एक सार्वजनिक VPN होस्टनाम क्या साबित कर सकता है और क्या नहीं

होस्टनाम और देश के झंडे सर्वर के बारे में तथ्य जैसे लगते हैं, और इनमें से कोई भी तथ्य नहीं है। नाम ऐसे पते बताता है जो बदल सकते हैं, और उसके भीतर के शब्द उसी ने चुने हैं जिसने उसे पंजीकृत किया। प्रोटोकॉल, एग्ज़िट स्थान और लॉगिंग व्यवहार, तीनों को अपना-अपना सबूत चाहिए। शुरुआत इससे करें कि नाम वास्तव में किसमें हल होता है, फिर तय करें कि क्या अभी भी अज्ञात है।

नाम हल होता है, और बाकी कुछ भी तय नहीं

होस्टनाम DNS में एक संकेतक है, और उसके पीछे के रिकॉर्ड रिज़ॉल्वर के अनुसार, दिन के समय के अनुसार और क्लाइंट की पसंदीदा पता-परिवार के अनुसार अलग हो सकते हैं। एक ही डायरेक्टरी प्रविष्टि पढ़ने वाले दो लोग वैध रूप से अलग-अलग मशीनों तक पहुँच सकते हैं। नाम बताता है कि क्या माँगना है, यह नहीं कि क्या उत्तर देगा।

लुकअप परिणाम भी बिना सूचना के बदलते हैं, जो तब मायने रखता है जब प्रोफ़ाइल नाम के बजाय किसी पते को पिन करती है। जो प्रोफ़ाइल पुराने पते को हार्डकोड करती है, ऑपरेटर के सेवा स्थानांतरित करने के बाद भी विफल रहती है, और विफलता अवरुद्ध पोर्ट जैसी दिखती है। हल किए गए पते प्रोफ़ाइल के पास रखें ताकि बाद की तुलना के पास आधार रेखा हो। इनमें से कोई भी यह नहीं बताता कि दूसरे सिरे को कौन चलाता है।

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

ट्रांसपोर्ट और पहचान अलग सवाल हैं

होस्टनाम पर खुला वेब पेज एक पोर्ट पर एक श्रोता का परीक्षण करता है। OpenVPN, IPsec और SSTP कहीं और, अपने-अपने पोर्ट और प्रोटोकॉल पर सुनते हैं, इसलिए पहुँच में आने वाला वेब सर्वर उनके बारे में कुछ नहीं बताता।

डायरेक्टरी प्रविष्टि और प्रोफ़ाइल को ट्रांसपोर्ट, पोर्ट और क्रेडेंशियल पर सहमत होना चाहिए। पहचान प्रमाणपत्र श्रृंखला या उस सहकर्मी कुंजी की फ़िंगरप्रिंट से सत्यापित होती है जिसके साथ क्लाइंट कॉन्फ़िगर किया गया था, होस्ट की वर्तनी से नहीं। किसी जाने-पहचाने परियोजना-शब्द वाला नाम केवल यह साबित करता है कि किसी ने उसे पंजीकृत किया। सेवा जो प्रमाणपत्र प्रस्तुत करती है उसे पढ़ें और जारीकर्ता तथा विषय की तुलना उससे करें जो प्रोफ़ाइल अपेक्षा करती है।

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

देश के शब्द स्थान का ऑडिट नहीं हैं

डायरेक्टरी में jp या de का लेबल एक पंजीकरण है, और IP भू-स्थान डेटाबेस इतनी बार असहमत होते हैं कि उनमें से किसी को भी पूर्ण सत्य नहीं माना जाना चाहिए। साझा होस्टिंग, anycast और साधारण गलत कॉन्फ़िगरेशन, सभी देखे गए स्थान को लेबल से दूर ले जाते हैं।

व्यावहारिक परीक्षण अनुप्रयोग का अपना मार्ग है: वह किस पते तक पहुँचता है, और सत्र के भीतर से एग्ज़िट-पता जाँच क्या दिखाती है। देखा गया एग्ज़िट पता उस क्षण मार्ग का गुण है, नाम से जुड़ी कोई गारंटी नहीं। स्वयंसेवक डायरेक्टरियाँ एक और परत जोड़ती हैं, क्योंकि जिसने लिस्टिंग पंजीकृत की वह ज़रूरी नहीं कि मशीन चलाने वाला भी वही हो। लिख लें कि आपने क्या मापा और कब, न कि लिस्टिंग ने क्या वादा किया था।

पेश की गई सेवा जाँचें, फिर ऑपरेटर

ट्रांसपोर्ट और पहचान तय हो जाने के बाद बचा हुआ सवाल ऑपरेटर का व्यवहार है, और उसके लिए अनुमान के बजाय दस्तावेज़ी सबूत चाहिए। गोपनीयता नीति, प्रकाशित संपर्क और पारदर्शिता सूचना आशय के सबूत हैं; इनमें से कोई भी व्यवहार साबित नहीं करता, और तीनों की अनुपस्थिति भी एक जानकारी है।

सार्वजनिक या स्वयंसेवकों द्वारा संचालित नोड के लिए मान लें कि एग्ज़िट साझा है और जो उसे चलाता है वह देख सकता है कि उससे क्या गुज़रता है। होस्टनाम नहीं, यही धारणा तय करनी चाहिए कि आप सुरंग से क्या भेजते हैं।

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

नाम को उसी काम के लिए रखें जिसमें वह अच्छा है: एंडपॉइंट ढूँढना और उससे जुड़ना। उससे आगे की हर बात अलग से परखनी होगी, उस दिन जब वह मायने रखती है।