Жалға алынған VPN серверінде трафигіңізді кім көре алады?

Серверді жалға алу кімге сенетініңізді өзгертеді және сұрақты жоймайды. Туннель трафигіңізді ол кесіп өтетін желілерден жасырады, содан кейін ашық мәтінді басқа біреудің гипервизоры басқаратын машинаға береді. Пакетті клиентіңізден сыртқа қарай бақылау әр бақылаушының қайда тұрғанын және олардың әрқайсысы шын мәнінде нені көре алатынын көрсетеді. Бұл жүріс анонимділік туралы кез келген тұжырымнан пайдалырақ.

Клиенттен бастап пакетті сыртқа қарай бақылаңыз

Бірдеңе ноутбуктен шықпай тұрып, клиент пакетті орап, оны сервердің жария соңғы нүктесіне адрестейді. Жергілікті желіңіз бен провайдеріңіз сол адрес пен портқа бір ағынды көреді, өлшемі мен ырғағымен. Олар көрмейтін нәрсе — қай сайтты ашқаныңыз, өйткені бұл меже шифрланған жүктеменің ішінде. Метадеректер мен мазмұн арасындағы шекара — бұл бүкіл жүрістің бір сөйлемдегі сипаты.

Сол бірінші секіріс — маркетингтік тұжырымдардың көбі қызықты болудан қалатын жер. Сол Wi-Fi-дегі көрші провайдер көретін нәрсені көреді, ал екеуі де бетті көрмейді. Дегенмен көлем мен уақыт көрінетін күйінде қалады және жүктеме мұны істемесе де, олар мінез-құлықты сипаттайды.

Хостинг желісі туннельді көреді, бетті емес

Провайдердің желісінің ішінде шифрланған ағын коммутаторға, содан кейін виртуалды интерфейске, содан кейін сіздің VM-ге жетеді. Сол желіні басқарған кез келген адам ешқандай кілт ұстамай-ақ байттарды санап, ағын жазбаларын жүргізе алады және ол үшін кілт қажет емес. Бұл — хостинг провайдері алатын позиция дәл осы.

Шығу жолында көрініс өзгереді. VM межеге жаңа қосылым ашады, сондықтан хостинг желісі сол межелік адресті және оның айналасындағы TLS қол алысуды көре алады. Жүктеме қолданбаның өз шифрлауымен қорғалған күйінде қалады, метадеректер олай емес.

Жолдарды ретімен оқыңыз, сөйтіп мәселенің пішіні көрінеді: әрқайсысы үстіндегі жолдан көбірек көреді және олардың ешқайсысына ол үшін VPN-ді бұзу қажет емес.

VM ішінде туннель аяқталып, ашық мәтін басталады

Туннель сіздің VM-де аяқталады, сондықтан қонақ ішкі пакетті оны қайта шифрлайтын кез келген нәрседен бұрын көреді. Бұл ақау емес; өзіңіз орналастырған шығу осылай істейді. Бұл шығудың қауіпсіздігі қонақты кім басқаратынына тәуелді екенін білдіреді және бұл есепте әкімші — сіз.

wg show
ss -tunp | head
nft list ruleset | head -40

Оларды серверде іске қосыңыз, сонда сіз қонақта root бар оператор тексере алатын сокеттердің дәл өзін тексересіз. Сіздің қызметтеріңіз жазатын кез келген жазба сол сенім шекарасының ішінде болады, сондықтан қонақ журналының параметрлері мен инфрақұрылым жазбалары бір параметр емес, екі бөлек сұрақ.

Гипервизор қонақтың астында отырады

Виртуалды машина өзі жұмыс істейтін ядроға ие емес. Гипервизор оның жадысы мен виртуалды желілік картасын бейнелейді, сондықтан сол деңгейдегі оператор қонақтың оны тексеру мүмкіндігінен тыс қалады. Қонақ оқшаулауы шынайы және жалға алушылар арасында оған сенуге тұрарлық, бірақ ол артықшылықты қатынастың мүмкін еместігі туралы уәде емес. Бұл асимметрия оқшаулау деген сөздің артына жасырылудың орнына ашық айтылуға лайық.

Арнайы физикалық сервер желіні, физикалық қатынасты немесе провайдер ұсынатын басқару интерфейсін алып тастамай-ақ реттеуді өзгертеді. Қатынас мәселесін бір сөзге шешуге берудің орнына өнімнің нені құжаттайтынын оқыңыз.

Бұл жүрісті сенім шешіміне айналдырыңыз

Әр бақылаушыны және оған беретін мүмкіндікті жазып алыңыз, содан кейін бұл рұқсат жібермекші трафигіңізге сай келе ме, соны шешіңіз. Тізім қысқа: жергілікті желіңіз, провайдеріңіз, хостинг желісі, гипервизор операторы және сіз. Қалғанының бәрі осылардың бірінің қосалқы мердігері және сол мүмкіндікті мұра етеді. Алдын ала шешу тізімді кейін ашудан арзан.

Содан кейін шынымен тексере алатын бөліктерді растаңыз: өз қызметтеріңіз қандай журналдар жазады, оларды қанша ұстайсыз және провайдер ағын жазбалары мен сақтау туралы нені жариялайды. Оқуға және сынауға болатын саясаттар жеке сияқты сөздің нені білдіретіні туралы болжамдардан артық.