Как скрыть трафик от хостера с wireguard?

Question

[Любитель поиграть в самолёты]

Привет, купил сервер на vdsina.ru и настроил на ubuntu 20.04 wireguard c помощью wg-easy. Как я могу скрыть свой трафик от хостера (или хотя бы попытаться) при этом желательно не менять конфигурационные файлы у клиентов в ручную?

Подскажите пожалуйста новичку.

Comments

[res2001]

Трафик внутри ВПН зашифрован, в т.ч. и от хостера.

[Любитель поиграть в самолёты]

res2001, это да. Хостер не может логировать трафик в своей сети, но установить бэкдор на сервер и логировать трафик уже после расшифровки. Если я уже становлюсь параноиком?

[res2001]

Python Новичок,

Хостер не может логировать трафик в своей сети

Что это вдруг? Что же ему помешает? Сеть его, маршрутизаторы все его, провода то же его - логируй не хочу.
Другое дело, что трафик ВПН зашифрован, так что пусть логирует - открытой информации там не много.

установить бэкдор на сервер и логировать трафик уже после расшифровки.

Теоретически да. Практически нет.
Бэкдор в ОС хостер установить может, достаточно легко - виртуалки все под его контролем и даже, как правило, ОС разворачивается из образов хостера, а не из ваших.
Но. Расшифрованный трафик никуда не сохраняется. Он существует только внутри процесса ВПН сервера, т.е. только в памяти процесса до тех пор пока не будет отправлен получателю. Существует несколько популярных реализаций ВПН серверов. Есть варианты kernel space ВПН или user space ВПН. Хостер VDS заранее не знает какой именно ВПН вы будете использовать и ВПН сервер вы уже ставить с официльных репозиториев не подконтрольных хостеру. Да, можно получить доступ к памяти процесса в любой ОС. Но нужно не просто получить доступ к памяти процесса ВПН сервера, нужно знать куда и когда смотреть. А это не реализовать без детального анализа кода ВПН сервера.
Таким образом - практически задача получения расшифрованного трафика из процесса ВПН сервера является технически сложной, готовых решений не существует в открытом доступе, на это еще накладывается, что хостеру заранее не известен тип ВПН сервера, так что хостер должен быть готов ломать все популярные ВПН сервера. Эта задача видится не выполнимой для среднестатистического хостера.

Наложим на это все, тот факт, что большое количество трафика в интернет (который не ВПН трафик) представляет собой HTTPS трафик (или другие протоколы, завернутые в SSL), т.е. этот трафик то же шифрованный.
Таким образом даже если предположить, что хостер умудрился взломать ВПН сервер и получить доступ к открытому трафику, то окажется, что открытый трафик совсем не открытый - это трафик зашифрованный с помощью SSL.
Т.е. по сути у вас внутри ВПН ходит уже зашифрованный трафик, получается такое двойное шифрование. Это, конечно, не обязательно так, т.к. ВПН используют для разных целей. Но ваш случай использования ВПН - получать доступ по протоколу HTTPS к ресурсам в интернет - как раз попадает под такое двойное шифрование.

Но как раз в вашем случае хостеру нет смысла ломать ВПН - достаточно перехватывать исходящий трафик ВПН сервера к конечным адресатам (и от них) - там уже будет чистый HTTPS без дополнительного шифрования ВПН.
Это конечно хорошо, но вот только трафик этот еще нужно дешифровать.

Так что умерьте свою пранойю. Если кто-то соберется организовать подобную слежку, то не для того что бы запретить вам постить посты в фейсбуке и инстаграмме.
Все эти запреты РКН нужны для того, что бы большая часть пользователей прекратила пользоваться запрещенными ресурсами. Средний пользователь интернета не станет искать обходных путей и прочих ВПНов. Человек разбирающийся в большинстве случаев найдет вариант обойти (ВПН). Пока не запретили ВПН это будет работать.
Но могут и запретить. Тогда просто будут блокировать весь не разрешенный трафик и ВПН уже не прокатит. Но даже в Китае вроде до этого не дошли. И у нас, я думаю, подобное то же не случится.

Answer 1

[ky0]

Можете настроить ещё один впн с одного на другой сервер. А потом ещё на один.

Получится что-то вроде Тора, но концептуально вы проблему не решите - выходная нода по определению видит всё, через неё проходящее. С другой стороны - если там везде шифрование а-ля HTTPS, кого это волнует?

Comments

[Любитель поиграть в самолёты]

Типо сайты с шифрованием https?

[Любитель поиграть в самолёты]

ky0, вот тут написано про DNS-proxy. Это может помочь?

[ky0]

Python Новичок, вы что хотите скрыть-то? Куда ходите по HTTP? Тогда шифрование DNS не поможет, по крайней мере до внедрения ECH - в начальных пакетах HTTPS-хэндшейка виден домен, на который вы подключаетесь.

[Любитель поиграть в самолёты]

ky0, хочу что бы хостер как минимум не мог получить мои куки файлы, а максимум историю запросов и поиска

[ky0]

Python Новичок, всё это и без впна никто не получит от вас - HTTPS от перехвата всего такого защищает.

[Любитель поиграть в самолёты]

Куда ходите по HTTP?

На сайты по типу ютуба, сижу в инсте

[Любитель поиграть в самолёты]

ky0, ок, но историю поиска хостер может логировать?

[ky0]

Python Новичок, нет, только домен, на который вы ходите. Все урлы защищены.

[Любитель поиграть в самолёты]

ky0, хорошо, а DNS-proxy чем помогает?

[ky0]

Python Новичок, не даёт возможности подменить DNS-ответ и скрывает DNS-запросы. В случае использования впна на сервер в цивилизованном мире всё это это неактуально.

[Любитель поиграть в самолёты]

ky0, понятно

Answer 2

[CityCat4]

Если Вы хотите скрыть трафик, идущий от Вас через VPN на VPS - Вы его уже скрыли. VPN - это грубо говоря непрозрачная труба, один конец которой у Вас, второй на VPS. Никто не может увидеть трафик, идущий по ней (если у него нет ключа шифрования).
Если Вы хотите скрыть факт использования VPN - то скорее всего никак. Можно использовать тор, прокси, еще один VPN - но задачу это не решает, наоборот использование тор или прокси ставит еще более жирную метку. (Примерно как одеть балаклаву с целью обмануть камеру наблюдения)

Comments

[Любитель поиграть в самолёты]

Если Вы хотите скрыть трафик, идущий от Вас через VPN на VPS - Вы его уже скрыли. VPN - это грубо говоря непрозрачная труба, один конец которой у Вас, второй на VPS. Никто не может увидеть трафик, идущий по ней (если у него нет ключа шифрования).

Но ведь конец этой трубы на vps, а значит имея к нему доступ можно смотреть конец трубы

[Любитель поиграть в самолёты]

если у него нет ключа шифрования

Но ведь хостер может посмотреть wg0.conf?

[CityCat4]

Python Новичок, Конечно :) Вот, посмотри мой ответ на этот вопрос - он похож на твой. Хостер, если ему надо - запросто клонит твою тачку и потрошит ее, как хочет. Весь прикол в том, чтобы ему было это не особо надо. Раньше наличие VPS на полностью лямпортном хостере давало (ну более-менее) такую гарантию. Сейчас градус безумия вырос настолько, что возможны варианты, которые раньше даже по укурке не глючились.