Сказка на ночь, для любителей поставить свой впн и спать спокойно
Поднять VPN действительно просто. Скрипт в одну строку, пара вопросов в консоли, готовый файл на устройство. Ровно поэтому многие и считают, что вопрос закрыт. Проблема в том, что VPN - это не программа на сервере. Это то, как устроено всё вокруг этой программы. И вот тут между «поднял за вечер» и «работает годами и не подводит» лежит пропасть, о которой в момент установки никто не думает. Мы регулярно наблюдаем на форумах идею о своём личном впн, как о более приватном, анонимном, эффективном и дешёвом способе организации своей безопасности. Наблюдали безалаберность админов 1vpn, которые подставили тысячи людей, допустив проникновение слежки в свою инфраструктуру. Видели конкурс на соседнем форуме, с достаточно высоким бюджетом, о впн методах, который на наш взгляд провалился. Напрашивается вывод - многие не понимают, что такое впн и как всё устроено. Попробуем немного пролить свет на тему и рассказать о своих достоинствах.
Сервер знает о вас всё ещё до первого подключения
Когда вы арендуете сервер, вы оставляете хостеру свои данные: ip, крипто-кошелек, почту. Это нормально, так устроен любой хостинг, и претензий тут быть не может. Но дальше происходит вот что. Сервер выдаёт вам ip адрес, и с этого ip в интернет ходите вы один. Получается прямая цепочка: есть ip - есть сервер, есть сервер - есть договор, есть договор - есть ip, крипто-кошелек, почта человека. И весь трафик с этого адреса принадлежит одному человеку, потому что больше там физически никого нет. Это ровно противоположно тому, зачем VPN вообще нужен. Вы не растворяетесь в потоке - вы выделяетесь из него. Ваш личный адрес становится подписью под каждым действием. Причём подписью устойчивой: он не меняется месяцами, его видит каждый сайт, куда вы заходите, и по нему вас можно узнавать снова и снова. Здесь обычно говорят: «ну и что, я же не делаю ничего такого». Дело не в «таком». Дело в том, что вы платили за то, чтобы вас не выделяли, а получили инструмент, который выделяет вас лучше, чем его отсутствие. До VPN ваш адрес хотя бы менялся и был общим с сотнями абонентов провайдера. После - он стал персональным и постоянным.
У нас в coeur vpn запросы перемешаны, и снаружи не видно, где чей. Через множество точек одновременно идёт трафик множества разных людей. Разделить снаружи, где чей, невозможно - не потому что кто-то дал обещание не смотреть, а потому что данные физически перемешаны. Анонимность не бывает индивидуальной. Ты либо один и потому виден, либо в общем потоке и потому нет. Собрать поток самому невозможно - для этого нужны другие люди, а не другой конфиг.
След от оплаты остаётся навсегда
Про это почти не думают, а зря. Сервер вы оплачиваете со своего кошелька. Платёж проходит через сторонние процессинги, попадает в базы Chainalysis, привязывается к вашему цифровому профилю и хранится годами. То есть даже если на самом сервере не останется ни единой записи - а мы дальше увидим, что останется, - сама связка «этот человек платит за этот сервер» существует в процессинге, у аналитиков и у хостера. И живёт она дольше, чем сам сервер.
Мы этот момент решили кардинально: у нас есть возможность оплачивать подписку криптовалютой через собственный платёжный узел, без посредников. Для человека, которому важна приватность целиком, а не только на участке «компьютер - сайт», это не мелочь. Со своим сервером так не сделаешь: хостингов, которые пустят вас без единого следа, мало, и это отдельный квест со своими рисками.
Одна машина знает обе стороны
На своём сервере вход и выход находятся в одном месте. Вы подключаетесь к машине, и она же выходит в интернет от вашего имени. Значит, существует точка, где в один момент времени видно и кто пришёл, и куда пошёл. Этого достаточно, чтобы связать одно с другим - больше ничего не требуется. Мы строили инфраструктуру иначе с самого начала. Точка, к которой подключается человек, и точка, из которой трафик выходит в интернет, - это разные машины, в разных странах, под разной юрисдикцией, связанные нашим собственным зашифрованным каналом. Ни одна из них не видит полной картины: первая не знает, куда вы в итоге пошли, вторая не знает, кто вы и откуда подключились. Повторить такое на одном арендованном сервере невозможно в принципе. Не из-за сложности настройки - из-за самой топологии. Одна машина всегда знает обе стороны, как её ни настраивай. А если вы решите поднять два сервера и связать их между собой, вы, во-первых, удвоите расходы и работу, а во-вторых, всё равно останетесь единственным пользователем этой цепочки - то есть вернётесь к первой проблеме.
Логи, о которых обычно не думают на своем впн
Свеже поднятый VPN на OpenVPN или WireGuard пишет журналы по умолчанию. Не потому что вы так захотели, а потому что так по умолчанию работают программы: в них попадает ваш реальный ip адрес, время подключения, длительность сессии, иногда куда больше. Файл лежит на диске сервера и живёт там месяцами, пока не кончится место. Диск при этом принадлежит хостеру - не вам. Забрали сервер, сделали резервную копию, случилась утечка у самого хостинга - журналы уехали вместе со всем остальным. И заметьте, вы об этом даже не узнаете.
У нас в coeur vpn узлы устроены так, что служебные записи живут только в оперативной памяти и стираются по расписанию. Перезагрузка - и от них не остаётся ничего, даже теоретически, потому что стирать нечего. Всё, что хранится дольше, лежит в базе в зашифрованном виде: не просто «под паролем», а так, что чувствительные поля зашифрованы по отдельности и ключей к ним на серверах нет. Даже получив сами файлы, прочитать их нельзя. Мы не заявляем, что не храним вообще ничего. Служебные записи существуют - без них невозможно разобрать ни одну аварию, и тот, кто утверждает обратное, либо лукавит, либо не умеет чинить свою систему. Вопрос не в наличии, а в том, где они лежат, сколько живут и что в них попадает. У нас: в оперативной памяти, без пользовательского трафика и без содержимого сессий.
Шифрование
Здесь проходит основная разница между “поставил VPN” и “построил безопасную среду”. Ваш VPS шифрует туннель - и на этом всё. Диск сервера открыт, конфиги лежат текстом, ключи и пароли рядом с ними в том же файле, база (если есть) не защищена ничем.
У нас же шифрование идёт слоями. Диски - LUKS2 с Argon2id. Физически изъятый диск бесполезен без ключа, а ключ на нём не лежит. Данные в базе - не «база под паролем», а шифрование на уровне приложения: каждое чувствительное поле зашифровано отдельно, AES-256-GCM. Получив базу целиком, прочитать её нельзя. Ключи - иерархия HKDF-SHA256: каждый ключ выводится из корневого под конкретную задачу, компрометация одного не раскрывает остальные. Поиск по зашифрованному - обычно ради возможности искать данные держат открытыми. Мы используем blind index на HMAC-SHA256: система находит нужную запись, ни разу не расшифровав поле целиком. Секреты сервиса - SOPS + age (X25519, ChaCha20-Poly1305). Главный приватный ключ на серверах не хранится: он передаётся в память процесса при запуске и нигде не остаётся. Забрав сервер целиком, вы получите шифротекст. Сертификаты - собственная PKI (Easy-RSA), у каждого клиента личный сертификат, отзываемый по CRL. Не общий пароль на всех, как в типичной домашней установке, где один утёкший конфиг открывает доступ кому угодно. Каждый пункт реализуем самостоятельно. Вопрос в другом: настроите ли вы LUKS2 с удалённой разблокировкой при каждой перезагрузке хостера? Разведёте иерархию ключей? Поднимете PKI с отзывом сертификатов ради одного себя? И, главное, будете ли поддерживать это через полгода.
Блокировки: самое неприятное начинается потом
Первая неделя своего VPN обычно проходит прекрасно. Проблемы приходят позже и приходят внезапно. Ip адрес попадает в списки. Часто не за вас, а за соседа по датацентру: диапазоны дешёвых хостингов давно известны и блокируются пачками. Вечером всё работало, утром нет. Дальше начинается знакомое: писать в поддержку хостинга, ждать ответа, покупать новый адрес, перенастраивать сервер, переустанавливать профиль на всех устройствах. И так каждый раз. Причём происходит это не по расписанию. Это случается в поездке, когда под рукой только телефон. Или в воскресенье вечером. Или в момент, когда вам совсем не до серверов.
У нас на этот случай есть подготовленная процедура - не импровизация, а записанный порядок действий, отработанный заранее. Мы держим несколько независимых точек входа, у каждой есть резервный маршрут, и переключение между ними занимает считанные минуты. Для человека это выглядит как короткий разрыв связи, после которого всё продолжает работать. Ничего скачивать и перенастраивать не нужно - систему специально строили так, чтобы замена сервера не требовала от пользователей никаких действий вообще. Это, пожалуй, главная практическая разница. Не в том, что у нас блокировок не бывает - бывают, у всех бывают. А в том, что их разгребаем мы, а не вы, и обычно до того, как вы успеваете заметить.
Фильтрация трафика: ip адрес - это только половина проблемы
Современные системы фильтрации давно не ограничиваются списками ip адресов. Они смотрят на сам характер соединения и узнают VPN по его почерку - по тому, как начинается сессия, как выглядят пакеты, какой у них ритм. И глушат, даже если адрес абсолютно чистый. Стандартная установка VPN «из коробки» для такой системы прозрачна насквозь. Вы можете менять ip адреса сколько угодно - узнавать вас будут по самому соединению. Мы работаем с этим постоянно. Применяем протоколы и способы маскировки, устойчивые к такому анализу, держим несколько разных вариантов подключения на случай, если один перестанет проходить, и меняем подход, когда меняются методы блокировок. Это не разовая настройка, которую сделал и забыл. Это работа, которая не заканчивается, и её кто-то должен делать - либо вы, либо мы. Методы фильтрации в разных странах и у разных провайдеров отличаются. То, что прекрасно работает на домашнем интернете, может не работать с мобильного. Мы это видим на реальной статистике подключений и подстраиваемся. Владелец одного сервера видит только свой случай и делает выводы по одной точке.
Про деньги и время
Сравнивать цену подписки с ценой сервера некорректно, потому что это разные вещи. Аренда - только начало. Дальше нужен второй сервер, иначе вход и выход на одной машине, и всё, что написано выше, остаётся в силе. Нужен запасной адрес на случай блокировки. Нужны резервные копии, обновления безопасности, присмотр за тем, чтобы всё это не развалилось. И главное - нужно ваше время. Каждый раз, когда что-то отваливается, чинить это будете вы. Обычно в самый неподходящий момент, и обычно не пятнадцать минут, а вечер. Если вы цените своё время хоть во что-то, арифметика перестаёт быть очевидной довольно быстро. Есть и вторая сторона, чисто техническая. Дешёвый сервер - это, как правило, скромный канал, который делят между собой несколько десятков клиентов хостинга. Пока вы читаете почту, разницы никакой. Как только начинается видео, звонок или большой файл - разница появляется сразу, и сделать с ней вы ничего не сможете: это не ваша настройка, это физический канал соседей. Мы держим инфраструктуру, рассчитанную на нагрузку, следим за ней ежедневно и меняем узлы, когда они перестают тянуть. Для пользователя это одна понятная сумма без сюрпризов вместо непредсказуемых расходов и вечеров, потраченных на починку.
Что происходит, когда вы спите
Ещё одна вещь, которую замечаешь только со временем. Сервер - это не предмет, это процесс. Он требует внимания постоянно, а не в момент установки. Выходят обновления безопасности - их надо ставить, иначе однажды ваш сервер станет чужим. Заканчивается место на диске - сервис молча перестаёт работать. Хостинг проводит работы и перезагружает машину - а поднимется ли всё после перезагрузки, зависит от того, насколько аккуратно вы всё настроили полгода назад. За нашей инфраструктурой следит автоматика круглосуточно, а за автоматикой - живые люди. Проблемы мы, как правило, видим и чиним раньше, чем их успевают заметить пользователи. Это не героизм, это просто нормальная эксплуатация - но её кто-то должен вести каждый день, включая выходные и праздники.
Когда свой VPN - правильный выбор
Мы не хотим выглядеть тем сервисом, который отговаривает от всего, кроме своего продукта. Свой сервер имеет полный смысл, если вам нужен постоянный предсказуемый адрес под конкретную задачу: доступ к рабочей системе, разработка, тестирование, свой сайт; вам интересно во всём этом разбираться, и процесс сам по себе удовольствие; вы точно понимаете, что этот адрес связан лично с вами, и вас это устраивает. Во всех этих случаях свой VPN - нормальное решение. Мы сами держим сервера под такие задачи и никому не советуем от них отказываться. Но если задача другая - чтобы вас не выделяли из потока, чтобы работало стабильно на всех устройствах, чтобы не приходилось всё чинить руками при каждой новой волне блокировок - одним арендованным сервером она не решается. Не из-за нехватки навыка. Просто у одной машины физически нет тех свойств, которые для этого нужны, сколько её ни настраивай.
Заключение и почему в одиночку это не собирается
Соберём список того, что нужно повторить: два узла минимум в разных юрисдикциях, зашифрованные туннели между ними, отдельный выходной слой, полнодисковое шифрование с удалённой разблокировкой, шифрование данных на уровне приложения, иерархия ключей, хранилище секретов с ключом вне сервера, собственная PKI с отзывом сертификатов, RAM-only журналирование, DNS внутри туннеля, разные механизмы обхода фильтрации, запасные точки входа и выхода с готовой процедурой переключения, круглосуточный мониторинг, платёжный узел. Каждый пункт по отдельности реализуем. Все вместе, для одного человека - это не вечер и не выходные, это работа, у которой нет конца. Обновления безопасности сами себя не поставят. Диск сам себя не почистит, а когда он кончится, сервис молча перестанет работать. Хостинг проведёт работы и перезагрузит машину - поднимется ли всё после ребута, зависит от того, насколько аккуратно вы делали настройку полгода назад. Даже собрав всё перечисленное идеально, вы останетесь единственным пользователем своей цепочки. Толпы-миксера не будет.
Свой VPN на хостинге - это ip адрес, привязанный к вашему цифровому следу. Одна машина, знающая обе стороны вашего трафика. Журналы на чужом диске. И ручная починка после каждой блокировки.
Наш сервис - это разделённые вход и выход в разных странах, ваш трафик вперемешку с трафиком множества других людей, служебные записи только в оперативной памяти, шифрование данных на уровне приложения, постоянная работа против систем фильтрации и подготовленная процедура замены узлов, при которой пользователю не нужно делать ничего. Разница не в том, кто лучше настроил VPN. Разница в том, что построено вокруг него - и кто этим занимается, пока вы живёте своей жизнью.
