भाड्याने घेतलेल्या VPN सर्व्हरवर तुमची रहदारी कोण पाहू शकतो?

सर्व्हर भाड्याने घेणे तुम्ही कोणावर विश्वास ठेवता ते बदलते आणि प्रश्न काढून टाकत नाही। बोगदा तुमची रहदारी ज्या नेटवर्कमधून जाते त्यांच्यापासून लपवतो, नंतर साधा मजकूर दुसऱ्या कोणाच्या हायपरवायझरने चालवल्या जाणाऱ्या यंत्राला देतो। तुमच्या क्लायंटपासून पॅकेटला बाहेरपर्यंत पाठवल्यास प्रत्येक निरीक्षक कुठे उभा आहे आणि त्यातील प्रत्येकाला प्रत्यक्षात काय दिसू शकते हे दिसते। तो प्रवास अज्ञात असल्याच्या कोणत्याही दाव्यापेक्षा अधिक उपयुक्त आहे।

क्लायंटपासून सुरुवात करा आणि पॅकेटला बाहेरपर्यंत पाठवा

लॅपटॉपमधून काहीही बाहेर पडण्यापूर्वी, क्लायंट पॅकेट गुंडाळतो आणि सर्व्हरच्या सार्वजनिक अंतिम बिंदूला पत्ता देतो। तुमचे स्थानिक नेटवर्क आणि तुमचा इंटरनेट पुरवठादार त्या पत्त्या आणि पोर्टकडे एकच प्रवाह पाहतात, एक आकार आणि एक लय यासह। ते जे पाहत नाहीत ते हे आहे तुम्ही कोणती साइट उघडली, कारण ते गंतव्य एन्क्रिप्टेड पेलोडच्या आत आहे। मेटाडेटा आणि सामग्रीमधील रेषा म्हणजे संपूर्ण प्रवास एका वाक्यात।

ती पहिली उडी म्हणजे बहुतेक विपणन दावे मनोरंजक राहणे थांबवतात ते ठिकाण। त्याच Wi-Fi वरील शेजारी इंटरनेट पुरवठादार जे पाहतो ते पाहतो आणि त्यांना दोघांनाही पृष्ठ दिसत नाही। तरीही प्रमाण आणि वेळ दृश्यमान राहतात आणि पेलोड तसे न केल्यासही ते वर्तनाचे वर्णन करतात।

होस्टिंग नेटवर्क बोगदा पाहते, पृष्ठ नाही

पुरवठादाराच्या नेटवर्कच्या आत एन्क्रिप्टेड प्रवाह प्रथम स्विचकडे, नंतर व्हर्च्युअल इंटरफेसकडे, नंतर तुमच्या VM कडे येतो। ते नेटवर्क चालवणारा कोणीही कोणतीही किल्ली न धरता बाइट मोजू शकतो आणि प्रवाह नोंदी ठेवू शकतो आणि त्यासाठी किल्ली लागत नाही। होस्टिंग पुरवठादार जे स्थान घेतो ते नेमके हेच आहे।

बाहेर जाण्याच्या मार्गावर चित्र बदलते। VM गंतव्याशी नवीन जोडणी उघडतो, त्यामुळे होस्टिंग नेटवर्क तो गंतव्य पत्ता आणि त्याच्या आसपासचे TLS हातमिळवणी पाहू शकते। पेलोड अनुप्रयोगाच्या स्वतःच्या एन्क्रिप्शनने संरक्षित राहते, मेटाडेटा नाही।

ओळी क्रमाने वाचा आणि समस्येचा आकार दिसतो: प्रत्येक आपल्यावरील ओळीपेक्षा अधिक पाहतो आणि त्यांपैकी कुणालाही ते करण्यासाठी VPN तोडण्याची गरज नाही।

VM च्या आत बोगदा संपतो आणि साधा मजकूर सुरू होतो

बोगदा तुमच्या VM वर संपतो, त्यामुळे पाहुण्याला आतील पॅकेट कोणत्याही पुन्हा-एन्क्रिप्शनपूर्वी दिसतो। हा दोष नाही; स्वतः होस्ट केलेला बाहेर पडण्याचा मार्ग असेच करतो। याचा अर्थ बाहेर पडण्याची सुरक्षा पाहुण्याचे व्यवस्थापन कोण करते यावर अवलंबून आहे आणि त्या हिशोबात प्रशासक तुम्हीच आहात।

wg show
ss -tunp | head
nft list ruleset | head -40

ती सर्व्हरवर चालवा आणि तुम्ही पाहुण्यावर root असलेल्या ऑपरेटरला तपासता येणारी तीच सॉकेट तपासत आहात। तुम्ही चालवता त्या सेवा जे नोंदवतात ते त्याच विश्वास सीमेच्या आत असते, म्हणून पाहुण्याच्या लॉग सेटिंग्ज आणि अधोसंरचना नोंदी एक सेटिंग नव्हे तर दोन वेगळे प्रश्न आहेत।

हायपरवायझर पाहुण्याच्या खाली बसतो

व्हर्च्युअल मशीन ती ज्या कर्नेलवर चालते त्याची मालक नाही। हायपरवायझर तिची मेमरी आणि व्हर्च्युअल नेटवर्क कार्ड नकाशा करतो, त्यामुळे त्या स्तरावरील ऑपरेटर पाहुण्याच्या लेखापरीक्षण क्षमतेबाहेर असतो। पाहुण्याचे अलगीकरण वास्तविक आहे आणि भाडेकरूंमध्ये त्यावर विश्वास ठेवणे योग्य आहे, आणि ते विशेषाधिकार प्रवेश अशक्य असल्याचे वचन नाही। ही असमानता अलगीकरण शब्दामागे लपवण्याऐवजी स्पष्टपणे सांगण्यास पात्र आहे।

समर्पित भौतिक सर्व्हर पुरवठादाराने दिलेले नेटवर्क, भौतिक प्रवेश किंवा व्यवस्थापन इंटरफेस न काढता मांडणी बदलतो। प्रवेशाचा प्रश्न एका शब्दाने ठरवू देण्याऐवजी उत्पादन काय दस्तऐवजीकरण करते ते वाचा।

हा प्रवास विश्वासाचा निर्णय बनवा

प्रत्येक निरीक्षक आणि त्याला देत असलेली क्षमता लिहा, नंतर ती परवानगी तुम्ही पाठवण्याच्या तयारीत असलेल्या रहदारीस अनुकूल आहे का ते ठरवा। यादी लहान आहे: तुमचे स्थानिक नेटवर्क, तुमचा इंटरनेट पुरवठादार, होस्टिंग नेटवर्क, हायपरवायझर ऑपरेटर आणि तुम्ही। बाकी जे काही आहे ते यांपैकी कुणाचा उपपुरवठादार असते आणि तीच क्षमता वारसाहक्काने मिळवते। नंतर यादी शोधण्यापेक्षा आधीच ठरवणे स्वस्त आहे।

मग तुम्ही खरोखर तपासू शकता ते भाग तपासा: तुमच्या स्वतःच्या सेवा कोणते लॉग लिहितात, ते किती काळ ठेवता आणि प्रवाह नोंदी व धारणेबद्दल पुरवठादार काय प्रकाशित करतो। ज्या धोरणांचे तुम्ही वाचन आणि चाचणी करू शकता ती खाजगी यासारख्या शब्दाच्या अर्थाबाबतच्या अनुमानांपेक्षा चांगली आहेत।