Децентрализирано маршрутизиране за глобални VPN възли

Въведение в автономната маршрутизация в dVPN

Запитвали ли сте се защо вашата VPN услуга, която уж „не пази записи“ (no-logs), все още изглежда като „черна кутия“, контролирана от случайна компания в някоя офшорна зона? Честно казано, традиционният модел е компрометиран, защото ни принуждава да се доверяваме на един-единствен субект, надявайки се, че той няма да надникне в пакетите ни с данни.

При стандартната конфигурация вие се свързвате със сървър, собственост на доставчик. В света на децентрализираните VPN мрежи (dVPN) говорим за автономна маршрутизация, при която самата мрежа определя как да пренася данните без централен орган. Това е преходът от ръчно управление на сървъри към P2P откриване на възли (node discovery).

Вместо някой изпълнителен директор да решава къде да бъде разположен нов сървър, мрежата използва DePIN (децентрализирани мрежи от физическа инфраструктура), за да позволи на всеки да споделя излишната си честотна лента. Това става възможно благодарение на протоколи като IP-over-P2P (IPOP), които използват разпределена хеш-таблица (DHT), за да свързват IP адреси с P2P идентификатори.

Според GroupVPN.dvi — научна разработка от 2010 г. на Университета във Флорида — това позволява създаването на „самоконфигуриращи се виртуални мрежи“, които не се нуждаят от централен координатор, за да функционират.

• Автоматизирано откриване: Възлите се намират един друг чрез структурирана разпределена система (като Chord или Symphony ring), вместо чрез предварително зададен списък със сървъри.
• Динамично мащабиране: Мрежата расте по естествен път с присъединяването на нови потребители; тук няма „лимит на капацитета“, определен от корпоративен бюджет.
• Устойчивост: Ако един възел отпадне, алгоритъмът за маршрутизация просто го заобикаля. Край на съобщенията „Сървърът е офлайн“ във вашето VPN приложение.

Големият проблем е, че централизираните VPN услуги на практика са „съдове с мед“ (honeypots) за хакери и правителства. Ако властите изискат данни от даден доставчик чрез съдебна призовка, тази единствена точка на отказ компрометира всички потребители. Дори и да твърдят, че не пазят записи, вие реално не можете да проверите какво се изпълнява на техния хардуер.

Както отбелязаха членовете на общността Privacy Guides в дискусия от 2023 г., много централизирани доставчици просто наемат VPS пространство от големи корпорации. Това означава, че хостинг компанията все още може да вижда трафика (netflow data), дори ако самият VPN доставчик не го логва.

dVPN мрежите решават този проблем, като правят инфраструктурата прозрачна. В региони с рестрикции — например за журналист в държава със строга цензура — dVPN възел, работещ с жилищен (residential) IP адрес, е много по-труден за блокиране, отколкото познат IP адрес на център за данни.

Целта не е просто анонимност, а изграждане на мрежа, която никой не притежава, за да не може никой да бъде принуден да „дръпне шалтера“.

В следващата част ще се потопим в техническата архитектура и икономическите стимули, които карат тези възли да комуникират помежду си, без данните ви да изчезват в бездната.

Техническата архитектура на P2P споделянето на честотна лента

Ако си мислите, че една P2P мрежа е просто куп компютри, които „викат“ в пространството, ще ви бъде доста трудно да маршрутизирате чувствителен VPN трафик. Без централен орган (сървър), който да казва на всеки накъде да върви, се нуждаем от механизъм, чрез който възлите (nodes) да се откриват и да останат организирани, без да изпадат в пълен хаос.

В света на dVPN (децентрализираните VPN мрежи) обикновено говорим за два типа логически структури (overlays): структурирани и неструктурирани. Неструктурираните мрежи са като претъпкана стая, в която просто извиквате име и се надявате някой да ви чуе – това работи при малки групи, но е напълно нескалируемо за глобална VPN услуга.

Структурираните мрежи, като тези, използвани в рамката Brunet, използват едноизмерен пръстен (представете си го като кръг от адреси). Всеки възел получава уникален P2P адрес и е необходимо да познава само преките си съседи, за да поддържа работата на цялата система. Тук на помощ идват дистрибутираните хеш таблици (DHT).

Вместо да питате централен API „къде е възелът за Япония?“, вие изпращате заявка към DHT. Това е децентрализирана карта, в която участниците съхраняват двойки (ключ, стойност). В една dVPN мрежа ключът обикновено е хеш на желания IP адрес, а стойността е P2P адресът на възела, който в момента го поддържа.

Повечето домашни потребители са зад NAT (Network Address Translation), който действа като еднопосочна врата – можете да излезете, но никой отвън не може да почука на вратата ви. Ако искаме истинска икономика на споделената честотна лента (sharing economy), трябва обикновените домашни потребители да могат да бъдат възли.

Решаваме този проблем чрез UDP hole punching. Тъй като публичната мрежа вече познава и двамата участници, тя действа като „място за срещи“ (rendezvous point). Двата възела се опитват да се свържат един с друг в един и същи момент; NAT устройството разпознава това като изходяща заявка и пропуска трафика.

За да се гарантира сигурността по време на това първоначално свързване (handshake), възлите използват криптиран протокол (често базиран на Noise Protocol), за да установят сесиен ключ, преди да потекат каквито и да е реални данни. Това гарантира, че дори точката на среща не може да види съдържанието на тунела.

• Структурирани мрежи: Използват пръстеновидна топология (като Symphony), за да гарантират откриването на всеки възел в рамките на O(log N) стъпки.
• Relay Fallback: Ако hole punching методът се провали (особено при симетрични NAT мрежи), данните се препредават през други участници, макар това да добавя известно закъснение (lag).
• Pathing: Техника, при която мултиплексираме един UDP сокет както за публично откриване, така и за частни VPN тунели, което прави конфигурацията много по-лека и ефективна.

Някои хора критикуват блокчейн технологията, наричайки я „неефективна база данни“, и честно казано, имат право – тя е бавна. Но както споменахме по-рано в дискусиите за поверителност, тази неефективност всъщност е предимство, когато не можете да се доверите на хората, управляващи възлите.

Използваме смарт договори, за да управляваме репутацията и времето за работа (uptime) на възлите. Ако даден възел внезапно започне да губи пакети или да логва трафик, мрежата трябва да разбере. Вместо изпълнителен директор да уволнява лош служител, смарт договорът засича проваленото „доказателство за честотна лента“ (proof-of-bandwidth) и автоматично намалява наградите на възела или неговия репутационен рейтинг.

Най-трудната част е таксуването. В един P2P пазар за честотна лента трябва да плащате за това, което използвате, но не искаме историята на вашето сърфиране да остава завинаги в публичен регистър.

1. Доказателства с нулево знание (Zero-Knowledge Proofs): Доказвате, че сте платили за 5GB данни, без да разкривате кой конкретен възел сте използвали.
2. Микроплащания извън веригата (Off-chain Micropayments): Използване на канали за състояние (state channels, подобни на Lightning Network), за да се изпращат частици от токена за всеки мегабайт. Така блокчейнът вижда само началото и края на сесията.
3. Консенсусно анулиране: Ако потребител или възел действа злонамерено, мрежата използва децентрализиран консенсус, за да разпространи съобщение за анулиране на достъпа. Тъй като няма централен сертифициращ орган (CA), самите възли се съгласяват да игнорират лошия участник въз основа на криптографско доказателство за некоректно поведение.

Следващата стъпка е разглеждането на конкретните криптографски протоколи – по-специално как използваме решения като WireGuard и Noise Protocol, за да защитим данните ви от собственика на изходния възел (exit node).

Токенизирана пропускателна способност и икономиката на „майнинга“

Замисляли ли сте се защо плащате по двадесет долара на месец за VPN, докато домашният ви рутер буквално стои неизползван, докато сте на работа? Честно казано, концепцията за „Airbnb за интернет трафик“ е единственият начин реално да мащабираме поверителността, без просто да изграждаме още корпоративни центрове за данни, които правителствата блокират с лекота.

Основната идея тук е майнинг на пропускателна способност (bandwidth mining). Тук не „копаете“ математически задачи като при Биткойн; вие предоставяте реална услуга. Чрез поддържането на dVPN възел (node), вие на практика отдавате под наем неизползвания си капацитет за качване (upload) на някой друг, който се нуждае от изходна точка (exit point) във вашия регион.

Мрежите с токенизирани стимули са „двигателят“ на цялата операция. Хората не поддържат възли само от добро сърце – е, може би някои го правят – но повечето искат някаква възвращаемост.

• Пасивен доход: Потребителите печелят крипто награди (токени) въз основа на обема на трафика, който пренасочват, или времето, през което са онлайн.
• Търсене и предлагане: В един децентрализиран пазар, ако внезапно възникне нужда от възли в Турция или Бразилия например, наградите в токени могат да скочат, стимулирайки повече хора да пуснат свои възли там.
• Без посредници: Вместо доставчикът да прибира 70% от таксата за „маркетинг“, стойността тече директно от потребителя, плащащ за VPN, към оператора на възела, който осигурява свързаността.

Това е класически пример за DePIN (децентрализирана физическа инфраструктура). Вземате съществуваща физическа инфраструктура – вашата домашна оптика или малък VPS – и я включвате в глобална мрежа. Това създава разпределен пул от резидентни IP адреси, които са почти невъзможни за разграничаване от обикновения трафик, превръщайки филтрирането от страна на цензуриращи защитни стени в истински кошмар.

Но тук идва техническото предизвикателство: как да сте сигурни, че човекът в Германия реално е пренасочил вашите 2GB трафик? В една P2P икономика винаги ще има опити за измама. Някои ще твърдят, че са изпратили данни, които не са, или ще изпускат пакети, за да пестят собствените си лимити, докато все още прибират награди.

Тук се намесват Proof-of-Relay и подобни консенсусни механизми. Нуждаем се от начин да верифицираме работата без централен сървър, който да наблюдава трафика (което би унищожило поверителността).

Както е отбелязано в документацията на GroupVPN, можем да използваме DHT (разпределена хеш таблица) за проследяване на тези взаимодействия, но ни е необходимо „доказателство“, което е криптографски проверимо. Обикновено това включва подписани разписки. Когато използвате възел, вашият клиент подписва малка „разписка за пакет“ на всеки няколко мегабайта и я изпраща на възела. След това възелът представя тези разписки пред смарт контракт, за да изиска своите токени.

Предотвратяването на Sybil атаки е „финалният бос“ тук. Sybil атака е ситуация, при която един човек създава 10 000 фалшиви възела, за да се опита да контролира мрежата или да обере всички награди.

1. Стейкинг (Staking): За да управлявате възел, често трябва да „заложите“ или заключите определено количество от местния токен на мрежата. Ако действате злонамерено, губите депозита си.
2. Рейтинг на репутацията: Възли, които са активни от месеци с 99% наличност (uptime), получават приоритет при трафика пред случаен нов възел, който току-що се е появил.
3. Proof-of-Bandwidth: Мрежата периодично изпраща „предизвикателни“ пакети – по същество децентрализиран тест за скорост – за да се увери, че наистина разполагате със 100Mbps капацитет, за който твърдите.

Виждал съм хора в общността да изграждат „майнинг ригове“, които представляват просто група Raspberry Pi 4 устройства, включени в различни резидентни връзки. В търговската сфера, собственик на малък магазин може да пусне възел на своя VLAN за гости, за да покрие месечната си сметка за интернет.

Във финансите виждаме как DEX (децентрализираните борси) разглеждат тези мрежи, за да гарантират, че техните интерфейси не могат да бъдат свалени от един-единствен интернет доставчик, блокиращ техния API. Ако пропускателната способност е токенизирана, мрежата става самовъзстановяваща се.

Дискусия от 2023 г. в общността на Privacy Guides подчерта, че макар тези стимули да са страхотни, трябва да бъдем внимателни. Ако наградите за „майнинг“ са твърде високи, рискуваме центрове за данни да започнат да се маскират като домашни потребители, което обезсмисля идеята за разпределена, резидентна мрежа.

Както и да е, ако решите да конфигурирате това, уверете се, че защитната стена на вашия Linux е надеждна. Не искате да бъдете изходен възел без базово подсигуряване на сигурността.

Следващата стъпка е да разгледаме реалните протоколи за криптиране – по-конкретно как използваме технологии като WireGuard и протокола Noise, за да попречим на оператора на възела да вижда какво правите.

Протоколи за защита на поверителността и сигурност

И така, изградили сте децентрализирана мрежа и хората споделят честотната си лента, но как да спрем оператора на изходния възел (exit node) да не „подслушва“ паролата ви за онлайн банкиране? Честно казано, ако не криптирате самия тунел, вие просто създавате по-бърз начин за хакерите да откраднат самоличността ви.

За да разберем как се развиват инструментите за поверителност в Web3, можем да разгледаме проекти като SquirrelVPN като пример за това как тези протоколи се прилагат в реалния свят. В една децентрализирана VPN мрежа (dVPN) работим с два слоя на защита: „точка до точка“ (PtP) и „край до край“ (EtE).

За PtP слоя използваме Noise Protocol Framework. Това е същата математика, която стои зад WireGuard. Тя позволява на два възела да извършат взаимно „ръкостискане“ (handshake) и да установят криптиран канал, без да е необходим централен орган, който да потвърждава самоличността им. Вместо това те използват статични публични ключове, които вече са индексирани в децентрализираната хеш таблица (DHT).

За тези P2P тунели обикновено разчитаме на DTLS (Datagram Transport Layer Security) или на UDP-базирания транспорт на WireGuard. За разлика от стандартния TLS, който изисква постоянен TCP поток, тези работят чрез UDP. Това е от критично значение за производителността на VPN мрежата, защото ако даден пакет се изгуби, цялата връзка не „замръзва“ в изчакване на нов опит – тя просто продължава напред. Това е търсеният ефект при приложения с ниска латентност, като игри или гласова комуникация (VoIP).

Истинският „последен бос“ е изходният възел. Тъй като в даден момент някой трябва да прехвърли вашия трафик към отворения интернет, този последен възел вижда крайната дестинация. За да смекчим този риск, използваме маршрутизиране през няколко междинни звена (multi-hop routing), при което изходният възел дори не знае кой сте вие, а вижда само адреса на релейния възел, изпратил данните.

Какво се случва, когато оператор на възел се окаже злонамерен? В един стандартен VPN администраторът просто изтрива акаунта му, но в P2P мрежата няма „администратор“ с голям червен бутон. Нуждаем се от начин да изхвърляме злонамерени възли без централна власт, иначе всички сме изложени на риск.

Тук влизат в действие алгоритмите за широкопредаване на анулиране (broadcast revocation algorithms). Като специфична функция на GroupVPN архитектурата, когато даден възел бъде хванат в нарушение – например не преминава проверките за доказателство за честотна лента (proof-of-bandwidth) или се опитва да инжектира скриптове – съобщение за анулиране се подписва от консенсусния слой на мрежата и се разпространява светкавично в цикличното адресно пространство. Тъй като мрежата е структурирана като пръстен, съобщението се движи рекурсивно, достигайки до всеки участник за време O(log^2 N).

Това е възможно благодарение на инфраструктурата на публичния ключ (PKI). Всеки възел притежава сертификат, свързан с неговия P2P адрес. Вместо да се разчита на централен сървър, който може да излезе от строя, възлите могат да съхраняват тези „смъртни актове“ за анулиране директно в DHT. Ако даден възел се опита да се свърже с вас, вие проверявате в DHT; ако е в списъка, прекъсвате връзката още преди той да успее да „поздрави“.

1. Обвързване на идентичността: Сертификатите са подписани спрямо P2P адреса на възела, така че той не може просто да смени името си, за да се върне в мрежата.
2. Рекурсивно партициониране: Излъчването разделя мрежата на секции, като гарантира, че всеки възел получава известието, без да бъде заливан от дублиращи се съобщения.
3. Локални списъци за анулиране (CRL): Възлите поддържат малък локален кеш с последните анулирания, за да не се налага да правят заявка към DHT за всеки отделен пакет.

Системата не е съвършена – Sybil атаките все още са предизвикателство – но чрез комбиниране на стейкинг (staking) с тези протоколи за анулиране, правим завръщането на злонамерените участници икономически неизгодно.

След това ще разгледаме как всъщност свързваме тези децентрализирани тунели с традиционния интернет, без да нарушаваме обещанието за „нулево записване на логове“ (no-logs).

Бъдещето на интернет свободата в Web3

Ако все още плащате месечен абонамент на VPN компания, която може да изчезне или да бъде изкупена утре, вие на практика наемате къща върху свлачище. Честно казано, крайната цел не са просто по-добри VPN приложения – тя е замяната на самата концепция за централизиран интернет доставчик (ISP) с нещо, което реално контролираме.

Движим се към свят, в който децентрализираните VPN мрежи (dVPN) не са просто приложение, което включвате, когато искате да гледате Netflix от друга държава. Целта е моделът на децентрализирания интернет доставчик (dISP), при който вашата свързаност е нативно многоскокова (multi-hop) и peer-to-peer (P2P) още от момента, в който рутерът ви се синхронизира.

• Замяна на традиционните интернет доставчици: Вместо една голяма телекомуникационна компания да притежава „последната миля“ на вашия интернет, dISP използва меш мрежи (mesh networking) и P2P споделяне на честотна лента за маршрутизиране на трафика. Ако съседът ви има оптична линия, а вие имате 5G възел (node), мрежата автономно решава кой е най-добрият път въз основа на закъснението (latency) и цената в токени.
• Интеграция в Web3 браузъри: Представете си браузър, в който VPN услугата не е разширение, а част от основния мрежов стек. Използвайки протоколи като libp2p, браузърите биха могли да извличат данни директно от dVPN слоя, което прави държавните защитни стени почти безполезни, тъй като няма централна „изходна точка“ за блокиране.
• Сигурност за IoT и Edge устройства: Устройствата за умния дом са известни със своята несигурност. Чрез предоставяне на всяко IoT устройство на P2P адрес в структуриран слой (като споменатия по-рано „symphony ring“), можете да създадете частна, криптирана „домашна мрежа“, която обхваща целия свят, без да отваряте нито един порт на рутера си.

Помислете за здравна клиника в селски район. Вместо да разчитат на нестабилен местен доставчик, който не криптира нищо, те биха могли да използват dVPN възел, за да създадат директен, WireGuard-защитен тунел до болница на 800 километра разстояние. Както изследователите от Университета на Флорида посочиха в документа за GroupVPN, този „самоконфигуриращ се“ характер прави поддръжката на сигурни връзки много по-лесна за хора без технически познания.

Но нека бъдем честни – не всичко е само розови прогнози и добив на токени. Ако някога сте се опитвали да прекарате трафика си през три различни домашни възела на три различни континента, знаете, че закъснението (latency) е тихият убиец на децентрализираната мечта.

• Компромисът между скорост и децентрализация: При централизираните VPN услуги се използват 10Gbps канали в центрове за данни от първо ниво (Tier-1). В една dVPN мрежа често зависите от скоростта на качване (upload) на нечий домашен интернет. Нуждаем се от по-добро многопътно маршрутизиране (multipath routing) – при което вашият клиент разделя един файл на части и ги тегли през пет различни възела едновременно – за да се доближим изобщо до търговските скорости.
• Регулаторни и правни пречки: Ако сте оператор на възел и някой използва вашия домашен IP адрес за незаконна дейност, кой носи отговорност? Докато криптирането защитава вашето съдържание, проблемът с „изходния възел“ (exit node) е реален. Нуждаем се от стабилни правни рамки за прокси услуги или по-напреднало „лучено маршрутизиране“ (onion routing), така че операторите на възли да не се оказват виновни за чужди действия.

Въпреки това, технологията напредва. Преминаваме от „доверяване на марка“ към „доверяване на математиката“. Този преход е труден, но честно казано, това е единственият начин да си върнем истинския отворен интернет.

След това ще обобщим всичко, като разгледаме как реално можете да започнете да допринасяте за тези мрежи още днес, без да рискувате стабилността на вашата Linux инсталация.

Заключение и финални насоки

И така, след като разгледахме подробно математиката на маршрутизирането и токеномиката, докъде ни довежда всичко това? Честно казано, изглежда най-сетне сме в етап, в който „поверителността“, обещавана ни с години, може действително да стане проверима, вместо да бъде просто „честна дума“ от страна на корпоративен доставчик на виртуални частни мрежи.

Преминахме от базови мрежови тунели от типа „точка до точка“ към напълно автономно маршрутизиране, при което мрежата е по същество жив, самовъзстановяващ се организъм. Вече не става въпрос само за скриване на вашия интернет адрес; става въпрос за изграждане на уеб пространство, което няма „бутон за изключване“, притежаван от един-единствен изпълнителен директор.

Ако обмисляте да се потопите в тази екосистема, ето основните аспекти, чрез които тези системи реално променят правилата на играта:

• Проверка вместо доверие: Както споменахме по-рано, не е необходимо да се доверяваме на политики за „непазене на логове“, когато инфраструктурата е с отворен код, а маршрутизирането се управлява от разпределена хеш-таблица (DHT). Можете да одитирате кода, а блокчейнът се грижи за репутацията без нужда от посредник.
• Устойчивост чрез децентрализирана физическа инфраструктура (DePIN): Използвайки домашни интернет адреси и потребителски възли, тези мрежи са много по-трудни за блокиране от цензори в сравнение с известните адреси на центрове за данни. Ако един възел попадне в черен списък, на негово място се появяват още три.
• Икономика на честотната лента: Токенизацията тук не е просто модерна дума. Тя е реалното гориво, което поддържа работата на възлите. Без стимулите от „копаенето“ на честотна лента, нямаше да имаме глобалното покритие, необходимо за постигане на скорост, подходяща за ежедневна употреба.
• Подсилена сигурност: Благодарение на протокола WireGuard и механизмите за отнемане на права, за които говорихме, рискът „злонамерен възел“ да подслушва данните ви намалява с всеки изминал ден. Математическият модел просто прави некоректното поведение твърде скъпо и неизгодно.

Ако сте разработчик или напреднал потребител, следващата стъпка е реално да пуснете собствен възел. Не бъдете просто потребител; станете част от инфраструктурата. Повечето от тези мрежи предлагат сравнително лесна конфигурация, ако се чувствате комфортно с работата в терминал.

Ето един хипотетичен пример за това как би изглеждала базовата настройка на възел в операционна система Линукс (забележка: това е общ шаблон; винаги проверявайте специфичната документация за протоколи като Sentinel или Mysterium, преди да изпълнявате команди):

# Хипотетичен пример за настройка на генеричен dVPN възел
sudo apt update && sudo apt install wireguard-tools -y

# Изтегляне на скрипта за настройка на доставчика
curl -sSL https://get.example-dvpn-protocol.io | bash

# Инициализиране на възела с вашия портфейл за награди
dvpn-node init --operator-address your_wallet_addr

# Стартиране на услугата
sudo systemctl enable dvpn-node && sudo systemctl start dvpn-node

Бъдещето на интернет свободата в Web3 няма да ни бъде поднесено на тепсия от големите технологични компании. То ще бъде изградено от хиляди хора като нас, поддържащи малки, криптирани възли в домовете и офисите си.

Както е отбелязано в изследването GroupVPN.dvi, което разгледахме по-рано, бариерата за навлизане в тези мрежи най-сетне пада. Разполагаме с инструментите, криптирането е солидно, а икономическите стимули са правилно насочени.

Така че – спрете да плащате за „поверителност“ и започнете да я изграждате. Процесът може да е малко сложен, а забавянето на връзката понякога да е досадно, но това е единственият начин да запазим интернет отворен. Благодарим ви, че се включихте в този задълбочен анализ. Време е да подсигурите своите Линукс инсталации и може би да опитате да хоствате възел още този уикенд. Може дори да спечелите няколко токена, докато спите.