Kuom pasitikite, kai VPN serverį valdote patys

Savarankiškas prieglobstis suteikia jums operatoriaus vaidmenį: jūs pasirenkate programinę įrangą, konfigūraciją, atnaujinimų grafiką ir tai, ką įrašo jūsų pačių paslauga. Ko ji nedaro, tai nepašalina kitų šalių iš ryšio. Jūsų prieigos tinklas vis dar perduoda paketus, prieglobos teikėjas vis dar valdo mašiną, sprendėjas vis dar atsako į užklausas, o paskirtis vis dar mato užklausą. Žinoti, kurią iš jų jūs tikrai pakeitėte, ir yra visas pratimas.

1 žingsnis: surašykite šalis

Surašykite kiekvieną šalį realiame diegime: jūsų įrenginys, tinklas, prie kurio jungiatės, VPN priegloba, DNS sprendėjas ir paskirties paslauga. Prie kiekvienos pažymėkite, ką ji gali stebėti ir kuriuos nustatymus kontroliuojate jūs.

Ta lentelė naudingesnė už bet kokį teiginį apie anonimiškumą, nes ji parodo, kur kontrolė tikrai pasikeitė. Jūs kontroliuojate prieglobos konfigūraciją ir žurnalus. Jūs nekontroliuojate prieigos tinklo požiūrio į jūsų ryšį ir nekontroliuojate, ką paskirtis įrašo apie jūsų paskyrą.

Naminio galinio taško atveju padengtas srautas paprastai išeina per to namų prieigos ryšį. Išėjimo adresas, kurį mato jūsų paskirtis, yra namų ūkio adresas, o tai yra topologijos faktas, ne programinės įrangos trūkumas. Jei tą adresą ir norėjote pakeisti, namų serveris to padaryti negali. Jums reikia išėjimo kitur.

2 žingsnis: užsirašykite, ką laimėjote

Galite peržiūrėti įdiegtą konfigūraciją, nuspręsti, kuriems įrenginiams leidžiama prisijungti, nustatyti diagnostikos politiką ir saugoti pasirinktus įrašus. Tai tikros kontrolės priemonės, kai jas prižiūrite, ir tai yra sąžininga savarankiško prieglobsčio priežastis.

Jos taip pat yra sąlyginės. Nenaudojamas numatytasis nustatymas ir neišbandyta atsarginė kopija nėra savybės, kurias suteikia protokolas; tai ketinimai. Užrašykite kontrolę kartu su ja įrodančiu bandymu, kitaip ji neįskaitoma.

3 žingsnis: priimkite priežiūros sąrašą

Sąrašas trumpas ir negailestingas: apsaugokite administratoriaus paskyrą, apsaugokite serverio raktus, išduokite ir atšaukite klientų tapatybes, laikykite atsargines kopijas, pašalinkite pamestus įrenginius ir palikite atkūrimo kelią, kuris nepriklauso nuo sugadinto tunelio.

Atšaukimas nusipelno atskiros eilutės. Įrenginys, kurį pašalinote iš konfigūracijos, bet niekada neatšaukėte, vis dar turi galiojančius prisijungimo duomenis, o skirtumas paaiškėja tik tada, kai kas nors jais pasinaudoja. Išbandykite pašalinimą bandydami prisijungti su sena medžiaga.

Atsarginėms kopijoms reikia tokio pat elgesio. Atkurkite vieną atsarginėje priegloboje ir patvirtinkite, kad tunelis pakyla su tomis pačiomis tapatybėmis. Atsarginė kopija, kurios niekada neatkūrėte, yra failas, o ne atkūrimo planas.

4 žingsnis: atsisakykite anonimiškumo prielaidos

Serverio valdymas nepadaro jūsų naršyklės anoniminės. Svetainės vis dar gauna paskyros informaciją ir slapukus, o HTTPS saugo programos duomenis savo kelyje nepriklausomai nuo tunelio.

Yra ir subtilesnis poveikis: adresas, kurį naudojate tik jūs, gali tapti stabiliu signalu, susietu su jūsų naudojimu. Komercinis išėjimas dalijamasi su svetimaisiais, o tai privatumui vienaip blogai, kitaip gerai. Jūsų pačių adresas yra unikalus, ir tai apverčia tą mainus.

Jei tikslas yra sunkiai susiejamas, savarankiškas prieglobstis gali tai padaryti lengviau, o ne sunkiau. Nuspręskite, kokios savybės tikrai norite, prieš skirdami tam vakarą. Unikalumas yra kaina, o ne savybė, ir ji nepasitaiko daugumoje tekstų apie savarankišką prieglobstį. Įrašykite ją į 1 žingsnio šalių lentelę ir mainai taps matomi.

5 žingsnis: pasirinkite jį dėl nurodytos priežasties

Privati prieiga prie savo tinklo, konfigūracijos kontrolė, konkretus maršrutizavimo reikalavimas ar nepriklausomybė nuo tiekėjo politikos yra visos geros priežastys. Užrašykite tą, kuri taikoma, ir suprojektuokite bandymą, kuris parodytų, kad ji veikia.

Tada patikrinkite nuobodžias dalis: ar priegloba pataisyta, ar dingo seni raktai, ar saugojimas atitinka tai, ką dokumentavote, ir ar galite atkurti paslaugą po gedimo? Tie keturi atsakymai pasitikėjimo modelį apibūdina daug geriau nei protokolo pavadinimas.

6 žingsnis: suplanuokite išėjimą

Iš anksto nuspręskite, kaip migruosite iš prieglobos: kur gyvena konfigūracija, kaip iš naujo išduodami klientų profiliai ir kas nutinka saugomiems įrašams. Savarankiškai prieglobstį turinti paslauga be išėjimo plano tampa priklausomybe, kurios negalite pašalinti.

AWS bendros atsakomybės modelis yra naudingas šablonas net už AWS ribų, nes jis primeta tą patį klausimą: kuris sluoksnis yra jūsų, o kuris priklauso kam nors kitam. Atsakykite į jį kiekvienai 1 žingsnio šaliai, ir pasitikėjimo modelis nustoja būti šūkiu.