VPN Gate et votre propre serveur SoftEther ne sont pas la même chose
Même protocole, même client, opérateur différent. Voyez qui publie le point de terminaison, quelle politique de journalisation s'applique et pourquoi un nœud public n'est pas un accès privé.
Une équipe installe un serveur SoftEther, exporte un paramètre de connexion, puis quelqu'un trouve plus tard le même protocole dans un annuaire public VPN Gate et demande si l'entreprise exploite désormais un relais public. La confusion est compréhensible : le client semble identique, le protocole est identique et les deux apparaissent dans le même type de liste de connexions. La distinction n'est pas technique, elle est opérationnelle. Un serveur que vous déployez appartient à celui qui l'a déployé, et VPN Gate est un projet bénévole distinct qui publie ses propres points de terminaison.
Même client, deux opérateurs différents
Trois questions séparent les deux déploiements, et aucune d'elles n'est résolue par le logiciel. Il vaut la peine de les écrire avant que quiconque compare des clients.
| Question | Your SoftEther server | A VPN Gate volunteer node |
|---|---|---|
| Who runs it | you, or your hosting provider on your behalf | an anonymous volunteer |
| Who may connect | accounts you create | anyone using the public directory |
| Who writes the logging policy | you | the volunteer, within the project's published rules |
La ligne du milieu tranche la plupart des discussions. Sur votre propre serveur, la liste des comptes est quelque chose que vous contrôlez, donc l'appartenance signifie quelque chose ; sur un nœud bénévole, chaque utilisateur de l'annuaire est un pair potentiel sur le même point de terminaison. Cette ligne ne peut pas non plus être déduite du client, et c'est pourquoi deux personnes dotées d'un logiciel identique peuvent décrire des réseaux complètement différents.
Lisez qui a publié le point de terminaison
Commencez par la source du paramètre de connexion. Une entrée d'annuaire avec un nom d'hôte bénévole, une adresse changeante et une liste publique est un objet différent d'une configuration que votre administrateur a exportée avec votre propre nom d'hôte et certificat. Si le point de terminaison apparaît dans une liste publique, traitez-le comme public, car c'est exactement ce que signifie la liste. Rien dans le protocole ne change la réponse.
Une entrée d'annuaire n'est pas non plus un accès administratif. Pouvoir se connecter à un nœud ne dit rien de son interface de gestion, et essayer des identifiants administratifs sur un hôte bénévole est à la fois inefficace et inapproprié. Utilisez la méthode de connexion proposée par la liste et rien de plus.
La journalisation suit l'opérateur, pas le protocole
SoftEther en tant que logiciel peut journaliser les connexions, et l'administrateur d'un serveur décide de ce qui est conservé et pour combien de temps. VPN Gate publie ses propres pages sur le modèle bénévole et sur la journalisation anti-abus, et ces pages sont la seule déclaration exacte concernant ce projet. Les lire est un acte différent que de supposer qu'un service basé sur SoftEther ne conserve rien, ce qui est une affirmation que le logiciel ne peut pas soutenir.
Pour votre propre serveur, la déclaration équivalente vient de votre configuration et de votre politique de conservation. Cela peut être plus de journalisation qu'un nœud public n'en conserve, ou moins, et c'est votre responsabilité dans tous les cas. Quiconque dit que le protocole garantit l'anonymat décrit un espoir plutôt qu'une conception.
Une sortie publique n'est pas une appartenance à un réseau privé
L'échec pratique survient lorsque quelqu'un a besoin d'un service interne et se tourne vers une sortie publique gratuite au lieu de la passerelle de l'entreprise. Un nœud public peut changer l'adresse d'où votre trafic semble provenir. Il ne peut pas faire de vous un membre d'un réseau auquel vous n'avez jamais eu accès, et aucun paramètre du client ne change cela. L'ensemble accessible est défini de l'autre côté, par celui qui exploite la passerelle.
C'est aussi là que se situe la politique de sécurité. Le trafic via un hôte bénévole inconnu est soumis aux pratiques de cet hôte, et la décision de confiance est catégoriquement différente de celle du trafic via une passerelle que votre organisation exploite et audite. Choisir la sortie gratuite déplace la confiance, elle ne la supprime pas.
Décidez ce que vous déployez réellement
Trois questions tranchent. Qui exploitera le point de terminaison ? Qui est autorisé à s'y connecter ? Quelle politique de journalisation et de conservation s'applique au trafic ? Si la réponse à l'une d'elles est « quiconque le trouve », le déploiement est public quoi que dise le fichier de protocole.
Écrivez les réponses à côté du déploiement, y compris l'opérateur, les utilisateurs autorisés et la politique de conservation. Quand la personne suivante trouvera le même protocole dans un annuaire public, cette note sera toute l'explication, et elle évitera la discussion sur le fait de savoir si l'entreprise exploite un relais.