Kush mund ta shohë trafikun tuaj në një server VPN me qira?

Marrja me qira e një serveri ndryshon se kujt i besoni dhe nuk e heq pyetjen. Tuneli e fsheh trafikun tuaj nga rrjetet që përshkon, pastaj ia dorëzon tekstin e thjeshtë një makine që drejtohet nga hipervizori i dikujt tjetër. Ndjekja e paketës nga klienti juaj nga jashtë tregon ku qëndron secili vëzhgues dhe çfarë mund të shohë vërtet secili prej tyre. Ajo shëtitje është më e dobishme se çdo pretendim për anonimitet.

Filloni te klienti dhe ndiqni paketën nga jashtë

Përpara se diçka të largohet nga laptopi, klienti e mbështjell paketën dhe e adreson drejt pikës fundore publike të serverit. Rrjeti juaj lokal dhe ofruesi juaj shohin një rrjedhë të vetme drejt atij adresi dhe porti, me një madhësi dhe një ritëm. Ajo që nuk shohin është cilin sajt keni hapur, sepse ai destinacion ndodhet brenda ngarkesës së kriptuar. Vija mes metadatave dhe përmbajtjes është e gjithë shëtitja në një fjali.

Ai kërcimi i parë është vendi ku shumica e pretendimeve të marketingut pushojnë së qeni interesante. Një fqinj në të njëjtin Wi-Fi sheh atë që sheh ofruesi, dhe asnjëri prej tyre nuk e sheh faqen. Vëllimi dhe koha mbeten megjithatë të dukshme, dhe ato përshkruajnë sjellje edhe kur ngarkesa nuk e bën.

Rrjeti i hostimit sheh tunelin, jo faqen

Brenda rrjetit të ofruesit rrjedha e kriptuar arrin në një komutator, pastaj në një ndërfaqe virtuale, pastaj në VM-në tuaj. Kushdo që e drejton atë rrjet mund të numërojë bajt dhe të mbajë regjistra rrjedhash pa pasur asnjë çelës, dhe për këtë nuk nevojitet asnjë çelës. Është pikërisht pozicioni që zë një ofrues hostimi.

Në rrugën dalëse fotografia ndryshon. VM hap një lidhje të re me destinacionin, kështu që rrjeti i hostimit mund ta shohë atë adresë destinacioni dhe shtrëngimin e duarve TLS rreth saj. Ngarkesa mbetet e mbrojtur nga kriptimi i vetë aplikacionit, ndërsa metadata jo.

Lexoni rreshtat me radhë dhe forma e problemit shfaqet: secili sheh më shumë se rreshti sipër tij, dhe asnjëri prej tyre nuk duhet ta thyejë VPN-në për ta bërë këtë.

Brenda VM tuneli përfundon dhe fillon teksti i thjeshtë

Tuneli përfundon në VM-në tuaj, kështu që mysafiri e sheh paketën e brendshme përpara se diçka ta kriptojë përsëri. Ky nuk është defekt; këtë bën një dalje e hostuar vetë. Do të thotë se siguria e daljes varet nga kush e administron mysafirin, dhe në atë llogari administratori jeni ju.

wg show
ss -tunp | head
nft list ruleset | head -40

Ekzekutoni ato në server dhe po inspektoni të njëjtat soketa që një operator me root në mysafir mund t'i inspektonte. Çdo gjë që regjistrojnë shërbimet që ekzekutoni qëndron brenda të njëjtit kufi besimi, dhe prandaj cilësimet e regjistrit të mysafirit dhe regjistrat e infrastrukturës janë dy pyetje të veçanta dhe jo një cilësim.

Hipervizori rri nën mysafirin

Një makinë virtuale nuk e zotëron kernelin në të cilin ekzekutohet. Hipervizori harton kujtesën dhe kartën e saj virtuale të rrjetit, kështu që një operator në atë shtresë është jashtë aftësisë së mysafirit për ta audituar. Izolimi i mysafirit është i vërtetë dhe ia vlen t'i besohet mes qiramarrësve, dhe nuk është premtim se aksesi i privilegjuar është i pamundur. Kjo asimetri meriton të thuhet haptazi në vend që të fshihet pas fjalës izolim.

Një server fizik i dedikuar e ndryshon rregullimin pa hequr rrjetin, aksesin fizik ose ndërfaqen e menaxhimit që ofron ofruesi. Lexoni atë që dokumenton produkti në vend që të lini një fjalë të vendosë çështjen e aksesit.

Kthejeni shëtitjen në një vendim besimi

Shkruani çdo vëzhgues dhe aftësinë që po i jepni, pastaj vendosni nëse ai dhurim i përshtatet trafikut që planifikoni të dërgoni. Lista është e shkurtër: rrjeti juaj lokal, ofruesi juaj, rrjeti i hostimit, operatori i hipervizorit dhe ju. Çdo gjë tjetër është nënkontraktor i njërit prej tyre dhe trashëgon të njëjtën aftësi. Të vendosësh paraprakisht është më lirë sesa ta zbulosh listën më pas.

Pastaj verifikoni pjesët që vërtet mund t'i kontrolloni: çfarë regjistrash shkruajnë shërbimet tuaja, sa kohë i mbani dhe çfarë publikon ofruesi për regjistrat e rrjedhave dhe mbajtjen. Politikat që mund t'i lexoni dhe testoni janë më të mira se supozimet për atë që do të thotë një fjalë si private.