Quem pode ver o seu tráfego num servidor VPN alugado?

Alugar um servidor muda em quem você confia e não elimina a pergunta. O túnel esconde o seu tráfego das redes que atravessa e depois entrega o texto simples a uma máquina que o hipervisor de outra pessoa executa. Seguir o pacote para fora a partir do seu cliente mostra onde cada observador está e o que cada um deles consegue realmente ver. Esse percurso é mais útil do que qualquer afirmação sobre ser anônimo.

Comece no cliente e siga o pacote para fora

Antes de qualquer coisa sair do portátil, o cliente embrulha o pacote e endereça-o ao ponto final público do servidor. A sua rede local e o seu provedor veem um único fluxo para esse endereço e porta, com um tamanho e um ritmo. O que não veem é qual site você abriu, porque esse destino fica dentro da carga cifrada. A linha entre metadados e conteúdo é todo o percurso numa única frase.

Esse primeiro salto é onde a maioria das afirmações de marketing deixa de ser interessante. Um vizinho na mesma Wi-Fi vê o que o provedor vê, e nenhum dos dois vê a página. O volume e o momento, porém, continuam visíveis, e descrevem comportamento mesmo quando a carga não o faz.

A rede de hospedagem vê o túnel, não a página

Dentro da rede do provedor, o fluxo cifrado chega a um comutador, depois a uma interface virtual e depois à sua VM. Quem opera essa rede pode contar bytes e manter registos de fluxo sem deter qualquer chave, e não é precisa nenhuma chave para isso. É exatamente a posição que um provedor de hospedagem ocupa.

No caminho de saída a imagem muda. A VM abre uma nova ligação ao destino, pelo que a rede de hospedagem pode ver esse endereço de destino e o aperto de mão TLS à sua volta. A carga continua protegida pela cifragem da própria aplicação, e os metadados não.

Leia as linhas por ordem e a forma do problema aparece: cada uma vê mais do que a linha de cima, e nenhuma delas tem de quebrar a VPN para o fazer.

Dentro da VM o túnel termina e o texto simples começa

O túnel termina na sua VM, pelo que o convidado vê o pacote interior antes de algo o voltar a cifrar. Isso não é um defeito; é o que faz uma saída auto-hospedada. Significa, sim, que a segurança da saída depende de quem administra o convidado, e nessa conta o administrador é você.

wg show
ss -tunp | head
nft list ruleset | head -40

Execute esses comandos no servidor e está a inspecionar os mesmos sockets que um operador com root no convidado poderia inspecionar. Tudo o que os serviços que executa registam fica dentro da mesma fronteira de confiança, e é por isso que as definições de registo do convidado e os registos de infraestrutura são duas perguntas separadas e não uma única definição.

O hipervisor fica abaixo do convidado

Uma máquina virtual não é dona do núcleo em que corre. O hipervisor mapeia a sua memória e a sua placa de rede virtual, pelo que um operador nessa camada fica fora da capacidade do convidado para o auditar. O isolamento do convidado é real e vale a pena confiar nele entre inquilinos, e não é a promessa de que o acesso privilegiado seja impossível. Essa assimetria merece ser dita com clareza em vez de ficar escondida atrás da palavra isolamento.

Um servidor físico dedicado muda a disposição sem eliminar a rede, o acesso físico ou a interface de gestão que o provedor fornece. Leia o que o produto documenta em vez de deixar uma única palavra resolver a questão do acesso.

Transforme o percurso numa decisão de confiança

Anote cada observador e a capacidade que lhe concede, e depois decida se essa concessão serve o tráfego que pretende enviar. A lista é curta: a sua rede local, o seu provedor, a rede de hospedagem, o operador do hipervisor e você. Qualquer outra coisa é um subcontratado de um deles e herda a mesma capacidade. Decidir com antecedência é mais barato do que descobrir a lista depois.

Depois verifique as partes que realmente pode controlar: que registos escrevem os seus próprios serviços, quanto tempo os guarda e o que o provedor publica sobre registos de fluxo e retenção. Políticas que pode ler e testar valem mais do que suposições sobre o que significa uma palavra como privado.