Per què l’etiqueta de país d’una VPN no és l’adreça de sortida

Trieu un país, us connecteu i un lloc web us rep en un altre. L’etiqueta del llistat mai no va prometre res sobre l’adreça des de la qual sortiríeu: és un camp que algú va publicar, derivat per un mètode que no heu vist. Tractar aquest camp com una adreça és on comença la confusió.

Tres coses diferents porten un valor de país, i poden discrepar sense que ningú menteixi. Distingir-les fa que la discrepància sigui diagnosticable en lloc de misteriosa.

Tres coses diferents porten una etiqueta de país

La primera és el camp propi del directori, que pot ser declarat per l’operador, deduït d’una base de dades d’adreces o simplement copiat quan es va crear l’entrada. La segona és l’adreça mateixa, que pertany a la xarxa que l’anuncia, i això és el que respon una consulta de geolocalització fent servir dades de mapatge publicades en la forma que descriu el RFC 8805. La tercera és el que una aplicació decideix mostrar, que pot venir d’una altra base de dades, d’un paràmetre del compte o d’un permís que vau concedir al dispositiu. Només la segona és un fet de xarxa, i fins i tot aquesta és una consulta, no una observació.

La coherència entre aquestes tres seria agradable i no s’exigeix enlloc. Una discrepància és evidència que es van derivar de maneres diferents, i res més.

Comproveu l’adreça, no la bandera

La pregunta útil és des de quina adreça pública surt realment el vostre trànsit. Això es pot respondre des del client i no depèn de cap camp del llistat. Compareu la resposta amb el prefix que esperàveu i amb el que diu una consulta de geolocalització sobre ella, mantenint els dos resultats separats a les vostres notes. Una diferència entre el país esperat i la consulta és una qüestió d’encaminament o de base de dades, mentre que una diferència entre la consulta i l’opinió de l’aplicació torna a ser una qüestió de base de dades.

Feu la comprovació dues vegades si el servei té diverses sortides a la regió. Un pool pot lliurar adreces diferents en connexions successives, i una mostra només descriu una d’elles.

La proximitat en un mapa no és proximitat a la xarxa

Un país proper pot ser un camí més llarg que un de llunyà, perquè la ruta de fibra no segueix la frontera. Triar un node per latència vol dir mesurar la destinació que us importa en lloc d’escollir la bandera més propera. La mateixa lògica s’aplica a la capacitat, perquè una sortida poc carregada a dos països de distància pot superar una de saturada al costat. Mesureu primer, decidiu després, i anoteu l’hora perquè tots dos números es mouen.

La ubicació tampoc no diu res sobre la retenció ni sobre qui opera el punt final. Això necessita proves pròpies, que una columna de país no pot contenir.

Confirmeu vosaltres mateixos l’adreça de sortida

Pregunteu al client i a un servei extern quin aspecte té la vostra adreça, i després pregunteu a la taula d’encaminament local com es va triar aquest camí. Les ordres de sota fan les tres coses, i la tercera és la que la gent s’estalvia. Substituïu el nom de la interfície pel vostre dispositiu de túnel.

curl -sS https://api.ipify.org; echo
curl -sS --interface tun0 https://api.ipify.org; echo
ip route get 1.1.1.1
ip -6 addr show dev tun0

Les dues primeres línies haurien de coincidir, i quan no ho fan, la ruta que creieu tenir no és la ruta que porta el vostre trànsit. La consulta de ruta indica la interfície i l’adreça d’origen que el nucli faria servir per a una destinació, i aquest és el mecanisme que hi ha darrere de l’adreça de sortida. La línia IPv6 importa perquè una màquina pot mantenir un túnel per a una família i un camí directe per a l’altra. Una etiqueta de país no cobreix cap d’aquests casos per si sola.

Escriviu l’adreça observada, l’opinió de la base de dades i el que mostra l’aplicació com tres notes separades. Així la propera discrepància que trobeu serà fàcil d’atribuir.