Zer frogatu dezake VPN ostalari-izen publiko batek, eta zer ez

Ostalari-izenek eta herrialde-banderek zerbitzari bati buruzko egiaztapenak dirudite, eta bietako bat ere ez da hala. Izen bat alda daitezkeen helbideetara eramaten du, eta barneko hitzak erregistratu zuenak aukeratu zituen. Protokoloak, irteera-kokapenak eta erregistratze-jokabideak bakoitzak bere froga behar du. Hasi izenak benetan zer ebazten duenarekin, eta gero erabaki zer den oraindik ezezaguna.

Izena ebazten da, eta beste ezer ez dago erabakita

Ostalari-izen bat DNS barneko erakusle bat da, eta haren atzeko erregistroak desberdinak izan daitezke ebazlearen arabera, eguneko orduaren arabera eta bezeroak nahiago duen helbide-familiaren arabera. Direktorio-sarrera bera irakurtzen duten bi pertsonek zilegi dute makina desberdinetara iristea. Izenak zer eskatu esaten dizu, ez zer erantzungo duen.

Kontsulta-emaitzak ere ohartarazi gabe aldatzen dira, eta hori garrantzitsua da profil batek izena beharrean helbide bat finkatzen duenean. Helbide zaharra gogortuta duen profil batek huts egiten jarraitzen du operadoreak zerbitzua lekuz aldatzen duenean, eta hutsegitea portu blokeatu baten antza du. Gorde ebatzitako helbideak profilaren ondoan, geroagoko konparaketak oinarri bat izan dezan. Horietako batek ere ez du esaten beste muturra nor arduratzen den.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Garraioa eta identitatea galdera bereiziak dira

Ostalari-izenean irekitako web-orri batek entzule bat probatzen du portu bakarrean. OpenVPN, IPsec eta SSTP beste leku batzuetan entzuten dute, beren portu eta protokoloetan, beraz, irisgarria den web zerbitzari batek ez du haiei buruz ezer esaten.

Direktorio-sarrerak eta profilak bat etorri behar dute garraioan, portuan eta kredentzialetan. Identitatea ziurtagiri-kateak edo bezeroa konfiguratu zeneko parearen gakoaren hatz-markak egiaztatzen du, ez ostalariaren idazkerak. Proiektu-hitz ezaguna duen izen batek bakarrik frogatzen du norbaitek erregistratu zuela. Irakurri zerbitzuak aurkezten duen ziurtagiria eta alderatu jaulkitzailea eta subjektua profilak espero duenarekin.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Herrialde-hitzeak ez dira kokapenaren ikuskapena

Direktorio batean jp edo de etiketa bat erregistro bat da, eta IP geokokapen-datu-baseak aski sarritan desadostasunean daude, ez batak ez besteak egia absolututzat hartzea merezi ez dezan. Ostalari partekatuak, anycast-ek eta konfigurazio oker arruntak behatutako kokapena etiketatik urrun eramaten dute.

Probatze praktikoa aplikazioaren beraren bidea da: zein helbidera iristen den, eta sesioaren barrualdetik irteera-helbidearen egiaztapenak zer erakusten duen. Behatutako irteera-helbidea une horretako ibilbidearen propietatea da, ez izenari lotutako bermea. Borondatezko direktorioek beste geruza bat gehitzen dute, zeren sarrera bat erregistratu zuen pertsona ez baita nahitaez makina kudeatzen duena. Idatzi zer neurtu zenuen eta noiz, sarrerak agindutakoa beharrean.

Egiaztatu eskainitako zerbitzua, gero operadorea

Garraioa eta identitatea erabakita, geratzen den galdera operadorearen jokabidea da, eta horrek dokumentu bidezko froga behar du, ondorioztatzearen ordez. Pribatutasun-politika bat, argitaratutako kontaktu bat eta gardentasun-ohar bat asmoaren frogak dira; batek ere ez du praktika frogatzen, eta hiruren absentzia ere informazioa da.

Nodo publiko edo borondatezkoentzat, suposatu irteera partekatua dela eta hura kudeatzen duenak ikus dezakeela hortik pasatzen dena. Suposizio horrek, eta ez ostalari-izenak, erabaki behar du zer bidaltzen duzun tunelatik.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Mantendu izena ondo egiten duenerako: mutur bat aurkitzea eta harekin konektatzea. Hortik haragoko guztia bereizita probatu behar da, garrantzitsua den egunean.