Açıq VPN host adı nəyi sübut edə bilər və nəyi bilməz

Host adları və ölkə bayraqları server haqqında faktlar kimi görünür, amma heç biri fakt deyil. Ad dəyişə bilən ünvanlara işarə edir, içindəki sözləri isə onu qeydiyyata alan seçib. Protokol, çıxış yeri və jurnal davranışı hər biri öz sübutunu tələb edir. Adın həqiqətən nəyə çevrildiyindən başlayın, sonra hələ naməlum olanı qərarlaşdırın.

Ad həll olunur, başqa heç nə həll olunmur

Host adı DNS-ə baxan göstəricidir, arxasındakı qeydlər isə həll edicidən, günün vaxtından və müştərinin üstünlük verdiyi ünvan ailəsindən asılı olaraq fərqlənə bilər. Eyni kataloq qeydini oxuyan iki nəfər qanuni olaraq fərqli maşınlara çata bilər. Ad nə istəməli olduğunuzu deyir, nə cavab verəcəyini deyil.

Axtarış nəticələri də xəbərdarlıq olmadan dəyişir, bu da profil ad yerinə ünvanı bərkidəndə vacib olur. Köhnə ünvanı koda yazan profil operator xidməti köçürdükdən sonra da uğursuz olur və bu uğursuzluq bloklanmış port kimi görünür. Həll olunmuş ünvanları profilin yanında saxlayın ki, sonrakı müqayisənin bazası olsun. Bunların heç biri digər tərəfi kimin idarə etdiyi barədə heç nə demir.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Nəqliyyat və şəxsiyyət ayrı suallardır

Host adındakı açıq veb səhifə bir portda bir dinləyicini yoxlayır. OpenVPN, IPsec və SSTP başqa yerlərdə, öz port və protokolları ilə dinləyir, ona görə əlçatan veb server onlar haqqında heç nə demir.

Kataloq qeydi ilə profil nəqliyyat, port və etimadnamə barədə razılaşmalıdır. Şəxsiyyət müştərinin konfiqurasiya edildiyi sertifikat zənciri və ya həmkar açarının barmaq izi ilə təsdiqlənir, hostun yazılışı ilə deyil. Tanış layihə sözü olan ad yalnız kiminsə onu qeydiyyata aldığını sübut edir. Xidmətin təqdim etdiyi sertifikatı oxuyun və verənlə mövzunu profilin gözlədiyi ilə müqayisə edin.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Ölkə sözləri yer auditi deyil

Kataloqda jp və ya de etiketi qeydiyyatdır, IP geolokasiya bazaları isə kifayət qədər tez-tez ziddiyyət təşkil edir ki, heç biri mütləq həqiqət kimi qəbul edilməyə layiq deyil. Ortaq hostinq, anycast və sadə səhv konfiqurasiya müşahidə olunan yeri etiketdən uzaqlaşdırır.

Praktik sınaq tətbiqin öz yoludur: hansı ünvana çatdığı və sessiya içindən çıxış ünvanı yoxlamasının nə göstərdiyi. Müşahidə olunan çıxış ünvanı həmin andakı marşrutun xassəsidir, ada bağlı zəmanət deyil. Könüllü kataloqlar bir qat daha əlavə edir, çünki qeydi qeydiyyata alan şəxs maşını idarə edən şəxs olmaya bilər. Nəyi və nə vaxt ölçdüyünüzü yazın, qeydin vəd etdiyini deyil.

Təklif olunan xidməti, sonra operatoru yoxlayın

Nəqliyyat və şəxsiyyət həll olunduqdan sonra qalan sual operatorun davranışıdır və bu, nəticə çıxarmaq yerinə sənədli sübut tələb edir. Məxfilik siyasəti, dərc olunmuş əlaqə və şəffaflıq bildirişi niyyətin sübutudur; heç biri təcrübəni sübut etmir və hər üçünün olmaması da məlumatdır.

Açıq və ya könüllülər tərəfindən idarə olunan qovşaq üçün çıxışın ortaq olduğunu və onu idarə edənin oradan keçəni görə biləcəyini fərz edin. Tuneldən nə göndərəcəyinizə host adı deyil, bu fərziyyə qərar verməlidir.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Adı yaxşı olduğu iş üçün saxlayın: son nöqtəni tapmaq və ona qoşulmaq. Bundan sonrakı hər şey ayrıca yoxlanmalıdır, vacib olduğu gün.