Guide till decentraliserade protokoll och P2P-onion-routing

Skiftet från centraliserad till decentraliserad tunneldrivning

Har du någonsin känt det där obehaget när du inser att din "privata" VPN-leverantör i själva verket bara är en glorifierad mellanhand som sitter på ett berg av dina loggar i klartext? Det är nästan ett skämt att vi har bytt ut internetleverantörens snokande mot en enskild företagskontrollerad flaskhals, men det är precis därför skiftet mot decentraliserad tunneldrivning äntligen börjar slå igenom på bred front.

Den traditionella VPN-arkitekturen är en kvarleva från det tidiga 2000-talets klient-server-tänk. Du ansluter till en "säker" gateway, men den gatewayen fungerar som en enorm neonskylt för hackare och statliga aktörer. Om den servern går ner eller beslagtas, försvinner hela ditt integritetsskydd på ett ögonblick.

• Centraliserade "Honey Pots": När miljontals användare dirigeras genom ett fåtal datacenter som ägs av ett enda företag, skapas en "single point of failure" som är alldeles för lockande för motståndare att ignorera.
• Förtroendeparadoxen: Du förlitar dig i princip på ett hedersord om att en VD i ett skatteparadis inte sparar loggar, men utan en open-source-granskning av deras backend svävar du i total ovisshet.
• Skalbarhetsflaskhalsar: Har du märkt hur hastigheten dyker en fredagkväll? Det beror på att centraliserade noder inte kan hantera de belastningstoppar som modern 4K-streaming och tunga utvecklingsprojekt kräver.

Vi rör oss nu mot en "Map & Encap"-logik där nätverket inte är beroende av en central hjärna. Istället för en enskild leverantör använder vi dVPN-noder (Decentralized VPN) där vem som helst kan dela med sig av bandbredd. Denna arkitektur – specifikt något i stil med APT (A Practical Tunneling Architecture) – gör att internet kan skalas genom att separera "edge"-adresser från själva transportkärnan ("transit core").

Inom APT-ramverket använder vi Ingress Tunnel Routers (ITR) och Egress Tunnel Routers (ETR). Se ITR som "ingångsporten" som tar din normala data och kapslar in den i ett speciellt tunnelhuvud (encapsulation). ETR är "utgångsporten" som packar upp datan vid destinationen. Default Mappers (DMs) fungerar som en katalogtjänst som talar om för ITR exakt vilken ETR paketet ska skickas till, så att kärnroutrarna slipper memorera varenda enskild enhet på planeten.

Tänk dig en butikskedja som vill säkra betalningsdata över 500 platser utan en massiv MPLS-faktura. Istället för en central hubb använder de en nodbaserad VPN-tjänst där varje butik fungerar som ett litet hopp i ett mesh-nätverk. Om en butiks internetuppkoppling svajar, omdirigerar P2P-nätverket tunneln automatiskt via en grann-nod.

För utvecklare innebär detta att arbeta med verktyg som WireGuard-gränssnitt som inte är bundna till en statisk IP. En konfiguration på en härdad Linux-nod kan se ut ungefär så här:

[Interface]
PrivateKey = <YOUR_NODE_KEY>
Address = 10.0.0.5/32
ListenPort = 51820

[Peer]
PublicKey = <REMOTE_DVPN_NODE_KEY>
AllowedIPs = 0.0.0.0/0
Endpoint = 192.168.1.100:51820

PersistentKeepalive = 25

Detta upplägg är betydligt mer motståndskraftigt eftersom "mappningen" av vart ett paket ska skickas är distribuerad över hela meshet, inte gömd i en databas på ett företags huvudkontor. Ärligt talat är det på tiden att vi slutar be om lov för att få vara privata.

Härnäst: Djupdykning i P2P-arkitektur för onion-routing, där vi tittar närmare på hur dessa paket faktiskt överlever hoppen i nätverket.

Djupdykning i arkitekturen för P2P-onion-routing

Har du någonsin undrat hur ett datapaket faktiskt överlever att hoppa genom tre olika VPN-tunnlar och två protokollkonverteringar utan att tappa bort sig eller förlora sin metadata? Det är i princip digital "Inception", och om vi inte får till arkitekturen rätt kollapsar hela systemet i ett kaos av tappade paket och massiv latens.

I en uppsättning för P2P-onion-routing handlar det inte bara om att skicka vidare en "het potatis". Varje nod bestämmer hur data ska "paketeras". När vi pratar om "onion-lager" (lökskikt) här, hanterar vi främst två typer av tekniker:

• Inkapsling (Encapsulation): Att ta ett helt IPv4-paket och stoppa in det i ett IPv6-huvud (eller vice versa). Det ursprungliga huvudet blir då "data" för det yttre lagret.
• Konvertering (Conversion): Att faktiskt skriva om pakethuvudet, likt det som sker i NAT-PT. Detta är mer "destruktivt" men ibland nödvändigt för äldre hårdvara (legacy).

I ett Web3-VPN kan din ingångsnod (entry node) kapsla in din trafik i WireGuard, medan en relänod lägger till ytterligare ett lager kryptering innan trafiken når utgångsnoden (exit node). Detta gör det betydligt svårare att blockera än traditionell Tor-trafik, eftersom "mappningen" inte finns på en offentlig lista över reläer; den upptäcks istället dynamiskt via mesh-nätverket.

Traditionell routing använder "distance-vector" (hur många hopp är det till målet?). Men i ett P2P-onion-nätverk räcker inte det. Du måste känna till paketets tillstånd (state). Om jag har ett IPv4-paket kan jag inte bara skicka det till ett relä som endast stöder IPv6.

Som diskuterats i studien av Lamali et al. (2019) använder vi istället en stack-vector. Den ersätter det enkla begreppet "avstånd" med en "protokollstack". Den talar om för noden: "För att få detta paket till sin destination behöver du denna specifika sekvens av inkapslingar." Studien bevisade att även om en kortaste väg är exponentiellt lång, så är den maximala höjden på protokollstacken som krävs faktiskt polynomiell – specifikt högst λn², där n är antalet noder.

Detta är ett enormt genombrott för utvecklare. Det innebär att vi inte behöver en konfigurationsfil med 5 000 rader för att hantera nästlade tunnlar. Noderna "lär sig" stacken. Till exempel kan en vårdgivare som försöker koppla ihop en avlägsen kliniks gamla IPv4-utrustning med ett modernt IPv6-datacenter låta P2P-noderna förhandla fram tunnelns slutpunkter automatiskt.

Om du håller på att härda (harden) en nod, tittar du troligtvis på hur dessa stackar ser ut i dina gränssnitt. Här är en grov skiss på hur en nod kan hantera en "cache-träff" för en specifik stack:

# Utmatningen från detta kommando visar den exakta inkapslingssekvensen 
# (t.ex. IPv4 inkapslat i WireGuard inkapslat i IPv6) så att du kan felsöka sökvägen.
dvpn-cli route-lookup --dest 10.0.0.5 --current-stack "ipv4.wireguard.ipv6"

ip link add dev dvpn0 type wireguard
wg setconf dvpn0 /etc/wireguard/stack_config.conf

Det fina här är att mesh-nätverket hanterar felen. Om en relänod går ner, hittar stack-vector-logiken den "kortaste genomförbara vägen" med hjälp av en annan uppsättning inkapslingar. Det är självläkande. Ärligt talat, när man väl har sett det i praktiken känns steget tillbaka till statiska VPN-tunnlar som att använda en gammal petmoj-telefon i en 5G-värld.

Härnäst: Säkerhetsutmaningar i decentraliserad internetåtkomst, för att lita på slumpmässiga noder är en helt annan utmaning.

Säkerhetsutmaningar vid decentraliserad internetåtkomst

Om du tror att ett byte till ett P2P-nätverk magiskt löser alla dina säkerhetsproblem har jag dåliga nyheter – i praktiken byter du ut en enskild företagsstyrd "god-box" mot ett digitalt vilda västern. Att gå från en centraliserad VPN till en dVPN är fantastiskt för integriteten, men det introducerar en helt ny uppsättning huvudbry.

Hur litar du på den första noden när du ansluter till nätverket? Eftersom det inte finns någon central lista använder de flesta dVPN-tjänster Seed Nodes eller DHT-bootstrapping (Distributed Hash Table). Din klient ansluter till ett fåtal hårdkodade, välkända "seed"-adresser enbart för att få en lista över andra aktiva peers, och därifrån utforskar den nätverksstrukturen (mesh) på egen hand.

När du väl är inne använder vi en Web of Trust-modell där noder verifierar sina grannar.

• Grann-till-grann-verifiering: Innan en nod tillåts sända ut mappningsinformation verifierar dess peers dess identitet via etablerade länkar.
• Signaturflödning (Signature Flooding): När en nyckel har signerats av tillräckligt många betrodda grannar sprids den genom hela nätverket.
• Detektering av illegitima noder: Om en nod börjar hävda att den kan dirigera trafik för ett IP-intervall den faktiskt inte äger, kommer den verkliga ägaren att upptäcka det motstridiga meddelandet och utlösa ett larm.

Den största fallgropen inom P2P-bandbreddsdelning är churn (bortfall). Till skillnad från en server i ett datacenter med 99,99 % drifttid, kan en hembaserad dVPN-nod försvinna bara för att någons katt råkat snubbla på strömkabeln. För att lösa detta använder vi ett system för datadrivna felmeddelanden. Istället för att hela nätverket försöker upprätthålla en "perfekt" karta, hanteras felet lokalt först när ett paket faktiskt misslyckas med att levereras.

Systemets Default Mapper (DM) sköter grovjobbet genom att välja en ny väg och instruera ITR (Ingress Tunnel Router) att uppdatera sin lokala cache. Detta bygger på den λn²-effektivitet som nämndes tidigare för att hålla omdirigeringen snabb.

Härnäst: Håll dig uppdaterad om integritetsrevolutionen, där vi tittar närmare på det tekniska underhållet av dessa noder.

Håll dig uppdaterad i integritetsrevolutionen

Det är ganska otroligt hur snabbt landskapet för digital integritet förändras, eller hur? Att hålla sig uppdaterad handlar inte bara om att skumma igenom en blogg; det handlar om att förstå hur dessa nya protokoll faktiskt hanterar dina datapaket.

Inom dVPN-sfären pratas det ofta om snabba vinster och "moon"-scenarier, men det verkliga värdet ligger i de tekniska specifikationerna. Hur hanterar till exempel ett nätverk skydd mot IPv6-läckor? I en traditionell VPN-tjänst händer det ofta att IPv6-trafik går helt förbi tunneln, vilket exponerar din riktiga IP-adress. I en dVPN-kontext använder vi ofta NAT64 eller 464XLAT. Detta tvingar IPv6-trafik att översättas till IPv4 (eller vice versa) på nodnivå, vilket säkerställer att den stannar inom den krypterade "stack-vector"-vägen istället för att smita ut via en lokal gateway.

• Följ koden: Lita inte blint på en webbplats; granska deras GitHub. Om ett projekt inte har uppdaterat sin WireGuard-implementering eller sin logik för nod-identifiering på sex månader, är det förmodligen ett "zombie-projekt".
• Granskningsrapporter: Seriösa integritetsverktyg investerar i säkerhetsrevisioner från oberoende tredje part.
• Community-forum: Det är i specialiserade Discord-kanaler för utvecklare som den verkliga kunskapsdelningen sker.

Om du menar allvar med detta experimenterar du förmodligen redan med anpassade konfigurationer. Här är ett snabbt sätt att kontrollera om din nuvarande tunnel faktiskt respekterar den decentraliserade rutten:

ip route show dev dvpn0
traceroute -n -i dvpn0 1.1.1.1

Jag har sett mängder av konfigurationer där användare tror att de är helt anonyma, medan ett enkelt felkonfigurerat API-anrop läcker deras riktiga IP. Det är en ständig katt-och-råtta-lek.

Härnäst: Marknadsplatser för bandbredd och DePIN-belöningar, för i slutändan är det någon som måste betala för elen.

Marknadsplatsen för bandbredd och DePIN-belöningar

Vi har nu gått igenom hur datapaketen rör sig, men låt oss vara realistiska – ingen kommer att drifta en höghastighetsnod för utgående trafik (exit node) enbart av ren godhet i all oändlighet. Det är här konceptet "Airbnb för bandbredd" kommer in i bilden, eller vad som inom branschen kallas för DePIN (Decentralized Physical Infrastructure Networks).

• Bandbreddsbrytning (Bandwidth Mining): Du tjänar kryptobelöningar bara genom att hålla en nod online och dirigera trafik.
• Tokeniserade resurser: Genom att använda nätverkets egen token möjliggörs mikrobetalningar för varje överförd megabyte.
• Incitamentsanpassning: Belöningarna viktas baserat på drifttid (uptime) och tjänstekvalitet (Quality of Service).

Det stora tekniska hindret är: hur vet man att en nod inte ljuger om mängden trafik den har hanterat? För att lösa detta använder vi protokoll för bevis på bandbredd (Proof of Bandwidth). Detta innebär att en "utmanarnod" skickar krypterad skräpdata till en "bevisarnod" och mäter svaret. Om siffrorna inte stämmer överens frigör det smarta kontraktet ingen betalning.

Om vi inte kodar belöningssystemet korrekt finns risken att noder prioriterar trafik som betalar bäst. För att förhindra detta använder många nätverk "staking". Du måste låsa upp tokens som säkerhet (collateral). Om du tillhandahåller undermålig tjänstekvalitet riskerar du att förlora din insats (stake).

Härnäst: Praktisk implementering och framtiden för Web3-baserad internetfrihet, där vi knyter ihop säcken.

Praktisk implementering och framtiden för Web3-baserad internetfrihet

Framtiden för Web3 och internetfrihet handlar inte om något storslaget "allt-händer-nu"-ögonblick. Det kommer snarare att vara en gradvis och stundtals rörig process där decentraliserade protokoll lever sida vid sida med våra nuvarande fiberanslutningar.

Vi behöver inte uppfinna hela internet på nytt. Det fina med detta arkitektoniska skifte är att det är utformat för "unilateral driftsättning". En enskild leverantör kan börja erbjuda dessa tjänster redan idag. Vi använder Default Mappers (DMs) för att överbrygga dessa "öar" av P2P-nätverk.

• Samexistens med äldre utrustning: Din hemrouter behöver inte ens veta att den kommunicerar med ett P2P-nätverk. En lokal gateway hanterar all "Map & Encap"-logik (mappning och inkapsling).
• Överbryggning av gapen: När ett paket behöver skickas till en "vanlig" webbplats hanterar utgångsnoden (ETR) dekapslingen.
• Användarvänlig abstraktion: För icke-tekniska användare ser detta ut som en enkel app, trots att den hanterar komplex stack-vector-routing i bakgrunden.

Ur ett utvecklarperspektiv är målet att göra dessa tunnlar helt automatiska. Här är en snabb titt på hur en nod kan kontrollera en mappning för en specifik "ö":

dvpn-cli map-query --dest 192.168.50.1

[DEBUG] Cache miss. Querying DM anycast...
[INFO] Received MapRec: Destination reachable via ETR 203.0.113.5

Det slutgiltiga målet är ett nätverk som i praktiken är omöjligt att stänga ner. När man kombinerar en blockchain-VPN med P2P-onion-routing skapar man ett system utan en central avstängningsknapp. Som vi nämnde tidigare innebär λn²-komplexiteten att vi kan uppnå djup integritet i flera lager utan att nätverket kollapsar.

Framtiden för delning av bandbredd handlar inte bara om att spara några kronor; det handlar om global konnektivitet som kringgår digitala murar. Det är lite opolerat just nu och terminalkommandona kan vara krångliga, men fundamentet finns där. Internet var alltid tänkt att vara decentraliserat – vi bygger nu äntligen den arkitektur som krävs för att det ska förbli så. Hur som helst, det är dags att sluta prata och börja sätta upp noder. Håll er säkra där ute.