Wie je vertrouwt als je de VPN-server zelf draait

Zelf hosten geeft jou de rol van beheerder: jij kiest de software, de configuratie, het updateschema en wat je eigen dienst vastlegt. Wat het niet doet, is de andere partijen uit de verbinding halen. Je toegangsnetwerk draagt nog steeds de pakketten, je hostingprovider beheert nog steeds de machine, een resolver beantwoordt nog steeds queries en een bestemming ziet nog steeds een verzoek. Weten welke daarvan je echt hebt veranderd, is de hele oefening.

Stap 1: breng de partijen in kaart

Noem elke partij in de echte uitrol: je apparaat, het netwerk waar je op aansluit, de VPN-host, de DNS-resolver en de bestemmingsdienst. Noteer voor elk wat het kan waarnemen en welke instellingen je beheert.

Die tabel is nuttiger dan welke bewering over anonimiteit dan ook, omdat ze laat zien waar de controle echt is veranderd. Je beheert de configuratie en de logboeken van de host. Je beheert niet de blik van het toegangsnetwerk op je verbinding, en je beheert niet wat de bestemming over je account vastlegt.

Bij een eindpunt thuis verlaat het gedekte verkeer normaal de toegangsverbinding van dat huis. Het uitgangsadres dat je bestemming ziet, is dat van het huishouden, wat een feit over de topologie is en geen fout in de software. Als dat adres is wat je wilde veranderen, kan een thuisserver dat niet. Je hebt een uitgang ergens anders nodig.

Stap 2: schrijf op wat je hebt gewonnen

Je kunt de uitgerolde configuratie inspecteren, bepalen welke apparaten mogen deelnemen, een diagnosebeleid instellen en de registraties bijhouden die je kiest. Dat zijn echte controles als je ze onderhoudt, en ze zijn de eerlijke reden om zelf te hosten.

Ze zijn ook voorwaardelijk. Een ongebruikte standaardinstelling en een ongeteste back-up zijn geen eigenschappen die het protocol levert; het zijn bedoelingen. Schrijf de controle op samen met de test die hem bewijst, anders telt hij niet.

Stap 3: accepteer de onderhoudslijst

De lijst is kort en meedogenloos: bescherm het beheerdersaccount, bescherm de serversleutels, verstrek en trek client-identiteiten in, houd back-ups bij, verwijder verloren apparaten en houd een herstelpad dat niet afhangt van de falende tunnel.

Intrekking verdient een eigen regel. Een apparaat dat je uit de configuratie hebt verwijderd maar nooit hebt ingetrokken, heeft nog geldige inloggegevens, en het verschil blijkt pas als iemand ze gebruikt. Test de verwijdering door te proberen verbinding te maken met het oude materiaal.

Back-ups vragen dezelfde behandeling. Zet er een terug op een reservehost en bevestig dat de tunnel opkomt met dezelfde identiteiten. Een back-up die je nooit hebt teruggezet, is een bestand en geen herstelplan.

Stap 4: laat de aanname van anonimiteit vallen

De server draaien maakt je browser niet anoniem. Sites ontvangen nog steeds accountgegevens en cookies, en HTTPS beschermt applicatiegegevens op zijn eigen pad, ongeacht de tunnel.

Er is ook een subtieler effect: een adres dat alleen jij gebruikt, kan een stabiel signaal worden dat aan jouw gebruik is gekoppeld. Een commerciële uitgang wordt met vreemden gedeeld, wat in één opzicht slecht is voor privacy en in een ander goed. Je eigen adres is uniek, wat die ruil omkeert.

Als het doel is moeilijk correleerbaar te zijn, kan zelf hosten dat eerder makkelijker dan moeilijker maken. Bepaal welke eigenschap je echt wilt voordat je er een avond aan besteedt. Uniciteit is een kostenpost, geen kenmerk, en ze komt in de meeste teksten over zelf hosten niet voor. Schrijf haar in de partijtabel van stap 1 en de ruil wordt zichtbaar.

Stap 5: kies het om een genoemde reden

Privétoegang tot je eigen netwerk, controle over de configuratie, een specifieke routingvereiste of onafhankelijkheid van het beleid van een leverancier zijn allemaal goede redenen. Schrijf de reden op die van toepassing is en ontwerp de test die zou laten zien dat hij werkt.

Controleer daarna de saaie delen: is de host gepatcht, zijn oude sleutels weg, klopt de bewaartermijn met wat je hebt gedocumenteerd, en kun je de dienst na een storing herstellen? Die vier antwoorden beschrijven het vertrouwensmodel veel beter dan de naam van het protocol.

Stap 6: plan de uitgang

Bepaal vooraf hoe je van de host zou migreren: waar de configuratie staat, hoe clientprofielen opnieuw worden uitgegeven en wat er gebeurt met de registraties die je hebt bewaard. Een zelfgehoste dienst zonder uitgangsplan wordt een afhankelijkheid die je niet kunt verwijderen.

Het gedeelde verantwoordelijkheidsmodel van AWS is ook buiten AWS een bruikbare blauwdruk, omdat het dezelfde vraag afdwingt: welke laag is van jou en welke van iemand anders. Beantwoord die voor elke partij uit stap 1, en het vertrouwensmodel houdt op een slogan te zijn.