VM ichidagi VPN trafikni xostdan yashira oladimi?

Klientni virtual mashina ichiga o‘rnatasiz, tunnel ko‘tariladi va mehmon trafigi shifrlanadi. Bu mashinadan tashqaridagi tarmoqqa qarshi nimadir beradi. Mehmonni ishga tushiruvchi operatsion tizimga qarshi esa ancha kam narsa beradi, chunki u mehmon xotirasini o‘qiy oladi va ekranini ko‘ra oladi. Quyidagi tekshiruvlar tunnel nimani himoya qilishini xost nimani saqlab qolishidan ajratadi.

Xost ochiq matnni tunneldan oldin o‘qiydi

Desktop gipervisor mehmonga CPU vaqti beradi va u yozayotgan xotirani o‘qiy oladi, brauzer hozir shifrini ochgan sahifa bilan birga. Xostdagi kuzatuv vositasi o‘sha ochiq matnni shifrga hujum qilmasdan o‘qiydi, xuddi shu darajadagi keylogger esa har qanday klient ularni o‘rashidan oldin tugma bosishlarini to‘playdi. Bularning hech biriga buzilgan VPN kerak emas, shuning uchun toza tunnel asboblar bilan jihozlangan xostning yonida tura oladi.

Bu pozitsiya bermaydigan narsa — uzoq chekka kalitlari yoki boshqa tugash nuqtasi uchma-uch himoya qiladigan mazmun. Tunnel baribir kesib o‘tayotgan tarmoqqa qarshi turadi; bo‘shliq mahalliy.

Izlar sessiyadan uzoq yashaydi

VirtualBox mehmonini to‘xtatib turing, yonida saqlangan xotira holatiga ega .sav fayli paydo bo‘ladi. VMware to‘xtatish va snapshot ishlari paytida .vmem va .vmsn fayllarini qoldiradi, Hyper-V nazorat nuqtalari xost jildida .avhdx farq disklarini o‘stiradi. Bu fayllarning hech biri mehmon disk shifrlash bilan shifrlanmaydi. Xostning sahifa fayli gipervisor siqib chiqargan sahifalarni ham qabul qilishi mumkin, Tails o‘zining virtualizatsiya qo‘llanmasida ogohlantirgan iz shu. Gipervisor snapshotlarni saqlaydimi va xost svopi shifrlangan jilddami — tekshiring.

Bu fayllar uchun saqlash qoidasini belgilang, kimdir o‘chirmaguncha ularni ushlab turadigan standartga ishonish o‘rniga. Amneziya sessiyasini e’lon qiladigan mehmon buni o‘zgartirmaydi; faylni xost yozadi, shuning uchun uning siyosati amal qiladi. Snapshotlar qayerdaligini yoki ularni kim ocha olishini ayta olmasangiz, mehmon dizayni baholanmagan.

Disk shifrlash torroq holatni qamrab oladi

Mehmon diskini shifrlash tinch holatdagi tasvirni, boshqa mashinaga olib o‘tilgan jildni yoki qochib chiqadigan zaxira nusxasini himoya qiladi. Mehmon ishlayotganda u hech narsa qilmaydi, chunki gipervisor xotirani mehmon uni shifrdan ochgandan keyin o‘qiydi. Parol iborasini saqlangan nusxalar himoyasi deb biling, VMni ishga tushiruvchi mashinaga qarshi qalqon deb emas.

Kalitlar va jonli ijro alohida savollar. Xosting yoki umumiy muhitda provayder tasvir kalitlarini ushlab turishi mumkin, mehmon esa siz hech qachon ko‘zdan kechirmaydigan apparatda ishlaydi, shuning uchun ikkala javobni ham yozib qo‘ying.

Transport — bu bir xil ko‘rinish emas

Mehmon tunnelini olib o‘tuvchi yuk yopiq bo‘lsa ham tashqi chekkalarni, vaqtni va hajmni ko‘radi. Bunday shakldagi metama’lumot ko‘pincha kuzatuvchida haqiqatan bor savolga javob beradi, shuning uchun uni shovqin emas, fosh bo‘lishning bir qismi deb biling. Adapter rejimi va marshrutlash xost darajasidagi VPN qoidalari mehmon trafigiga umuman tegishini hal qiladi.

Buni xostdagi brauzerdan emas, mehmon ichidan sinab ko‘ring. Mehmon to‘g‘ridan-to‘g‘ri ko‘prik qilingan paytda xost brauzeri yopilgan bo‘lishi mumkin va ikkisi turli yo‘llardan foydalanib bitta ulanishni bo‘lishishi mumkin. Adapter rejimini yozib oling, so‘ng taxminga ishonish o‘rniga xostning jismoniy interfeysida ushlashni tekshiring.

O‘tishlarni toraytiring, so‘ng yozuvni yozing

Mehmonni o‘zingiz boshqaradigan apparatda ishga tushiring, gipervadorni yamalgan holda saqlang, umumiy papkalar, bufer almashish va tortib qo‘yishni faqat ish talab qiladigan joyda yoqing. Ularning har biri xost va mehmon o‘rtasidagi kanal, va keladigan standart odatda topshiriq talab qilganidan ko‘ra ochiqroq bo‘ladi. Ishlatmaydigan mehmon qo‘shimchalarini o‘chiring, so‘ng sozlamalar qayta yuklashdan keyin ham saqlanishini tasdiqlang, chunki yangilanish siz o‘chirgan narsani qaytarishi mumkin.

Bu qadamlar o‘tishlarni toraytiradi; ular mehmonni alohida jismoniy ishonch chegarasiga aylantirmaydi. Mustahkamlangan VMni shunday chegara deb bilish — xavf baholashlari odatda xato qiladigan joy.

Nozik ish uchun trafik qanday marshrutlanishini va qaysi mahalliy tizimlar ish yukini ishga tushirib saqlashini yozing. Xostni kim boshqarishini va qaysi fayllar sessiyadan keyin qolishini qo‘shing. Faqat tunnelni sanab o‘tgan maxfiylik eslatmasi tartibning yarmini tasvirlaydi.