Ваш хмарний VPN досі залежить від хостинг-провайдера

Ви встановили операційну систему, посилили службу й тримаєте ключі, і починає здаватися, що сервер ваш. Він ваш так само, як орендована квартира ваша: замок під вашим контролем, а будівля ні. Гіпервізор, мережа перед інстансом і акаунт, який може все перестворити, належать комусь іншому. Саме ця різниця визначає, що має покривати план відновлення, і це та частина, яку самостійний хостинг змінює найменше.

Акаунт — справжня площина керування

Акаунт хостингу керує віртуальною машиною, її дисками, знімками, публічними адресами й мережевими правилами. Усе це можна змінити, навіть не заходячи в гостя, що виводить акаунт за межі моделі загроз, яку описує більшість посібників із VPN. Ідеальна конфігурація тунелю переживає дію з акаунтом, що замінює диск.

Захищайте цей акаунт як окремий актив: незалежні облікові дані, апаратні другі фактори й журнал аудиту, який хтось справді читає. Спільний запис у менеджері паролів із сервісом VPN — та сама помилка, через яку всі інші заходи втрачають сенс.

Читайте розподіл обов'язків провайдера для конкретного продукту, а не для хмари загалом. Модель спільної відповідальності — корисний приклад того, як поділено рівні, а інші провайдери описують власні межі, а не успадковують цю. Вам потрібно зрозуміти, які збої ви зобов'язані виправити, а які можете лише повідомити.

Інфраструктурні події, якими ви не керуєте

Жива міграція, обслуговування хоста, відмова обладнання на фізичному вузлі й подія ємності — усе це провайдер вирішує за власним графіком. Ви можете побачити перезавантаження, коротку втрату пакетів або зміну адреси, але причини не побачите. Проєкт, який вважає інстанс нерухомою точкою, витлумачить кожне з цього як збій VPN. Правильна дія — зробити сервіс стійким до зникаючого інстансу, а не шукати причину, яку вам ніколи не покажуть.

Резервні копії належать до цього рівня, а не до тунелю. Зберігайте конфігурацію сервера, ідентичності, план адрес і дозволені маршрути там, де не потрібна доступність інстансу, і підтвердьте, що копію можна відновити без оригінального диска.

Поведінка адреси заслуговує окремої перевірки. Чи переживе публічна адреса зупинку, заміну або видалення, залежить від того, як її було виділено, і ці три операції не взаємозамінні. Запишіть, на яку з них ви розраховуєте, перш ніж інцидент зробить питання нагальним.

Перевірте, що переживає перезбирання

Будуйте шлях відновлення, поки все працює. Визначте консоль або доступ поза смугою, який пропонує провайдер, переконайтеся, що до неї можна дістатися без тунелю, і зберігайте облікові дані там, звідки зламаний ноутбук або загублений телефон їх не забере. Якщо локальна зміна брандмауера блокує тунель, ця консоль — єдиний шлях назад.

curl -s http://169.254.169.254/latest/meta-data/instance-id
curl -s http://169.254.169.254/latest/meta-data/public-ipv4
cloud-init status --long

Служба метаданих відповідає на запитання про інстанс, яких гість інакше не бачить, а її точні шляхи різняться між провайдерами й платформами, тож звіряйте їх із документацією продукту, який ви запускаєте. Потім проведіть одне контрольоване перезбирання тестового інстансу й заміряйте час. Процедура відновлення, яку ніхто не виконував, — це гіпотеза.

Зверніть увагу, що перезбирання зробило з адресою, ключами хоста, ідентичністю диска й усім, що закріплюють клієнти. Клієнти, які кешували ключ хоста, скаржитимуться після перезбирання, і ця скарга — правильна поведінка, а не помилка, яку треба придушити.

Вирішіть, що насправді змінює самостійний хостинг

Запуск власного VPN переносить довіру з оператора VPN на хостинг-провайдера й вас самих. Це реальна зміна, і вона не дорівнює усуненню третьої сторони. Якщо мета була не дати комерційному VPN спостерігати за трафіком, провайдер усе ще може спостерігати за мережею інстансу, його диском і записами про оплату.

Ваші власні журнали описують ваше програмне забезпечення й не описують кожен інфраструктурний запис, який зберігає провайдер. Правильне й зворотне: видимість інфраструктури не доводить, що провайдер зберігає. Обидва питання потребують політики провайдера й вашої конфігурації, і жодне не відповідає на інше.

Запишіть відповідь як розподіл праці: який рівень відмовив, хто може його полагодити і скільки триває цей ремонт. Самостійний хостинг змінює, кому ви довіряєте, і корисна частина вправи — точно знати, за який рівень ви довіряєте їм.