Хөлсөлсөн VPN сервер дээр таны трафикийг хэн харж чадах вэ?

Сервер хөлслөх нь хэнд итгэхээ өөрчилдөг бөгөөд асуултыг арилгадаггүй. Туннель таны трафикийг түүнийг дайран өнгөрөх сүлжээнээс нууж, дараа нь энгийн текстийг өөр хэн нэгний хипервизор ажиллуулдаг машин руу өгдөг. Пакетыг клиентээс гадагш дагах нь ажиглагч бүр хаана зогсож байгаа, тэдний хэн нь юу үнэхээр харж чадахыг харуулдаг. Тэр аялал нэргүй байх тухай ямар ч мэдэгдлээс илүү ашигтай.

Клиентээс эхэлж пакетыг гадагш дагаарай

Ямар нэг зүйл зөөврийн компьютерээс гарахаас өмнө клиент пакетыг боож, серверийн нийтийн төгсгөлийн цэг рүү хаяглана. Таны орон нутгийн сүлжээ болон үйлчилгээ үзүүлэгч тэр хаяг, порт руу нэг урсгалыг хэмжээ, хэмнэлтэйгээр хардаг. Тэдний харж чадахгүй зүйл бол та аль сайтыг нээсэн бөгөөд учир нь тэр очих газар шифрлэгдсэн ачааны дотор байдаг. Мета өгөгдөл ба агуулгын хоорондох хил бол бүх аялал нэг өгүүлбэрт орсон нь юм.

Тэр эхний харайлт бол ихэнх маркетингийн мэдэгдэл сонирхолтой байхаа болих газар юм. Ижил Wi-Fi дээрх хөрш үйлчилгээ үзүүлэгчийн хардаг зүйлийг хардаг бөгөөд хоёулаа хуудсыг хардаггүй. Гэхдээ эзлэхүүн ба цаг хугацаа харагдаж байдаг бөгөөд ачаа тэгэхгүй байсан ч тэд зан төлөвийг дүрсэлдэг.

Хостингийн сүлжээ туннелийг хардаг, хуудсыг биш

Үйлчилгээ үзүүлэгчийн сүлжээний дотор шифрлэгдсэн урсгал эхлээд коммутаторт, дараа нь виртуал интерфейс рүү, дараа нь таны VM руу ирдэг. Тэр сүлжээг хэн ч удирдаж байсан ямар ч түлхүүргүйгээр байтуудыг тоолж, урсгалын бүртгэл хөтөлж чадна, үүнд түлхүүр шаардлагагүй. Хостингийн үйлчилгээ үзүүлэгчийн эзэлдэг байр суурь яг энэ юм.

Гарах замд зураг өөрчлөгддөг. VM очих газартай шинэ холболт нээдэг тул хостингийн сүлжээ тэр очих хаяг болон түүний эргэн тойрны TLS гар барилтыг харж чадна. Ачаа нь програмын өөрийн шифрлэлтээр хамгаалагдсан хэвээр байна, мета өгөгдөл тийм биш.

Мөрүүдийг дарааллаар нь уншаарай, асуудлын хэлбэр илэрнэ: мөр бүр дээрх мөрөөс илүүг хардаг бөгөөд тэдний хэнд нь ч үүний тулд VPN-ийг эвдэх шаардлагагүй.

VM дотор туннель дуусч, энгийн текст эхэлдэг

Туннель таны VM дээр дуусдаг тул зочин ямар нэг зүйл дахин шифрлэхээс өмнө дотоод пакетыг хардаг. Энэ нь алдаа биш; өөрөө хостингийн гаралт ингэдэг. Гэхдээ энэ нь гаралтын аюулгүй байдал зочныг хэн удирдахаас хамаарна гэсэн үг бөгөөд энэ тооцоонд администратор нь та өөрөө.

wg show
ss -tunp | head
nft list ruleset | head -40

Тэдгээрийг сервер дээр ажиллуулаарай, тэгвэл та зочин дээр root-той оператор шалгаж болох сокетуудыг шалгаж байна. Таны ажиллуулж буй үйлчилгээнүүдийн бүртгэдэг бүхэн нь ижил итгэлийн хил дотор байдаг, иймээс зочны логын тохиргоо болон дэд бүтцийн бүртгэл нь нэг тохиргоо биш, хоёр өөр асуулт юм.

Хипервизор зочны доор суудаг

Виртуал машин нь өөрийн ажиллаж буй цөмд эзэн биш. Хипервизор түүний санах ой болон виртуал сүлжээний картыг зурдаг тул тэр давхаргын оператор зочны аудит хийх чадвараас гадуур байдаг. Зочны тусгаарлалт бодит бөгөөд түрээслэгчдийн хооронд түүнд найдах нь зүйтэй, гэхдээ энэ нь онцгой эрхтэй нэвтрэх боломжгүй гэсэн амлалт биш. Тэр тэгш бус байдал нь тусгаарлалт гэдэг үгийн ард нуугдахын оронд шууд хэлэгдэх ёстой.

Тусгай физик сервер нь үйлчилгээ үзүүлэгчийн өгдөг сүлжээ, физик нэвтрэх эрх эсвэл удирдлагын интерфейсийг арилгахгүйгээр зохион байгуулалтыг өөрчилдөг. Нэвтрэх асуудлыг нэг үгээр шийдүүлэхийн оронд бүтээгдэхүүн юуг баримтжуулж байгааг уншаарай.

Энэ аяллыг итгэлийн шийдвэр болгоорой

Ажиглагч бүр болон түүнд өгч буй чадварыг бичээд, дараа нь тэр зөвшөөрөл таны илгээхээр төлөвлөж буй трафикт тохирох эсэхийг шийдээрэй. Жагсаалт богино: таны орон нутгийн сүлжээ, үйлчилгээ үзүүлэгч, хостингийн сүлжээ, хипервизорын оператор, та. Бусад бүхэн нь эдгээрийн аль нэгний туслан гүйцэтгэгч бөгөөд ижил чадварыг өвлөдөг. Урьдчилан шийдэх нь жагсаалтыг дараа нь олж мэдэхээс хямд.

Дараа нь үнэхээр шалгаж чадах хэсгүүдийг шалгаарай: таны өөрийн үйлчилгээнүүд ямар лог бичдэг, тэдгээрийг хэр удаан хадгалдаг, урсгалын бүртгэл ба хадгалалтын талаар үйлчилгээ үзүүлэгч юу нийтэлдэг. Уншиж, туршиж болох бодлого нь хувийн гэх үгийн утга тухай таамаглалаас дээр.