Sigurnost P2P čvorova: Najbolje prakse za dVPN mreže

Osnove rezidencijalnih P2P čvorova i povezani rizici

Jeste li se ikada zapitali zašto vaša kućna IP adresa odjednom vrijedi više nego što je to potrebno samo za gledanje Netflixa? To je zato što sjedite na rudniku zlata neiskorištene propusnosti koju DePIN projekti očajnički žele iskoristiti. DePIN je kratica za decentralizirane mreže fizičke infrastrukture (Decentralized Physical Infrastructure Networks), a u osnovi uključuje korištenje blockchaina kako bi se ljude motiviralo na dijeljenje hardverskih resursa poput pohrane podataka ili internetske veze.

Zapravo, svoje računalo ili Raspberry Pi pretvarate u mini poslužitelj. Pokretanjem dVPN čvora omogućujete drugima da usmjeravaju svoj promet kroz vašu kućnu vezu. To internet čini otvorenijim jer rezidencijalne IP adrese velikim vatrozidima ne izgledaju kao podatkovni centri – što je ogroman plus za privatnost.

Rudarenje propusnosti (bandwidth mining) je onaj dio "zarade" u ovoj priči. Dijelite svoju višak upload brzine, a mreža vas nagrađuje tokenima. To je sjajan način da pokrijete mjesečni račun za internet, ali nije bez ozbiljnih zamki ako niste oprezni s konfiguracijom.

Hakeri obožavaju rezidencijalne čvorove jer su često slabo branjeni. Ako probiju vaš čvor, ne dobivaju samo vašu propusnost; mogli bi dobiti pristup cijeloj vašoj kućnoj mreži – vašim privatnim fotografijama, pametnim kamerama i svemu ostalom.

Najveća glavobolja su otvoreni portovi. Većina P2P softvera zahtijeva da "probijete rupu" u svom vatrozidu koristeći UPnP ili ručno prosljeđivanje portova (port forwarding). Ako taj softver ima sigurnosni propust, bilo tko na mreži može ga pokušati iskoristiti.

Prema izvješću Shadowserver Foundationa iz 2023. godine, milijuni uređaja svakodnevno su izloženi zbog loše konfiguriranog UPnP-a, što predstavlja ogroman rizik za svakoga tko ulazi u DePIN svijet.

Također se morate brinuti o curenju IP adrese (IP leaks). Ako softver vašeg čvora nije dodatno osiguran, mogli biste slučajno otkriti svoj stvarni identitet dok pokušavate pružiti privatnost drugima. Kako biste to spriječili, trebali biste koristiti "kill-switch" u svojoj konfiguraciji ili sekundarni VPN za upravljački promet. To osigurava da, u slučaju kvara na kontrolnoj ravnini čvora, vaša kućna IP adresa ne procuri prema javnim tragačima metapodataka.

U svakom slučaju, nakon što ste savladali osnove, moramo razgovarati o tome kako zapravo "zaključati" cijeli sustav kako ne biste postali meta napada.

Izolacija mreže i postavljanje hardvera

Kada dopuštate nepoznatim osobama da usmjeravaju svoj promet kroz vaš hardver, to je zapravo kao da ste pozvali cijeli svijet u svoj dnevni boravak – stoga se pobrinite da ne mogu ući u kuhinju.

Zlatni standard za sigurnost u DePIN (decentralizirana fizička infrastruktura) sektoru je izolacija mreže. Ne želite da propust u dVPN klijentu omogući nekome pristup vašem mrežnom disku (NAS) ili poslovnom prijenosnom računalu. Prije svega, nemojte pokretati ove aplikacije na svom primarnom računalu. Ozbiljno. Ako aplikacija za pokretanje čvora ima sigurnosni propust, ugrožen je vaš cijeli operativni sustav. Nabavite jeftino namjensko mini-računalo ili Raspberry Pi. To je ujedno i puno energetski učinkovitije za rudarenje propusnosti koje traje 24/7.

• VLAN-ovi (Virtualne lokalne mreže): Ovo je profesionalni pristup. Označavate promet na razini mrežnog preklopnika (switcha) tako da se čvor nalazi na vlastitoj podmreži. To je kao da imate dva odvojena usmjerivača (routera), iako plaćate samo jednu internetsku liniju.
• Pravila vatrozida (Firewall): Morate odbaciti sav promet koji se pokreće iz VLAN-a čvora prema vašoj "glavnoj" mreži. U sustavima kao što su pfSense ili OPNsense, ovo je jednostavno pravilo na sučelju čvora: Blokiraj izvor: Node_Net, Odredište: Home_Net.
• Prečac putem "Gostujuće mreže" (Guest Network): Ako koristite komercijalni usmjerivač koji ne podržava 802.1Q VLAN označavanje, jednostavno koristite ugrađenu gostujuću mrežu. Ona obično prema zadanim postavkama omogućuje "AP izolaciju". Napomena: Neke gostujuće mreže potpuno blokiraju prosljeđivanje portova (port forwarding), što može onemogućiti rad čvorovima koji ne podržavaju NAT hole-punching, stoga prvo provjerite postavke svog usmjerivača.

P2P mreže stvaraju tisuće istovremenih veza. Izvješće tvrtke Cisco iz 2024. ističe da su moderni usmjerivači visokih performansi ključni za upravljanje zasićenjem tablica stanja (state table bloat) koje dolazi s teškim mrežnim prometom, a bez rušenja sustava. Viđao sam ljude koji pokušavaju pokrenuti pet čvorova na jednom starom usmjerivaču dobivenom od operatera, što rezultira potpunim zagušenjem zbog iscrpljivanja NAT tablice.

Sada kada smo fizički razdvojili mrežu, moramo razgovarati o tome kako zapravo zaključati softver koji se izvodi na tom izoliranom uređaju.

Sigurnost softvera i očvršćivanje operativnog sustava

Dakle, izolirali ste svoju mrežu, ali ako je softver na tom čvoru zastario, zapravo ostavljate stražnja vrata otključana. Viđao sam ljude kako pokreću DePIN čvorove i onda zaborave na njih po šest mjeseci – to je savršen recept za regrutaciju u botnet mrežu.

Pokretanje dVPN čvora znači da ste dio živog organizma, a sigurnosni propusti otkrivaju se svakodnevno. Ako koristite Ubuntu ili Debian, obavezno trebate podesiti unattended-upgrades kako bi vaš kernel i sigurnosne biblioteke ostali zakrpani, bez potrebe da stalno dežurate uz terminal.

• Automatizirajte ažuriranja: Za klijent vašeg čvora, ako isti nema ugrađenu funkciju automatskog ažuriranja, jednostavan cron job ili systemd timer može automatski preuzeti najnoviju binarnu datoteku.
• Vjeruj, ali provjeri: Nemojte slijepo preuzimati skripte. Uvijek provjerite SHA256 kontrolne zbrojeve (checksums) svojih izdanja (npr. sha256sum -c checksum.txt). Ako programer potpisuje svoje commite GPG-om, još bolje.
• Budite u tijeku: Osobno često pratim squirrelvpn — to je izvrstan izvor za praćenje novih VPN protokola i trendova u privatnosti.

Nikada, ali baš nikada, ne pokrećite svoj čvor kao root korisnik. Ako netko iskoristi propust u P2P protokolu dok radite kao root, preuzet će potpunu kontrolu nad cijelim sustavom. Preferiram korištenje Dockera jer pruža kvalitetan sloj apstrakcije i izolacije.

docker run -d \
  --name dvpn-node \
  --user 1000:1000 \
  --cap-drop=ALL \
  --cap-add=NET_ADMIN \
  -v /home/user/node_data:/data \
  depin/provider-image:latest

Izvješće tvrtke Snyk iz 2024. godine otkrilo je da preko 80% popularnih kontejnerskih slika (container images) sadrži barem jednu ranjivost koja se može zakrpati, stoga je redovito osvježavanje vaših slika apsolutni prioritet.

Iskreno, samo pripazite na svoje zapise (logs). Ako primijetite nagli porast čudnih odlaznih veza prema nasumičnim IP adresama u zemljama koje ne prepoznajete, nešto vjerojatno nije u redu. U nastavku ćemo proučiti kako dobiti bolji uvid u zdravlje i performanse vašeg čvora.

Napredno upravljanje vatrozidom i portovima

Otvoreni portovi su zapravo znak "otvoreno za poslovanje" na vašem čvoru, ali ako ostavite svaka vrata otključana, sami tražite nevolju. Većina korisnika jednostavno klikne na "omogući UPnP" i smatra posao završenim, no iskreno, to je ogromna sigurnosna rupa koju ćete kasnije požaliti.

Prva stvar koju zaista trebate učiniti jest onemogućiti UPnP na svom usmjerivaču (routeru). On omogućuje aplikacijama da buše rupe u vašem vatrozidu bez vašeg znanja, što je potpuna noćna mora za mrežnu higijenu. Umjesto toga, ručno preusmjerite samo onaj specifični port koji vaš P2P klijent treba — obično je to samo jedan port za WireGuard ili OpenVPN tunel.

• Ograničite opseg: Većina usmjerivača omogućuje vam određivanje "izvorne IP adrese" (Source IP) za pravilo. Ako vaš DePIN projekt koristi fiksni skup poslužitelja direktorija, zaključajte port tako da samo te IP adrese mogu komunicirati s vašim čvorom.
• Ograničavanje brzine (Rate Limiting): Koristite iptables na svom operativnom sustavu kako biste ograničili broj novih veza koje mogu pogoditi taj port. Upozorenje: Ako koristite Docker, ova pravila moraju biti postavljena u DOCKER-USER lanac, inače će Dockerova zadana NAT pravila zaobići vaše standardne filtre u INPUT lancu.
• Bilježite sve (Logging): Postavite pravilo za bilježenje odbačenih paketa. Ako vidite 500 pogodaka s nasumične IP adrese u deset sekundi, znate da vas netko skenira.

# Primjer za vatrozid na operativnom sustavu domaćina
iptables -I DOCKER-USER -p udp --dport 51820 -m state --state NEW -m recent --set
iptables -I DOCKER-USER -p udp --dport 51820 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 -j DROP

Prema vodiču tvrtke Cloudflare iz 2024. godine, implementacija ograničavanja brzine najučinkovitiji je način za ublažavanje volumetrijskih napada prije nego što oni zaguše vašu propusnost.

Ipak, nemojte samo postaviti pravila i zaboraviti na njih. Povremeno morate provjeriti zapise (logove) kako biste bili sigurni da vaša pravila nisu previše agresivna. U nastavku ćemo proučiti kako stvarno pratiti svoj promet u stvarnom vremenu, tako da ne radite "na slijepo".

Nadzor i održavanje za dugoročnu sigurnost

Gledajte, ne možete jednostavno postaviti čvor i zaboraviti na njega kao da je toster. Ako ne pratite promet, to je kao da upravljate zrakoplovom bez ijednog instrumenta na ploči.

Uvijek savjetujem korištenje alata kao što su Netdata ili Prometheus za nadzor u stvarnom vremenu. Morate vidjeti kada vam procesor (CPU) naglo skoči ili ako potrošnja propusnosti iznenada dosegne maksimum – to obično znači da netko zlorabi vaš čvor ili ste pod DDoS napadom.

• Provjera dostupnosti (Uptime): Koristite jednostavnu "heartbeat" uslugu koja će vam poslati obavijest na Telegram ili Discord ako čvor padne s mreže.
• Analiza prometa: Redovito provjeravajte odlazne destinacije. Ako čvor unutar nekog rezidencijalnog DePIN projekta počne slati masovni promet prema API-ju neke banke, odmah ga ugasite.
• Revizija zapisa (Logs): Jednom tjedno prođite kroz /var/log/syslog koristeći grep za "denied" pakete. To će vam pokazati obavlja li vaš vatrozid (firewall) doista svoj posao.

Kao što objašnjava DigitalOceanov vodič za 2024. godinu, postavljanje automatiziranih upozorenja za iscrpljivanje resursa jedini je način da spriječite kvar hardvera u P2P okruženjima s visokim prometom.

Iskreno, budite aktivni na Discordu samog projekta. Ako se pojavi "zero-day" ranjivost, tamo ćete to prvi saznati. Čuvajte se i održavajte svoje čvorove maksimalno osiguranima.