Кто может видеть ваш трафик на арендованном VPN-сервере?

Аренда сервера меняет то, кому вы доверяете, и не снимает вопрос. Туннель скрывает ваш трафик от сетей, которые он пересекает, а затем передаёт открытый текст машине, которой управляет чужой гипервизор. Если проследить пакет от вашего клиента наружу, видно, где стоит каждый наблюдатель и что каждый из них действительно может увидеть. Этот путь полезнее любого утверждения об анонимности.

Начните с клиента и проследите пакет наружу

Прежде чем что-либо покинет ноутбук, клиент упаковывает пакет и адресует его публичной конечной точке сервера. Ваша локальная сеть и ваш провайдер видят один поток к этому адресу и порту, с размером и ритмом. Чего они не видят — так это какой сайт вы открыли, потому что этот пункт назначения находится внутри зашифрованной нагрузки. Граница между метаданными и содержимым — это весь путь в одном предложении.

Этот первый шаг — место, где большинство маркетинговых утверждений перестают быть интересными. Сосед по той же сети Wi-Fi видит то же, что видит провайдер, и ни один из них не видит страницу. Объём и время при этом остаются видимыми, и они описывают поведение даже тогда, когда нагрузка этого не делает.

Хостинговая сеть видит туннель, а не страницу

Внутри сети провайдера зашифрованный поток приходит на коммутатор, затем на виртуальный интерфейс, затем на вашу VM. Тот, кто управляет этой сетью, может считать байты и вести записи потоков, не имея ни одного ключа, и ключ для этого не нужен. Именно это положение занимает хостинг-провайдер.

На пути наружу картина меняется. VM открывает новое соединение с пунктом назначения, поэтому хостинговая сеть может видеть этот адрес назначения и рукопожатие TLS вокруг него. Нагрузка остаётся защищённой собственным шифрованием приложения, а метаданные — нет.

Прочитайте строки по порядку, и форма проблемы становится видна: каждая видит больше строки над собой, и ни одной из них не нужно ломать VPN, чтобы это сделать.

Внутри VM туннель заканчивается и начинается открытый текст

Туннель заканчивается на вашей VM, поэтому гость видит внутренний пакет прежде, чем что-либо зашифрует его снова. Это не недостаток; именно так работает выход, который вы размещаете сами. Это означает, что безопасность выхода зависит от того, кто администрирует гостя, и в этом счёте администратор — вы.

wg show
ss -tunp | head
nft list ruleset | head -40

Запустите это на сервере, и вы осматриваете те же сокеты, которые мог бы осмотреть оператор с root на госте. Всё, что записывают в журналы ваши службы, находится внутри той же границы доверия, поэтому настройки журналов гостя и записи инфраструктуры — это два разных вопроса, а не одна настройка.

Гипервизор сидит под гостем

Виртуальная машина не владеет ядром, на котором работает. Гипервизор отображает её память и её виртуальную сетевую карту, поэтому оператор на этом уровне находится вне возможностей гостя его проверять. Изоляция гостя реальна, и на неё стоит полагаться между арендаторами, но она не является обещанием, что привилегированный доступ невозможен. Эта асимметрия заслуживает того, чтобы сказать её прямо, а не прятать за словом изоляция.

Выделенный физический сервер меняет расклад, не убирая сеть, физический доступ или интерфейс управления, который предоставляет провайдер. Читайте то, что документирует продукт, вместо того чтобы позволять одному слову решать вопрос доступа.

Превратите этот путь в решение о доверии

Запишите каждого наблюдателя и ту возможность, которую вы ему даёте, а затем решите, подходит ли это предоставление трафику, который вы планируете отправлять. Список короткий: ваша локальная сеть, ваш провайдер, хостинговая сеть, оператор гипервизора и вы. Всё остальное — субподрядчик одного из них и наследует ту же возможность. Решить заранее дешевле, чем обнаружить список потом.

Затем проверьте то, что вы действительно можете проверить: какие журналы пишут ваши собственные службы, как долго вы их храните и что провайдер публикует о записях потоков и хранении. Политики, которые можно прочитать и проверить, лучше предположений о том, что означает слово вроде частный.