmer stiet en wat elk fan harren wier sjen kin. Dy rûnreis is nuttiger as hokker bewearing oer anonym wêze dan ek.
Begjin by de klant en folgje it pakket nei bûten
Foardat der wat de laptop ferlit, pakt de klant it pakket yn en adressearret it nei it iepenbiere einpunt fan de tsjinner. Jo lokale netwurk en jo provider sjogge ien stream nei dat adres en dy poarte, mei in grutte en in ritme. Wat se net sjogge, is hokker side jo iepene hawwe, want dat bestimming sit yn 'e fersifere lading. De grins tusken metadata en ynhâld is de hiele rûnreis yn ien sin.
Dy earste sprong is it plak dêr't de measte marketingbewearings ophâlde nijsgjirrich te wêzen. In buorman op deselde Wi-Fi sjocht wat de provider sjocht, en gjin fan beiden sjocht de side. Folume en timing bliuwe lykwols sichtber, en se beskriuwe gedrach sels as de lading dat net docht.
It hostingnetwurk sjocht de tunnel, net de side
Binnen it netwurk fan de provider komt de fersifere stream by in switch, dan by in firtuele ynterface, dan by jo VM. Wa't dat netwurk ek driuwt, kin bytes telle en streamrecords byhâlde sûnder in kaai te hawwen, en dêr is gjin kaai foar nedich. It is krekt de posysje dy't in hostingprovider ynnimt.
Op wei nei bûten feroaret it byld. De VM iepenet in nije ferbining nei it bestimming, sadat it hostingnetwurk dat bestimmingsadres en de TLS-hânsdruk deromhinne sjen kin. De lading bliuwt beskerme troch de eigen fersifering fan de applikaasje, de metadata net.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Lês de rigen yn folchoarder en de foarm fan it probleem ferskynt: elk sjocht mear as de rige derboppe, en gjinien hoecht dêrfoar it VPN te brekken.
Yn de VM einiget de tunnel en begjint platte tekst
De tunnel einiget op jo VM, dus de gast sjocht it binnenste pakket foardat der wat it op 'e nij fersiferet. Dat is gjin flater; dat docht in sels hoste útgong. It betsjut wol dat de feiligens fan de útgong ôfhinget fan wa't de gast beheart, en op dy rekken binne jo de behearder.
wg show
ss -tunp | head
nft list ruleset | head -40Doch dy op de tsjinner en jo besjen deselde sockets dy't in operator mei root op de gast besjen koe. Alles wat de tsjinsten dy't jo driuwe logge, sit binnen deselde fertrouwensgrins, en dêrom binne gast-logynstellingen en ynfrastruktuerrecords twa aparte fragen yn stee fan ien ynstelling.
De hypervisor sit ûnder de gast
In firtuele masine is gjin eigner fan de kearn dêr't er op draait. De hypervisor mapt syn ûnthâld en syn firtuele netwurkkaart, dus in operator op dy laach stiet bûten it fermogen fan de gast om him te auditearjen. Gast-isolaasje is echt en it wurdich om tusken hierders op te fertrouwen, en it is gjin tasizzing dat befoarrjochte tagong ûnmooglik is. Dy asymmetry fertsjinnet it om rjochtút sein te wurden yn stee fan efter it wurd isolaasje ferskûle te wurden.
In tawijde fysike tsjinner feroaret de opstelling sûnder it netwurk, de fysike tagong of de behearinterfaces dy't de provider leveret, wei te heljen. Lês wat it produkt dokumintearret yn stee fan ien wurd de tagongsfraach beslisse te litten.
Meitsje de rûnreis ta in fertrouwensbeslissing
Skriuw elke waarnimmer op en de kapasiteit dy't jo him jouwe, en beslút dan oft dy jefte by it ferkear past dat jo fan plan binne te stjoeren. De list is koart: jo lokale netwurk, jo provider, it hostingnetwurk, de hypervisor-operator en jo. Al it oare is in ûnderoannimmer fan ien fan dy en erft deselde kapasiteit. Foarôf beslisse is goedkeaper as de list efterôf te ûntdekken.
Ferifiearje dan de dielen dy't jo wier kontrolearje kinne: hokker logs jo eigen tsjinsten skriuwe, hoe lang jo se bewarje en wat de provider publisearret oer streamrecords en bewarring. Belied dat jo lêze en teste kinne, is better as oannames oer wat in wurd as privee betsjut.