Šta javno VPN ime hosta može, a šta ne može dokazati

Imena hostova i zastave zemalja izgledaju kao činjenice o serveru, a nijedno od toga nije činjenica. Ime upućuje na adrese koje se mogu mijenjati, a riječi u njemu odabrao je onaj ko ga je registrirao. Protokol, lokacija izlaza i ponašanje pri bilježenju svako traži vlastiti dokaz. Počnite od onoga u šta se ime zaista razrješava, pa odlučite šta je još nepoznato.

Ime se razrješava, i ništa drugo nije riješeno

Ime hosta je pokazivač u DNS, a zapisi iza njega mogu se razlikovati po razrješivaču, po dobu dana i po porodici adresa koju klijent preferira. Dvije osobe koje čitaju isti zapis u imeniku mogu sasvim legitimno stići na različite mašine. Ime vam kaže šta da tražite, a ne šta će odgovoriti.

Rezultati pretrage se takođe mijenjaju bez najave, što je važno kada profil fiksira adresu umjesto imena. Profil koji ukopa staru adresu nastavlja da pada nakon što operater premjesti uslugu, a kvar izgleda kao blokiran port. Držite razriješene adrese uz profil da bi kasnije poređenje imalo osnovu. Ništa od toga ne govori ko vodi drugu stranu.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport i identitet su odvojena pitanja

Otvorena web stranica na imenu hosta testira jedan slušalac na jednom portu. OpenVPN, IPsec i SSTP slušaju drugdje, na svojim portovima i protokolima, pa dostupan web server ne govori ništa o njima.

Zapis u imeniku i profil moraju se slagati o transportu, portu i akreditivima. Identitet se provjerava lancem certifikata ili otiskom ključa partnera s kojim je klijent konfigurisan, a ne pravopisom imena hosta. Ime koje sadrži poznatu riječ projekta dokazuje samo da ga je neko registrirao. Pročitajte certifikat koji usluga predstavlja i uporedite izdavaoca i subjekta s onim što profil očekuje.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Riječi o zemljama nisu revizija lokacije

Oznaka jp ili de u imeniku je registracija, a baze geolokacije IP adresa se dovoljno često ne slažu da nijedna ne zaslužuje da se uzima kao apsolutna istina. Dijeljeni hosting, anycast i obična greška u konfiguraciji svi pomjeraju uočenu lokaciju od oznake.

Praktični test je vlastita putanja aplikacije: koju adresu dostiže i šta provjera izlazne adrese pokazuje iz same sesije. Uočena izlazna adresa je svojstvo rute u tom trenutku, a ne garancija vezana za ime. Imenici volontera dodaju još jedan sloj, jer osoba koja je registrirala unos ne mora biti osoba koja upravlja mašinom. Zapišite šta ste izmjerili i kada, a ne šta je unos obećavao.

Provjerite ponuđenu uslugu, pa operatera

Kada su transport i identitet riješeni, ostaje pitanje ponašanja operatera, a ono traži dokumentarne dokaze, ne zaključivanje. Politika privatnosti, objavljen kontakt i obavijest o transparentnosti dokazi su namjere; nijedan od njih ne dokazuje praksu, a odsustvo sva tri je takođe informacija.

Za javni ili volonterski čvor pretpostavite da je izlaz dijeljen i da onaj ko ga vodi može vidjeti šta prolazi kroz njega. Ta pretpostavka, a ne ime hosta, treba da odluči šta šaljete kroz tunel.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Zadržite ime za ono u čemu je dobro: pronalaženje krajnje tačke i povezivanje s njom. Sve iza toga mora se testirati odvojeno, onog dana kada je važno.