Que pode e que non pode demostrar un nome de host VPN público

Os nomes de host e as bandeiras de país parecen feitos sobre un servidor, e ningún dos dous o é. Un nome apunta a enderezos que poden cambiar, e as palabras que contén escolleunas quen o rexistrou. O protocolo, a localización de saída e o comportamento de rexistro necesitan cada un a súa propia proba. Empece por aquilo ao que o nome resolve realmente, e despois decida que segue sendo descoñecido.

O nome resolve, e nada máis queda resolto

Un nome de host é un punteiro dentro do DNS, e os rexistros que hai detrás poden diferir segundo o resolutor, segundo a hora do día e segundo a familia de enderezos que prefire o cliente. Dúas persoas que len a mesma entrada de directorio poden chegar lexitimamente a máquinas distintas. O nome di que pedir, non que responderá.

Os resultados de consulta tamén cambian sen aviso, o que importa cando un perfil fixa un enderezo en lugar do nome. Un perfil que incrusta o enderezo antigo segue fallando despois de que o operador mova o servizo, e o fallo parece un porto bloqueado. Garde os enderezos resoltos xunto ao perfil para que unha comparación posterior teña unha base. Nada diso di quen xestiona o outro extremo.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transporte e identidade son preguntas separadas

Unha páxina web aberta no nome de host proba un só oínte nun só porto. OpenVPN, IPsec e SSTP escoitan noutros lugares, nos seus propios portos e protocolos, así que un servidor web accesible non di nada sobre eles.

A entrada do directorio e o perfil deben coincidir en transporte, porto e credenciais. A identidade verifícase coa cadea de certificados ou a pegada da clave do par coa que se configurou o cliente, non coa ortografía do host. Un nome que contén unha palabra de proxecto coñecida só demostra que alguén o rexistrou. Lea o certificado que presenta o servizo e compare emisor e suxeito co que espera o perfil.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

As palabras de país non son unha auditoría de localización

Unha etiqueta jp ou de nun directorio é un rexistro, e as bases de xeolocalización IP discrepan con suficiente frecuencia como para que ningunha mereza tratarse como verdade absoluta. O aloxamento compartido, o anycast e unha simple mala configuración moven a localización observada lonxe da etiqueta.

A proba práctica é o camiño propio da aplicación: a que enderezo chega e que mostra unha comprobación de enderezo de saída desde dentro da sesión. Un enderezo de saída observado é unha propiedade da ruta nese momento, non unha garantía ligada ao nome. Os directorios de voluntarios engaden outra capa, porque quen rexistrou unha ficha non ten por que ser quen opera a máquina. Anote que mediu e cando, en lugar do que prometía a ficha.

Comprobe o servizo ofrecido, despois o operador

Unha vez resoltos o transporte e a identidade, a pregunta que queda é o comportamento do operador, e iso esixe probas documentais en lugar de inferencias. Unha política de privacidade, un contacto publicado e un aviso de transparencia son probas de intención; ningunha demostra a práctica, e a ausencia das tres tamén é información.

Para un nodo público ou xestionado por voluntarios, dea por suposto que a saída é compartida e que quen o xestiona pode ver o que pasa por ela. Esa suposición, e non o nome de host, debe decidir que envía polo túnel.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Garde o nome para aquilo no que é bo: atopar un extremo e conectarse a el. Todo o demais debe probarse por separado, o día en que importe.