Mitä julkinen VPN-isäntänimi voi todistaa ja mitä ei

Isäntänimet ja maaliput näyttävät palvelinta koskevilta faktoilta, eikä kumpikaan niistä ole sitä. Nimi viittaa osoitteisiin, jotka voivat muuttua, ja sen sisältämät sanat valitsi se, joka sen rekisteröi. Protokolla, poistumissijainti ja lokituskäyttäytyminen tarvitsevat kukin oman todisteensa. Aloita siitä, mihin nimi todella ratkeaa, ja päätä sitten, mikä on yhä tuntematonta.

Nimi ratkeaa, eikä mitään muuta ole selvitetty

Isäntänimi on osoitin DNS:ssä, ja sen takana olevat tietueet voivat vaihdella ratkaisijan, vuorokaudenajan ja asiakkaan suosiman osoiteperheen mukaan. Kaksi ihmistä, jotka lukevat samaa hakemistomerkintää, voivat täysin laillisesti päätyä eri koneisiin. Nimi kertoo, mitä kysyä, ei sitä, mikä vastaa.

Myös hakutulokset muuttuvat ilmoittamatta, millä on merkitystä, kun profiili kiinnittää osoitteen nimen sijaan. Profiili, johon vanha osoite on kovakoodattu, epäonnistuu edelleen sen jälkeen, kun operaattori siirtää palvelun, ja virhe näyttää estetyltä portilta. Pidä ratkenneet osoitteet profiilin vieressä, jotta myöhemmällä vertailulla on lähtötaso. Mikään tästä ei kerro, kuka toista päätä pyörittää.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Kuljetus ja identiteetti ovat erillisiä kysymyksiä

Isäntänimessä avoin verkkosivu testaa yhtä kuuntelijaa yhdellä portilla. OpenVPN, IPsec ja SSTP kuuntelevat muualla, omilla porteillaan ja protokollillaan, joten saavutettavissa oleva verkkopalvelin ei kerro niistä mitään.

Hakemistomerkinnän ja profiilin on oltava samaa mieltä kuljetuksesta, portista ja kirjautumistiedoista. Identiteetti varmistetaan varmenneketjulla tai sen vastapuolen avaimen sormenjäljellä, jolla asiakas määritettiin, ei isäntänimen kirjoitusasulla. Nimi, joka sisältää tutun projektisanan, todistaa vain, että joku rekisteröi sen. Lue varmente, jonka palvelu esittää, ja vertaa myöntäjää ja kohdetta siihen, mitä profiili odottaa.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Maasanat eivät ole sijainnin auditointi

Merkintä jp tai de hakemistossa on rekisteröinti, ja IP-paikannustietokannat ovat riittävän usein eri mieltä, ettei kumpaakaan kannata pitää absoluuttisena totuutena. Jaettu hosting, anycast ja yksinkertainen väärä kokoonpano siirtävät kaikki havaitun sijainnin pois merkinnästä.

Käytännön testi on sovelluksen oma reitti: mihin osoitteeseen se päätyy ja mitä poistumisosoitteen tarkistus näyttää istunnon sisältä. Havaittu poistumisosoite on reitin ominaisuus sillä hetkellä, ei nimeen sidottu tae. Vapaaehtoishakemistot lisäävät vielä yhden kerroksen, koska merkinnän rekisteröinyt henkilö ei välttämättä ole se, joka pyörittää konetta. Kirjoita muistiin, mitä mittasit ja milloin, älä sitä, mitä merkintä lupasi.

Tarkista tarjottu palvelu ja sitten operaattori

Kun kuljetus ja identiteetti on selvitetty, jäljelle jää kysymys operaattorin käyttäytymisestä, ja se vaatii asiakirjanäyttöä eikä päättelyä. Tietosuojakäytäntö, julkaistu yhteystieto ja avoimuusilmoitus ovat todisteita aikomuksesta; mikään niistä ei todista käytäntöä, ja kaikkien kolmen puuttuminen on myös tietoa.

Julkisen tai vapaaehtoisvoimin ylläpidetyn solmun kohdalla oleta, että poistuminen on jaettua ja että sitä pyörittävä näkee, mitä sen kautta kulkee. Tämän oletuksen, ei isäntänimen, pitäisi ratkaista, mitä lähetät tunnelin läpi.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Pidä nimi siinä, missä se on hyvä: päätepisteen löytämisessä ja siihen yhdistämisessä. Kaikki muu on testattava erikseen sinä päivänä, jolloin sillä on merkitystä.