Што імя публічнага хаста VPN можа даказаць, а што не

Імя хаста паказвае канчатковы пункт і мала што яшчэ. Яно не даказва пратакол, месца выхаду або палітыку захавання аператара ў любы канкрэтны дзень.

Імёны хастаў і сцягі краін выглядаюць як факты пра сервер, але ні тое, ні другое імі не з'яўляецца. Імя адпавядае адрасам, якія могуць змяняцца, а словы ўнутры яго выбіраў той, хто яго зарэгістраваў. Пратакол, месца выхаду і паводзіны пры журналяванні кожнае патрабуе ўласных доказаў. Пачніце з таго, у што імя сапраўды развязваецца, а потым вырашыце, што ўсё яшчэ невядома.

Імя развязваецца, і больш нічога не вырашана

Імя хаста — гэта паказальнік у DNS, а запісы за ім могуць адрознівацца ў залежнасці ад рэзалвера, часу сутак і сямейства адрасоў, якому аддае перавагу кліент. Два чалавекі, якія чытаюць той жа запіс каталога, могуць цалкам законна трапіць на розныя машыны. Імя кажа, што запытаць, а не што адкажа.

Вынікі пошуку таксама змяняюцца без папярэджання, што важна, калі профіль фіксуе адрас замест імя. Профіль, які зашывае стары адрас, працягвае даваць збой пасля таго, як аператар пераносіць службу, і збой выглядае як заблакаваны порт. Трымайце развязаныя адрасы побач з профілем, каб наступнае параўнанне мела базу. Нішто з гэтага не кажа пра тое, хто кіруе іншым канцом.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Транспарт і асоба — асобныя пытанні

Адкрытая вэб-старонка на імені хаста правярае адзін слухач на адным порце. OpenVPN, IPsec і SSTP слухаюць у іншых месцах, на сваіх партах і пратаколах, таму даступны вэб-сервер нічога пра іх не кажа.

Запіс каталога і профіль павінны ўзгадніцца наконт транспарту, порта і ўліковых даных. Асоба правяраецца ланцугом сертыфікатаў або адбіткам ключа партнёра, з якім быў наладжаны кліент, а не напісаннем імя хаста. Імя, якое змяшчае знаёмае слова праекта, даказвае толькі тое, што нехта яго зарэгістраваў. Прачытайце сертыфікат, які прадстаўляе служба, і параўнайце выдаўцу і суб'ект з тым, што чакае профіль.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Словы краін — не аўдыт месцазнаходжання

Пазнака jp або de у каталогу — гэта рэгістрацыя, а базы геалакацыі IP дастаткова часта разыходзяцца, каб ні адну з іх не варта было лічыць абсалютнай ісцінай. Агульны хост, anycast і звычайная памылка наладкі — усё гэта аддаляе назіранае месца ад пазнакі.

Практычная праверка — гэта ўласны шлях праграмы: да якога адрасу яна даходзіць і што паказвае праверка адрасу выхаду знутры сеанса. Назіраны адрас выхаду — уласцівасць маршруту ў той момант, а не гарантыя, прывязаная да імя. Каталогі добраахвотнікаў дадаюць яшчэ адзін пласт, бо той, хто зарэгістраваў запіс, не абавязкова той, хто кіруе машынай. Запішыце, што вы вымералі і калі, а не тое, што абяцаў запіс.

Праверце прапанаваную службу, потым аператара

Калі транспарт і асоба ўстаноўлены, застаецца пытанне пра паводзіны аператара, і яно патрабуе дакументальных доказаў, а не здагадак. Палітыка прыватнасці, апублікаваны кантакт і паведамленне аб празрыстасці — гэта доказы намеру; ні адзін з іх не даказвае практыку, і адсутнасць усіх трох таксама з'яўляецца інфармацыяй.

Для публічнага або кіраванага добраахвотнікамі вузла мяркуйце, што выхад агульны і што той, хто яго кіруе, можа назіраць за тым, што праходзіць праз яго. Гэта меркаванне, а не імя хаста, павінна вырашаць, што вы адпраўляеце праз тунель.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Трымайце імя для таго, у чым яно добрае: знайсці канчатковы пункт і падключыцца да яго. Усё астатняе трэба правяраць асобна, у той дзень, калі гэта мае значэнне.

Падобныя артыкулы