भाडामा लिएको VPN सर्भरमा तपाईंको ट्राफिक कसले देख्न सक्छ?

सर्भर भाडामा लिनुले तपाईं कसलाई विश्वास गर्नुहुन्छ भन्ने बदल्छ र प्रश्न हटाउँदैन। सुरुङले तपाईंको ट्राफिकलाई यसले पार गर्ने नेटवर्कहरूबाट लुकाउँछ, त्यसपछि सादा पाठ अरू कसैको हाइपरभाइजरले चलाउने मेसिनलाई दिन्छ। तपाईंको क्लाइन्टबाट प्याकेटलाई बाहिरतर्फ पछ्याउँदा प्रत्येक पर्यवेक्षक कहाँ उभिएको छ र तिनीहरूमध्ये प्रत्येकले वास्तवमा के देख्न सक्छ देखिन्छ। त्यो यात्रा अज्ञात हुनुको कुनै पनि दाबीभन्दा उपयोगी छ।

क्लाइन्टबाट सुरु गर्नुहोस् र प्याकेटलाई बाहिरतर्फ पछ्याउनुहोस्

केही कुरा ल्यापटपबाट बाहिर निस्कनु अघि, क्लाइन्टले प्याकेटलाई बेर्छ र सर्भरको सार्वजनिक अन्त्य बिन्दुमा ठेगाना दिन्छ। तपाईंको स्थानीय नेटवर्क र इन्टरनेट प्रदायकले त्यो ठेगाना र पोर्टतर्फ एउटै प्रवाह देख्छन्, एउटा आकार र एउटा लयसहित। तिनीहरूले नदेख्ने कुरा यो हो तपाईंले कुन साइट खोल्नुभयो, किनकि त्यो गन्तव्य इन्क्रिप्टेड पेलोडभित्र छ। मेटाडाटा र सामग्रीबीचको रेखा नै पूरै यात्रा एक वाक्यमा हो।

त्यो पहिलो फड्को त्यही ठाउँ हो जहाँ धेरैजसो मार्केटिङ दाबी रोचक हुन छाड्छन्। उही Wi-Fi मा बस्ने छिमेकीले इन्टरनेट प्रदायकले देख्ने कुरा देख्छ, र ती दुवैले पृष्ठ देख्दैनन्। तैपनि मात्रा र समय देखिने रहन्छ, र पेलोडले नगरे पनि तिनीहरूले व्यवहार वर्णन गर्छन्।

होस्टिङ नेटवर्कले सुरुङ देख्छ, पृष्ठ होइन

प्रदायकको नेटवर्कभित्र इन्क्रिप्टेड प्रवाह पहिले स्विचमा, त्यसपछि भर्चुअल इन्टरफेसमा, त्यसपछि तपाईंको VM मा पुग्छ। त्यो नेटवर्क चलाउने जो कोहीले कुनै कुञ्जी नराखी बाइट गन्न र प्रवाह अभिलेख राख्न सक्छ, र त्यसका लागि कुनै कुञ्जी चाहिँदैन। होस्टिङ प्रदायकले ओगट्ने स्थान ठ्याक्कै त्यही हो।

बाहिर जाने बाटोमा चित्र बदलिन्छ। VM ले गन्तव्यसँग नयाँ जडान खोल्छ, त्यसैले होस्टिङ नेटवर्कले त्यो गन्तव्य ठेगाना र त्यसको वरिपरिको TLS हात मिलाउने कार्य देख्न सक्छ। पेलोड अनुप्रयोगको आफ्नै इन्क्रिप्शनले सुरक्षित रहन्छ, मेटाडाटा रहँदैन।

पङ्क्तिहरू क्रममा पढ्नुहोस् र समस्याको आकार देखिन्छ: प्रत्येकले आफ्नो माथिको पङ्क्तिभन्दा बढी देख्छ, र तिनीहरूमध्ये कसैले पनि त्यसका लागि VPN तोड्नु पर्दैन।

VM भित्र सुरुङ सकिन्छ र सादा पाठ सुरु हुन्छ

सुरुङ तपाईंको VM मा सकिन्छ, त्यसैले अतिथिले भित्री प्याकेट कुनै पुनः इन्क्रिप्शनभन्दा अघि देख्छ। यो दोष होइन; आफैले होस्ट गरेको बाहिरिने बाटोले यही गर्छ। यसको अर्थ बाहिरिने बाटोको सुरक्षा अतिथिलाई कसले व्यवस्थापन गर्छ भन्नेमा निर्भर छ, र त्यो हिसाबमा प्रशासक तपाईं आफै हुनुहुन्छ।

wg show
ss -tunp | head
nft list ruleset | head -40

ती सर्भरमा चलाउनुहोस् र तपाईंले अतिथिमा root भएको अपरेटरले जाँच्न सक्ने त्यही सकेटहरू जाँचिरहनुभएको छ। तपाईंले चलाउने सेवाहरूले अभिलेख गर्ने जे पनि उही विश्वास सीमाभित्र हुन्छ, त्यसैले अतिथिको लग सेटिङ र पूर्वाधार अभिलेख एक सेटिङ नभई दुई छुट्टै प्रश्न हुन्।

हाइपरभाइजर अतिथिको तल बस्छ

भर्चुअल मेसिन आफू चल्ने कर्नेलको मालिक होइन। हाइपरभाइजरले त्यसको मेमोरी र भर्चुअल नेटवर्क कार्ड नक्सा गर्छ, त्यसैले त्यो तहको अपरेटर अतिथिको लेखापरीक्षण क्षमताबाहिर हुन्छ। अतिथि अलगाव वास्तविक छ र भाडेटाहरूबीच त्यसमा भरोसा गर्न लायक छ, र यो विशेषाधिकार प्रवेश असम्भव छ भन्ने वाचा होइन। त्यो असमानता अलगाव शब्दपछाडि लुकाउनुको सट्टा स्पष्ट भनिनु पर्छ।

समर्पित भौतिक सर्भरले प्रदायकले दिने नेटवर्क, भौतिक पहुँच वा व्यवस्थापन इन्टरफेस नहटाई व्यवस्था बदल्छ। प्रवेशको प्रश्न एक शब्दले टुंग्याउन दिनुको सट्टा उत्पादनले के अभिलेख गर्छ पढ्नुहोस्।

यो यात्रालाई विश्वासको निर्णय बनाउनुहोस्

प्रत्येक पर्यवेक्षक र तिनलाई दिनुभएको क्षमता लेख्नुहोस्, त्यसपछि त्यो अनुमति तपाईंले पठाउन खोजेको ट्राफिकसँग मिल्छ कि भनी निर्णय गर्नुहोस्। सूची छोटो छ: तपाईंको स्थानीय नेटवर्क, इन्टरनेट प्रदायक, होस्टिङ नेटवर्क, हाइपरभाइजर अपरेटर र तपाईं। बाँकी जे पनि यिनीहरूमध्ये कसैको उपठेकेदार हो र त्यही क्षमता उत्तराधिकारमा पाउँछ। पछि सूची पत्ता लगाउनुभन्दा अगाडि निर्णय गर्नु सस्तो छ।

त्यसपछि तपाईंले साँच्चै जाँच्न सक्ने भागहरू प्रमाणित गर्नुहोस्: तपाईंका आफ्नै सेवाहरूले कुन लग लेख्छन्, तिनलाई कति समय राख्नुहुन्छ, र प्रवाह अभिलेख तथा संरक्षणबारे प्रदायकले के प्रकाशित गर्छ। पढ्न र परीक्षण गर्न सकिने नीतिहरू निजी जस्तो शब्दको अर्थबारे अनुमानभन्दा राम्रा हुन्।