Wat 'n openbare VPN-gasheernaam wel en nie kan bewys nie

Gasheername en landsvlae lyk soos feite oor 'n bediener, en nie een van die twee is dit nie. 'n Naam wys na adresse wat kan verander, en die woorde daarin is gekies deur wie dit ook al geregistreer het. Protokol, uitgangslokasie en logboekgedrag het elkeen sy eie bewyse nodig. Begin met waarna die naam werklik oplos, en besluit dan wat steeds onbekend is.

Die naam los op, en niks anders is beslis nie

'n Gasheernaam is 'n wyser in DNS, en die rekords daaronder kan verskil per oplosser, per tyd van die dag en per adresfamilie wat die kliënt verkies. Twee mense wat dieselfde gidsinskrywing lees, kan wettiglik by verskillende masjiene uitkom. Die naam sê wat jy moet vra, nie wat sal antwoord nie.

Opsoekresultate verander ook sonder kennisgewing, wat saak maak wanneer 'n profiel 'n adres in plaas van die naam vaspen. 'n Profiel wat die ou adres hardkodeer, bly faal nadat die operateur die diens verskuif het, en die fout lyk soos 'n geblokkeerde poort. Hou die opgeloste adresse langs die profiel sodat 'n latere vergelyking 'n basislyn het. Niks daarvan sê iets oor wie die ander kant bedryf nie.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Vervoer en identiteit is aparte vrae

'n Oop webblad by die gasheernaam toets een luisteraar op een poort. OpenVPN, IPsec en SSTP luister elders, op hul eie poorte en protokolle, so 'n bereikbare webbediener sê niks oor hulle nie.

Die gidsinskrywing en die profiel moet oor vervoer, poort en geloofsbriewe ooreenstem. Identiteit word geverifieer deur die sertifikaatketting of die peer-sleutelvingerafdruk waarmee die kliënt opgestel is, nie deur die spelling van die gasheer nie. 'n Naam met 'n bekende projekwoord daarin bewys net dat iemand dit geregistreer het. Lees die sertifikaat wat die diens aanbied en vergelyk uitreiker en onderwerp met wat die profiel verwag.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Landwoorde is nie 'n liggingsoudit nie

'n Etiket van jp of de in 'n gids is 'n registrasie, en IP-geolokasiedatabasisse stem dikwels genoeg nie ooreen dat nie een as grondwaarheid verdien nie. Gedeelde hosting, anycast en gewone wanopstelling skuif almal die waargenome ligging weg van die etiket.

Die praktiese toets is die toepassing se eie pad: watter adres dit bereik, en wat 'n uitgangsadres-toets van binne die sessie wys. 'n Waargenome uitgangsadres is 'n eienskap van die roete op daardie oomblik, nie 'n waarborg wat aan die naam hang nie. Vrywilligersgidse voeg 'n verdere laag by, want die persoon wat 'n inskrywing registreer het, hoef nie die persoon te wees wat die masjien bedryf nie. Skryf neer wat jy gemeet het en wanneer, eerder as wat die inskrywing belowe het.

Toets die aangebode diens, dan die operateur

Sodra vervoer en identiteit besleg is, is die oorblywende vraag die operateur se gedrag, en dit verg dokumentêre bewyse eerder as afleiding. 'n Privaatheidsbeleid, 'n gepubliseerde kontak en 'n deursigtigheidskennisgewing is bewyse van voorneme; nie een bewys die praktyk nie, en die afwesigheid van al drie is ook inligting.

Vir 'n openbare of vrywillig bedrewe nodus, neem aan die uitgang is gedeel en dat wie dit ook al bedryf, kan sien wat daardeur gaan. Daardie aanname, nie die gasheernaam nie, moet besluit wat jy deur die tonnel stuur.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Hou die naam vir dit waarin dit goed is: 'n eindpunt vind en daaraan koppel. Alles verder moet afsonderlik getoets word, op die dag wanneer dit saak maak.