Ижарага алынган VPN серверинде трафигиңизди ким көрө алат?

Серверди ижарага алуу кимге ишенериңизди өзгөртөт жана суроону жойбойт. Туннел трафигиңизди ал кесип өткөн тармактардан жашырат, анан ачык текстти башка бирөөнүн гипервизору башкарган машинага берет. Пакетти клиентиңизден сыртка карай байкоо ар бир байкоочунун кайда турганын жана алардын ар бири чындыгында эмнени көрө аларын көрсөтөт. Бул жүрүш анонимдүүлүк тууралуу каалаган ырастоодон пайдалуу.

Клиенттен баштап пакетти сыртка карай байкаңыз

Бир нерсе ноутбуктан чыкпай туруп, клиент пакетти ороп, аны сервердин ачык акыркы чекитине даректээт. Жергиликтүү тармагыңыз жана провайдериңиз ошол дарекке жана портко бир агымды көрөт, өлчөмү жана ритми менен. Алар көрбөгөн нерсе — кайсы сайтты ачканыңыз, анткени ал барар жери шифрленген жүктөмдүн ичинде. Метаберилиштер менен мазмундун ортосундагы чек — бул бүт жүрүштүн бир сүйлөмдөгү сүрөтү.

Ошол биринчи секирик — маркетингдик ырастоолордун көбү кызыктуу болуудан калган жер. Ошол эле Wi-Fi'деги кошуна провайдер көргөн нерсени көрөт, экөө тең баракты көрбөйт. Бирок көлөм менен убакыт көрүнүп турат жана жүктөм муну кылбаса да, алар жүрүм-турумду сүрөттөйт.

Хостинг тармагы туннелди көрөт, баракты эмес

Провайдердин тармагынын ичинде шифрленген агым коммутаторго, анан виртуалдык интерфейске, анан сиздин VM'ге жетет. Ошол тармакты башкарган ар ким эч кандай ачкыч кармабастан байттарды санап, агым жазууларын жүргүзө алат жана буга ачкыч керек эмес. Хостинг провайдери ээлеген орун дал ушундай.

Чыгуу жолунда сүрөт өзгөрөт. VM барар жер менен жаңы байланыш ачат, ошондуктан хостинг тармагы ошол барар жердин дарегин жана анын айланасындагы TLS кол алышуусун көрө алат. Жүктөм колдонмонун өзүнүн шифрлөөсү менен корголуп калат, метаберилиштер андай эмес.

Саптарды тартиби менен окуңуз жана маселенин формасы көрүнөт: ар бири үстүндөгү саптан көбүрөөк көрөт жана алардын эч бирине муну кылуу үчүн VPN'ди бузуу талап кылынбайт.

VM ичинде туннел бүтүп, ачык текст башталат

Туннел сиздин VM'де бүтөт, ошондуктан конок ички пакетти кандайдыр бир кайра шифрлөөдөн мурун көрөт. Бул кемчилик эмес; өзүңүз жайгаштырган чыгуу ушундай кылат. Бул чыгуунун коопсуздугу конокту ким башкарарына көз каранды экенин билдирет жана бул эсепте администратор — сиз.

wg show
ss -tunp | head
nft list ruleset | head -40

Аларды серверде иштетиңиз, ошондо сиз конокто root бар оператор текшере алган сокеттерди эле текшересиз. Сиздин кызматтарыңыз жаза турган нерселердин баары ошол эле ишеним чегинин ичинде болот, ошондуктан коноктун журнал жөндөөлөрү жана инфраструктура жазуулары бир жөндөө эмес, эки өзүнчө суроо.

Гипервизор коноктун астында отурат

Виртуалдык машина өзү иштеген ядрого ээ эмес. Гипервизор анын эс тутумун жана виртуалдык тармак картасын картага түшүрөт, ошондуктан ошол катмардагы оператор коноктун аны текшерүү мүмкүнчүлүгүнөн тышкары калат. Коноктун обочолонуусу реалдуу жана ижарачылардын ортосунда ага таянууга татыктуу, бирок ал өзгөчө укуктуу кирүү мүмкүн эмес деген убада эмес. Бул асимметрия обочолонуу деген сөздүн артына жашырылуунун ордуна ачык айтылууга татыктуу.

Өзүнчө физикалык сервер тармакты, физикалык кирүүнү же провайдер берген башкаруу интерфейсин алып салбастан жайгашууну өзгөртөт. Кирүү маселесин бир сөзгө чечтирүүнүн ордуна продукт эмнени документтештирерин окуңуз.

Бул жүрүштү ишеним чечимине айландырыңыз

Ар бир байкоочуну жана ага берген мүмкүнчүлүктү жазып алыңыз, анан бул уруксат сиз жөнөткөн трафикке туура келерин чечиңиз. Тизме кыска: жергиликтүү тармагыңыз, провайдериңиз, хостинг тармагы, гипервизор оператору жана сиз. Калгандын баары ушулардын биринин субподрядчысы жана ошол эле мүмкүнчүлүктү мураска алат. Алдын ала чечүү тизмени кийин табуудан арзан.

Анан чындап текшере алган бөлүктөрдү текшериңиз: өз кызматтарыңыз кандай журналдар жазат, аларды канча убакыт сактайсыз жана провайдер агым жазуулары менен сактоо тууралуу эмнени жарыялайт. Окуп, сынап көрө алган саясаттар жеке деген сөздүн эмнени билдирери тууралуу божомолдордон артык.