Хто може бачити ваш трафік на орендованому VPN-сервері?

Оренда сервера змінює те, кому ви довіряєте, і не знімає питання. Тунель ховає ваш трафік від мереж, які він перетинає, а потім передає відкритий текст машині, якою керує чужий гіпервізор. Якщо простежити пакет від вашого клієнта назовні, видно, де стоїть кожен спостерігач і що кожен із них справді може побачити. Ця подорож корисніша за будь-яке твердження про анонімність.

Почніть із клієнта і простежте пакет назовні

Перш ніж щось залишить ноутбук, клієнт загортає пакет і адресує його публічній кінцевій точці сервера. Ваша локальна мережа і ваш провайдер бачать один потік до цієї адреси й порту, з розміром і ритмом. Чого вони не бачать — це який сайт ви відкрили, бо цей пункт призначення лежить усередині зашифрованого навантаження. Межа між метаданими і вмістом — це вся подорож в одному реченні.

Цей перший стрибок — місце, де більшість маркетингових тверджень перестають бути цікавими. Сусід у тій самій мережі Wi-Fi бачить те, що бачить провайдер, і жоден із них не бачить сторінку. Обсяг і час при цьому лишаються видимими, і вони описують поведінку навіть тоді, коли навантаження цього не робить.

Хостингова мережа бачить тунель, а не сторінку

Усередині мережі провайдера зашифрований потік надходить на комутатор, потім на віртуальний інтерфейс, потім на вашу VM. Той, хто керує цією мережею, може рахувати байти й вести записи потоків, не маючи жодного ключа, і ключ для цього не потрібен. Саме це становище займає хостинг-провайдер.

На шляху назовні картина змінюється. VM відкриває нове з'єднання до пункту призначення, тому хостингова мережа може бачити цю адресу призначення і рукостискання TLS навколо неї. Навантаження лишається захищеним власним шифруванням застосунку, а метадані — ні.

Прочитайте рядки по порядку, і форма проблеми стає видимою: кожен бачить більше за рядок над ним, і жодному з них не потрібно ламати VPN, щоб це зробити.

Усередині VM тунель закінчується і починається відкритий текст

Тунель закінчується на вашій VM, тому гість бачить внутрішній пакет перш ніж щось зашифрує його знову. Це не вада; саме так робить вихід, який ви розміщуєте самі. Це означає, що безпека виходу залежить від того, хто адмініструє гостя, і в цьому розрахунку адміністратор — ви.

wg show
ss -tunp | head
nft list ruleset | head -40

Запустіть це на сервері, і ви оглядаєте ті самі сокети, які міг би оглянути оператор із root на гостьовій системі. Усе, що записують у журнали ваші служби, лежить усередині тієї самої межі довіри, тому налаштування журналів гостьової системи й записи інфраструктури — це два окремі питання, а не одне налаштування.

Гіпервізор сидить під гостем

Віртуальна машина не володіє ядром, на якому працює. Гіпервізор відображає її пам'ять і її віртуальну мережеву карту, тому оператор на цьому рівні перебуває поза можливостями гостьової системи його перевіряти. Ізоляція гостьової системи реальна, і на неї варто покладатися між орендарями, і вона не є обіцянкою, що привілейований доступ неможливий. Ця асиметрія заслуговує на те, щоб сказати її прямо, а не ховати за словом ізоляція.

Виділений фізичний сервер змінює розклад, не прибираючи мережу, фізичний доступ або інтерфейс керування, який надає провайдер. Читайте те, що документує продукт, замість того щоб дозволяти одному слову вирішувати питання доступу.

Перетворіть цю подорож на рішення про довіру

Запишіть кожного спостерігача і ту можливість, яку ви йому даєте, а потім вирішіть, чи відповідає це надання трафіку, який ви плануєте надсилати. Список короткий: ваша локальна мережа, ваш провайдер, хостингова мережа, оператор гіпервізора і ви. Усе інше — субпідрядник одного з них і успадковує ту саму можливість. Вирішити заздалегідь дешевше, ніж виявити список потім.

Потім перевірте те, що ви справді можете перевірити: які журнали пишуть ваші власні служби, як довго ви їх зберігаєте і що провайдер публікує про записи потоків і зберігання. Політики, які можна прочитати й перевірити, кращі за припущення про те, що означає слово на кшталт приватний.