Какво може и какво не може да докаже едно име на публичен VPN хост

Името на хоста посочва крайна точка и малко друго. То не доказва протокола, мястото на изход или политиката за запазване на оператора в който и да е ден.

Имената на хостове и знамената на държави изглеждат като факти за сървър, а нито едно от двете не е. Името сочи към адреси, които могат да се променят, а думите в него са избрани от този, който го е регистрирал. Протоколът, мястото на изход и поведението при журналиране всяко се нуждае от собствени доказателства. Започнете с това, в какво действително се разрешава името, после решете какво още е неизвестно.

Името се разрешава и нищо друго не е решено

Името на хоста е указател в DNS, а записите зад него могат да се различават според резолвера, според часа на деня и според семейството адреси, което клиентът предпочита. Двама души, които четат един и същ запис в указател, могат съвсем законно да стигнат до различни машини. Името казва какво да поискате, а не какво ще отговори.

Резултатите от търсенето също се променят без предупреждение, което има значение, когато профилът фиксира адрес вместо името. Профил, който е вградил стария адрес, продължава да се проваля, след като операторът премести услугата, и провалът изглежда като блокиран порт. Пазете разрешените адреси до профила, за да има следващото сравнение база. Нищо от това не казва кой управлява другия край.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Транспортът и идентичността са отделни въпроси

Отворена уеб страница на името на хоста проверява един слушател на един порт. OpenVPN, IPsec и SSTP слушат другаде, на свои портове и протоколи, така че достъпен уеб сървър не казва нищо за тях.

Записът в указателя и профилът трябва да съвпадат по транспорт, порт и идентификационни данни. Идентичността се проверява чрез веригата сертификати или отпечатъка на ключа на партньора, с който е конфигуриран клиентът, а не чрез изписването на хоста. Име, което съдържа позната дума от проект, доказва само, че някой го е регистрирал. Прочетете сертификата, който услугата представя, и сравнете издателя и субекта с това, което профилът очаква.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Думите за държави не са одит на местоположението

Етикет jp или de в указател е регистрация, а базите за геолокация на IP се разминават достатъчно често, че нито една от тях не заслужава да се приема за абсолютна истина. Споделеният хостинг, anycast и обикновената грешна конфигурация всички отместват наблюдаваното място от етикета.

Практическата проверка е собственият път на приложението: до кой адрес стига и какво показва проверката на изходния адрес отвътре в сесията. Наблюдаваният изходен адрес е свойство на маршрута в този момент, а не гаранция, прикрепена към името. Указателите с доброволци добавят още един слой, защото човекът, регистрирал обява, не е непременно човекът, който управлява машината. Запишете какво сте измерили и кога, вместо какво е обещала обявата.

Проверете предлаганата услуга, после оператора

След като транспортът и идентичността са изяснени, остава въпросът за поведението на оператора и той изисква документални доказателства, а не изводи. Политика за поверителност, публикуван контакт и известие за прозрачност са доказателства за намерение; нито едно от тях не доказва практиката, а липсата и на трите също е информация.

За публичен възел или възел, управляван от доброволци, приемете, че изходът е споделен и че този, който го управлява, може да наблюдава какво минава през него. Това допускане, а не името на хоста, трябва да решава какво изпращате през тунела.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Пазете името за това, в което е добро: намиране на крайна точка и свързване с нея. Всичко останало трябва да се проверява отделно, в деня, в който има значение.

Подобни статии