Sino ang makakakita ng iyong trapiko sa inupahang VPN server?

Ang pag-upa ng server ay nagbabago kung sino ang pinagkakatiwalaan mo at hindi inaalis ang tanong. Itinatago ng tunnel ang iyong trapiko mula sa mga network na dinaraanan nito, pagkatapos ay ibinibigay ang plaintext sa isang makina na pinapatakbo ng hypervisor ng ibang tao. Ang pagsunod sa packet palabas mula sa iyong kliyente ay nagpapakita kung saan nakatayo ang bawat tagamasid at kung ano ang aktuwal na nakikita ng bawat isa sa kanila. Mas kapaki-pakinabang ang paglalakbay na iyon kaysa sa anumang pag-aangkin tungkol sa pagiging anonymous.

Magsimula sa kliyente at sundan ang packet palabas

Bago umalis ang anuman sa laptop, binabalot ng kliyente ang packet at iniaaddress ito sa pampublikong endpoint ng server. Nakikita ng iyong lokal na network at ng iyong provider ang isang daloy patungo sa address at port na iyon, may sukat at ritmo. Ang hindi nila nakikita ay kung aling site ang binuksan mo, dahil ang destinasyong iyon ay nasa loob ng naka-encrypt na payload. Ang linya sa pagitan ng metadata at content ay ang buong paglalakbay sa isang pangungusap.

Ang unang paglundag na iyon ang lugar kung saan ang karamihan ng marketing claim ay tumitigil na maging kawili-wili. Ang kapitbahay sa parehong Wi-Fi ay nakikita ang nakikita ng provider, at wala sa kanila ang nakikita ang pahina. Nananatiling nakikita ang volume at timing, at inilalarawan nila ang pag-uugali kahit hindi gawin ito ng payload.

Nakikita ng hosting network ang tunnel, hindi ang pahina

Sa loob ng network ng provider, dumarating ang naka-encrypt na daloy sa isang switch, pagkatapos sa isang virtual interface, pagkatapos sa iyong VM. Sinumang nagpapatakbo ng network na iyon ay makakabilang ng byte at makapag-iingat ng mga talaan ng daloy nang walang anumang key, at walang key na kailangan para doon. Iyon mismo ang posisyong hawak ng isang hosting provider.

Sa daang palabas nagbabago ang larawan. Nagbubukas ang VM ng bagong koneksyon sa destinasyon, kaya nakikita ng hosting network ang address ng destinasyong iyon at ang TLS handshake sa paligid nito. Nananatiling protektado ang payload ng sariling encryption ng application, ang metadata ay hindi.

Basahin ang mga hilera nang sunod-sunod at lumilitaw ang hugis ng problema: bawat isa ay nakikita ang higit pa kaysa sa hilerang nasa itaas, at wala sa kanila ang kailangang basagin ang VPN para gawin iyon.

Sa loob ng VM nagtatapos ang tunnel at nagsisimula ang plaintext

Nagtatapos ang tunnel sa iyong VM, kaya nakikita ng bisita ang panloob na packet bago ito i-encrypt muli ng anuman. Hindi ito depekto; ganoon ang ginagawa ng isang self-hosted na labasan. Nangangahulugan ito na ang seguridad ng labasan ay nakasalalay sa kung sino ang nangangasiwa sa bisita, at sa account na iyon ikaw ang administrador.

wg show
ss -tunp | head
nft list ruleset | head -40

Patakbuhin ang mga iyon sa server at sinusuri mo ang parehong socket na masusuri ng isang operator na may root sa bisita. Lahat ng itinatala ng mga serbisyong pinapatakbo mo ay nasa loob ng parehong hangganan ng tiwala, kaya't ang mga setting ng log ng bisita at ang mga talaan ng imprastruktura ay dalawang magkaibang tanong at hindi isang setting.

Nakaupo ang hypervisor sa ilalim ng bisita

Ang isang virtual machine ay hindi nagmamay-ari ng kernel na pinapatakbo nito. Binabago ng hypervisor ang memorya at ang virtual network card nito, kaya ang isang operator sa antas na iyon ay nasa labas ng kakayahan ng bisita na i-audit ito. Totoo ang paghihiwalay ng bisita at sulit itong pagkatiwalaan sa pagitan ng mga nangungupahan, at hindi ito pangako na imposible ang pribilehiyadong pag-access. Ang kawalan ng simetriya na iyon ay dapat sabihin nang tapat sa halip na itago sa likod ng salitang paghihiwalay.

Ang isang nakalaang pisikal na server ay nagbabago ng kaayusan nang hindi tinatanggal ang network, ang pisikal na pag-access o ang interface ng pamamahala na ibinibigay ng provider. Basahin ang dokumentado ng produkto sa halip na hayaan ang isang salita na magpasyahan ang tanong ng pag-access.

Gawing desisyon sa tiwala ang paglalakbay na ito

Isulat ang bawat tagamasid at ang kakayahang ibinibigay mo rito, pagkatapos ay magpasya kung ang pagbibigay na iyon ay umaangkop sa trapikong balak mong ipadala. Maikli ang listahan: ang iyong lokal na network, ang iyong provider, ang hosting network, ang operator ng hypervisor, at ikaw. Anumang iba pa ay subcontractor ng isa sa kanila at nagmamana ng parehong kakayahan. Ang magpasya nang maaga ay mas mura kaysa matuklasan ang listahan pagkatapos.

Pagkatapos ay i-verify ang mga bahaging talagang masusuri mo: anong mga log ang isinusulat ng iyong sariling mga serbisyo, gaano katagal mo itong iniingatan, at ano ang inilalathala ng provider tungkol sa mga talaan ng daloy at pagpapanatili. Ang mga patakarang mababasa at masusubok mo ay mas mabuti kaysa sa mga pagpapalagay tungkol sa ibig sabihin ng salitang tulad ng pribado.