Què pot demostrar i què no un nom d'amfitrió VPN públic

Els noms d'amfitrió i les banderes de país semblen fets sobre un servidor, i cap de les dues coses ho és. Un nom apunta a adreces que poden canviar, i les paraules que conté les va triar qui el va registrar. El protocol, la ubicació de sortida i el comportament de registre necessiten cadascun proves pròpies. Comenceu per allò a què el nom realment resol, i després decidiu què continua sent desconegut.

El nom resol, i res més no queda resolt

Un nom d'amfitrió és un punter dins del DNS, i els registres que hi ha darrere poden diferir segons el resolutor, segons l'hora del dia i segons la família d'adreces que prefereix el client. Dues persones que llegeixen la mateixa entrada de directori poden arribar legítimament a màquines diferents. El nom us diu què heu de demanar, no què respondrà.

Els resultats de consulta també canvien sense avís, cosa que importa quan un perfil fixa una adreça en lloc del nom. Un perfil que incrusta l'adreça antiga continua fallant després que l'operador mogui el servei, i la fallada sembla un port bloquejat. Guardeu les adreces resoltes al costat del perfil perquè una comparació posterior tingui una base. Res d'això no diu res sobre qui porta l'altre extrem.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport i identitat són preguntes separades

Una pàgina web oberta al nom d'amfitrió prova un sol oient en un sol port. OpenVPN, IPsec i SSTP escolten en altres llocs, als seus ports i protocols, així que un servidor web accessible no diu res sobre ells.

L'entrada del directori i el perfil han de coincidir en transport, port i credencials. La identitat es verifica amb la cadena de certificats o l'empremta de la clau del parell amb què es va configurar el client, no amb l'ortografia de l'amfitrió. Un nom que conté una paraula de projecte coneguda només demostra que algú el va registrar. Llegiu el certificat que presenta el servei i compareu emissor i subjecte amb el que espera el perfil.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Les paraules de país no són una auditoria d'ubicació

Una etiqueta jp o de en un directori és un registre, i les bases de geolocalització IP discrepen prou sovint perquè cap de les dues no mereixi ser tractada com a veritat absoluta. L'allotjament compartit, l'anycast i una simple mala configuració mouen la ubicació observada lluny de l'etiqueta.

La prova pràctica és el camí propi de l'aplicació: a quina adreça arriba i què mostra una comprovació d'adreça de sortida des de dins de la sessió. Una adreça de sortida observada és una propietat de la ruta en aquell moment, no una garantia lligada al nom. Els directoris de voluntaris afegeixen una capa més, perquè la persona que va registrar una fitxa no ha de ser la persona que opera la màquina. Anoteu què heu mesurat i quan, en lloc del que prometia la fitxa.

Comproveu el servei ofert, després l'operador

Un cop resolts el transport i la identitat, la pregunta que queda és el comportament de l'operador, i això necessita proves documentals en lloc d'inferències. Una política de privadesa, un contacte publicat i un avís de transparència són proves d'intenció; cap no demostra la pràctica, i l'absència de les tres també és informació.

Per a un node públic o operat per voluntaris, assumiu que la sortida és compartida i que qui el porta pot veure què hi passa. Aquesta suposició, i no el nom d'amfitrió, ha de decidir què envieu pel túnel.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Guardeu el nom per a allò en què és bo: trobar un extrem i connectar-s'hi. Tot el que va més enllà s'ha de provar per separat, el dia que importi.