VM ішіндегі VPN хосттан трафикті жасыра ала ма?

Сіз клиентті виртуалды машинаның ішіне орнатасыз, туннель көтеріледі және қонақтың трафигі шифрланады. Бұл машина сыртындағы желіге қарсы бірдеңеге тұрарлық. Бірақ қонақты іске қосатын операциялық жүйеге қарсы әлдеқайда аз береді, өйткені ол қонақтың жадын оқып, оның экранын бақылай алады. Төмендегі тексерулер туннельдің нені қорғайтынын хосттың нені сақтайтынынан ажыратады.

Хост ашық мәтінді туннельден бұрын оқиды

Жұмыс үстелінің гипервизоры қонаққа процессор уақытын береді және оның жазған жадын оқи алады, оның ішінде браузер жаңа ғана шифрын ашқан бетті де. Хосттағы бақылау құралы бұл ашық мәтінді шифрға шабуыл жасамай оқиды, ал сол деңгейдегі пернетақта логгері қандай да бір клиент оларды орамай тұрып перне басуларын жинайды. Бұлардың ешқайсысы бұзылған VPN қажет етпейді, сондықтан таза туннель аспапталған хосттың қасында тұра алады.

Бұл позицияның бермейтіні — алыс ұштың кілттері немесе басқа шеткі нүкте ұштастан ұшқа дейін қорғайтын мазмұн. Туннель әлі де кесіп өтетін желіге қарсы тұрады; алшақтық жергілікті.

Артефактілер сессиядан ұзақ өмір сүреді

VirtualBox қонағын кідіртіңіз, ал оның қасында сақталған жад күйі бар .sav файлы пайда болады. VMware тоқтату және суреттер жұмысы кезінде .vmem және .vmsn файлдарын қалдырады, ал Hyper-V бақылау нүктелері хост көлемінде .avhdx айырмашылық дискілерін өсіреді. Осы файлдардың ешқайсысы қонақтың дискілік шифрлауымен шифрланбайды. Хосттың бет файлы да гипервизор сыртқа итерген беттерді қабылдай алады, бұл — Tails өзінің виртуалдау нұсқаулығында ескертетін із. Гипервизор суреттерді сақтай ма және хосттың swap-ы шифрланған көлемде ме, тексеріңіз.

Осы файлдар үшін сақтау ережесін белгілеңіз, әдепкіге сенудің орнына, ол оларды біреу жойғанша ұстайды. Амнезиялық сессияны жариялайтын қонақ бұған ештеңе өзгертпейді; файлды хост жазады, сондықтан хосттың саясаты қолданылады. Суреттердің қайда тұратынын немесе оларды кім аша алатынын айта алмасаңыз, қонақтың дизайны бағаланбаған.

Дискілік шифрлау тар жағдайды қамтиды

Қонақтың дискісін шифрлау тыныштықтағы бейнені, басқа машинаға тасымалданған көлемді немесе қашып кеткен сақтық көшірмені қорғайды. Қонақ жұмыс істеп тұрғанда ол ештеңе істемейді, өйткені гипервизор жадты қонақ оны шифрдан шығарғаннан кейін оқиды. Құпия сөз тіркесін сақталған көшірмелердің қорғанысы деп қараңыз, VM-ді орындайтын машинаға қарсы қалқан деп емес.

Кілттер мен тірі орындалу — бөлек сұрақтар. Хостингтік немесе ортақ ортада провайдер бейне кілттерін ұстап, қонақты сіз ешқашан тексермейтін жабдықта іске қосуы мүмкін, сондықтан екі жауапты да жазып алыңыз.

Тасымал — сол бір көрініс емес

Қонақтың туннелін тасымалдаушы сыртқы шеткі нүктелерді, уақытты және көлемді көреді, тіпті пайдалы жүктеме жабық қалса да. Осындай пішіндегі метадеректер көбіне бақылаушының шын мәніндегі сұрағына жауап береді, сондықтан оларды шу емес, әшкерелеудің бөлігі деп қараңыз. Адаптер режимі мен маршруттау хост деңгейіндегі VPN ережелері қонақ трафигіне мүлде тие ме, жоқ па — соны шешеді.

Мұны қонақтың ішінен сынаңыз, хосттағы браузерден емес. Хосттың браузері жабылған болуы мүмкін, ал қонақ тікелей сыртқа көпірленген, және екеуі де әртүрлі маршруттарды пайдаланып бір қосылымды бөлісе алады. Адаптер режимін жазып алыңыз, содан кейін болжамға сенудің орнына хосттың физикалық интерфейсіндегі ұсталымды қараңыз.

Өткелдерді азайтыңыз, содан кейін жазбаны жазыңыз

Қонақты өзіңіз бақылайтын жабдықта іске қосыңыз, гипервизорды патчталған күйде ұстаңыз және ортақ қалталарды, алмасу буферін бөлісуді және сүйреп апаруды тек жұмыс қажет ететін жерде қосыңыз. Олардың әрқайсысы хост пен қонақ арасындағы арна, ал жіберілетін әдепкі тапсырма талап ететінен әдетте ашығырақ. Пайдаланбайтын қонақ қосымшаларын өшіріңіз, содан кейін параметрлердің қайта жүктеуден кейін сақталатынын растаңыз, өйткені жаңарту өшіргеніңізді қалпына келтіруі мүмкін.

Бұл қадамдар өткелдерді тарылтады; олар қонақты бөлек физикалық сенім шекарасына айналдырмайды. Қатайтылған VM-ді осындай шекара деп санау — тәуекелді бағалау әдетте қателесетін жер.

Құпия жұмыс үшін трафиктің қалай маршрутталатынын және қандай жергілікті жүйелер жүктемені орындайтыны мен сақтайтынын жазыңыз. Хостты кім бақылайтынын және сессиядан кейін қандай файлдар қалатынын қосыңыз. Тек туннельді тізіп қоятын құпиялылық жазбасы келісімнің жартысын сипаттайды.