ما يمكن أن يثبته اسم مضيف VPN عام وما لا يمكنه إثباته

أسماء المضيفين وأعلام البلدان تبدو كأنها حقائق عن خادم، وليست أي منهما كذلك. الاسم يحيل إلى عناوين قابلة للتغير، والكلمات داخله اختارها من سجّله. البروتوكول وموقع الخروج وسلوك التسجيل يحتاج كل منها إلى دليل خاص به. ابدأ بما يحل إليه الاسم فعلاً، ثم قرر ما لا يزال مجهولاً.

الاسم يُحلّ، ولا شيء غير ذلك محسوم

اسم المضيف مؤشر داخل DNS، والسجلات خلفه قد تختلف بحسب المُحلِّل وبحسب وقت اليوم وبحسب عائلة العناوين التي يفضلها العميل. شخصان يقرآن الدليل نفسه قد يصلان بحق إلى جهازين مختلفين. الاسم يخبرك بما تطلبه، لا بما سيجيب.

نتائج الاستعلام تتغير أيضاً دون إشعار، وهذا مهم عندما يثبّت ملف تعريف عنواناً بدلاً من الاسم. ملف التعريف الذي يُضمّن العنوان القديم يستمر في الفشل بعد أن ينقل المشغّل الخدمة، ويبدو الفشل كمنفذ محجوب. احتفظ بالعناوين المحلولة بجانب ملف التعريف ليكون للمقارنة اللاحقة خط أساس. لا شيء من ذلك يقول شيئاً عن الجهة التي تدير الطرف الآخر.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

النقل والهوية سؤالان منفصلان

صفحة ويب مفتوحة على اسم المضيف تختبر مستمعاً واحداً على منفذ واحد. OpenVPN وIPsec وSSTP تستمع في مواضع أخرى، على منافذها وبروتوكولاتها الخاصة، فخادم ويب يمكن الوصول إليه لا يقول شيئاً عنها.

يجب أن يتفق إدخال الدليل وملف التعريف على النقل والمنفذ وبيانات الاعتماد. تُتحقق الهوية عبر سلسلة الشهادات أو بصمة مفتاح النظير التي ضُبط بها العميل، لا عبر تهجئة اسم المضيف. الاسم الذي يحتوي كلمة مشروع مألوفة يثبت فقط أن أحداً سجّله. اقرأ الشهادة التي يقدمها الخدمة وقارن المُصدر والموضوع بما يتوقعه ملف التعريف.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

كلمات البلدان ليست تدقيقاً للموقع

العلامة jp أو de في دليل ما هي تسجيل، وقواعد بيانات تحديد الموقع الجغرافي للعناوين تختلف كثيراً بما يكفي ألا يستحق أي منهما أن يُعامل كحقيقة مطلقة. الاستضافة المشتركة وanycast وسوء الإعداد المجرد كلها تنقل الموقع المرصود بعيداً عن العلامة.

الاختبار العملي هو مسار التطبيق نفسه: أي عنوان يصل، وماذا يُظهر فحص عنوان الخروج من داخل الجلسة. عنوان الخروج المرصود خاصية للمسار في تلك اللحظة، لا ضمانة معلقة بالاسم. أدلة المتطوعين تضيف طبقة أخرى، لأن الشخص الذي سجّل إدراجاً ليس بالضرورة الشخص الذي يدير الجهاز. اكتب ما قسته ومتى، بدلاً مما وعد به الإدراج.

افحص الخدمة المعروضة، ثم المشغّل

بعد حسم النقل والهوية، يبقى سؤال سلوك المشغّل، وهذا يحتاج إلى دليل وثائقي لا إلى استنتاج. سياسة الخصوصية وجهة اتصال منشورة وإشعار شفافية هي أدلة على النية؛ لا يثبت أي منها الممارسة، وغياب الثلاثة جميعاً معلومة أيضاً.

بالنسبة إلى عقدة عامة أو يديرها متطوعون، افترض أن الخروج مشترك وأن من يديره يستطيع رؤية ما يمر عبره. هذا الافتراض، لا اسم المضيف، هو ما يجب أن يحدد ما ترسله عبر النفق.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

احتفظ بالاسم لما يجيده: العثور على نقطة نهاية والاتصال بها. كل ما يتجاوز ذلك يجب اختباره بشكل منفصل، في اليوم الذي يهم فيه.