Ijaraga olingan VPN serverida trafigingizni kim ko'ra oladi?
VPN serverini ijaraga olish ishonchni hosting provayderiga ko'chiradi. Klientdan chiqishgacha yo'lni bosib o'ting va har bir kuzatuvchi nimani bilib olishi va nimani bila olmasligini ko'ring.
Server ijaraga olish kimga ishonishingizni o'zgartiradi va savolni yo'q qilmaydi. Tunnel trafigingizni u kesib o'tadigan tarmoqlardan yashiradi, so'ngra ochiq matnni boshqa birovning gipervizori boshqaradigan mashinaga beradi. Paketni klientingizdan tashqariga kuzatish har bir kuzatuvchi qayerda turishini va ularning har biri aslida nimani ko'ra olishini ko'rsatadi. Bu yurish anonimlik haqidagi har qanday da'vodan foydaliroq.
Klientdan boshlang va paketni tashqariga kuzatib boring
Biror narsa noutbukdan chiqishidan oldin, klient paketni o'rab, uni serverning ochiq oxirgi nuqtasiga manzil qiladi. Mahalliy tarmog'ingiz va provayderingiz o'sha manzil va portga bitta oqimni ko'radi, hajmi va ritmi bilan. Ular ko'rmaydigan narsa bu qaysi saytni ochganingiz, chunki bu manzil shifrlangan yuk ichida. Metadata va kontent o'rtasidagi chegara bir jumlada butun yurishdir.
O'sha birinchi sakrash marketing da'volarining ko'pchiligi qiziqarli bo'lishdan to'xtaydigan joydir. Xuddi shu Wi-Fi'dagi qo'shni provayder ko'rgan narsani ko'radi va ikkalasi ham sahifani ko'rmaydi. Shunga qaramay hajm va vaqt ko'rinib turadi va yuk buni qilmasa ham ular xatti-harakatni tasvirlaydi.
Hosting tarmog'i tunnelni ko'radi, sahifani emas
Provayder tarmog'i ichida shifrlangan oqim avval kommutatorga, so'ng virtual interfeysga, so'ng sizning VM'ingizga yetib keladi. Bu tarmoqni boshqaradigan har kim hech qanday kalit ushlamasdan baytlarni sanashi va oqim yozuvlarini yuritishi mumkin, va buning uchun kalit kerak emas. Hosting provayderi egallaydigan mavqei aynan shu.
Chiqish yo'lida manzara o'zgaradi. VM manzil bilan yangi ulanish ochadi, shuning uchun hosting tarmog'i o'sha manzilni va uning atrofidagi TLS qo'l berishni ko'ra oladi. Yuk ilovaning o'z shifrlashi bilan himoyalangan qoladi, metadata esa yo'q.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Qatorlarni tartib bilan o'qing va muammoning shakli ko'rinadi: har biri ustidagi qatordan ko'proq ko'radi va ularning hech biriga buning uchun VPN'ni buzish kerak emas.
VM ichida tunnel tugaydi va ochiq matn boshlanadi
Tunnel sizning VM'ingizda tugaydi, shuning uchun mehmon ichki paketni biror narsa uni qayta shifrlashidan oldin ko'radi. Bu nuqson emas; o'zingiz joylashtirgan chiqish shunday qiladi. Bu chiqish xavfsizligi mehmonni kim boshqarishiga bog'liqligini bildiradi va bu hisobda administrator — siz.
wg show
ss -tunp | head
nft list ruleset | head -40Ularni serverda ishga tushiring va siz mehmonda root bo'lgan operator tekshira oladigan soketlarni tekshirasiz. Sizning xizmatlaringiz yozib oladigan hamma narsa o'sha ishonch chegarasi ichida bo'ladi, shuning uchun mehmon jurnali sozlamalari va infratuzilma yozuvlari bitta sozlama emas, ikki xil savol.
Gipervizor mehmon ostida o'tiradi
Virtual mashina o'zi ishlaydigan yadroga ega emas. Gipervizor uning xotirasini va virtual tarmoq kartasini xaritalaydi, shuning uchun bu qatlamdagi operator mehmonning uni audit qilish imkoniyatidan tashqarida bo'ladi. Mehmon izolyatsiyasi haqiqiy va ijarachilar o'rtasida unga tayanishga arziydi, va bu imtiyozli kirish mumkin emas degan va'da emas. Bu asimmetriya izolyatsiya so'zi orqasiga yashirilish o'rniga ochiq aytilishga loyiq.
Ajratilgan jismoniy server tartibni o'zgartiradi, lekin provayder taqdim etadigan tarmoqni, jismoniy kirishni yoki boshqaruv interfeysini olib tashlamaydi. Kirish savolini bir so'z hal qilishiga yo'l qo'yish o'rniga mahsulot nimani hujjatlashtirishini o'qing.
Bu yurishni ishonch qaroriga aylantiring
Har bir kuzatuvchini va unga berayotgan imkoniyatni yozing, so'ng bu ruxsat yubormoqchi bo'lgan trafigingizga mos keladimi-yo'qmi qaror qiling. Ro'yxat qisqa: mahalliy tarmog'ingiz, provayderingiz, hosting tarmog'i, gipervizor operatori va siz. Qolgan hamma narsa ulardan birining subpudratchisi va xuddi shu imkoniyatni meros oladi. Oldindan qaror qilish ro'yxatni keyin topishdan arzon.
So'ng haqiqatan tekshira oladigan qismlarni tasdiqlang: o'z xizmatlaringiz qanday jurnallar yozadi, ularni qancha vaqt saqlaysiz va provayder oqim yozuvlari va saqlash haqida nima e'lon qiladi. O'qish va sinash mumkin bo'lgan siyosatlar shaxsiy kabi so'z nimani anglatishi haqidagi taxminlardan yaxshiroq.