Ինչ կարող է ապացուցել հանրային VPN հոսթանունը և ինչ ոչ

Հոսթանուններն ու երկրների դրոշները թվում են որպես սերվերի մասին փաստեր, և դրանցից ոչ մեկը այդպիսին չէ։ Անունը ցույց է տալիս հասցեներ, որոնք կարող են փոխվել, իսկ դրա ներսի բառերն ընտրել է նա, ով գրանցել է այն։ Արձանագրությունը, ելքի տեղը և մատյանավորման վարքը յուրաքանչյուրն իր ապացույցի կարիքն ունի։ Սկսեք նրանից, թե ինչի է անունն իրականում լուծվում, ապա որոշեք, թե ինչն է դեռ անհայտ։

Անունը լուծվում է, և ուրիշ ոչինչ որոշված չէ

Հոսթանունը ցուցիչ է DNS-ում, և դրա հետևի գրառումները կարող են տարբերվել ըստ լուծիչի, ըստ օրվա ժամի և ըստ այն հասցեների ընտանիքի, որը նախընտրում է հաճախորդը։ Նույն գրացուցակի գրառումը կարդացող երկու մարդ կարող են օրինականորեն հասնել տարբեր մեքենաների։ Անունը ասում է, թե ինչ պահանջել, ոչ թե ինչ կպատասխանի։

Որոնման արդյունքները նույնպես փոխվում են առանց ծանուցման, ինչը կարևոր է, երբ պրոֆիլը ամրացնում է հասցեն անվան փոխարեն։ Այն պրոֆիլը, որում հին հասցեն կոշտ ներդրված է, շարունակում է ձախողվել այն բանից հետո, երբ օպերատորը տեղափոխում է ծառայությունը, և ձախողումը նման է արգելափակված պորտի։ Լուծված հասցեները պահեք պրոֆիլի կողքին, որպեսզի հետագա համեմատությունն ունենա հիմք։ Այս ամենից ոչինչ չի ասում, թե ով է կառավարում մյուս ծայրը։

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Տրանսպորտը և ինքնությունը առանձին հարցեր են

Հոսթանունով բացված վեբ էջը ստուգում է մեկ լսող մեկ պորտում։ OpenVPN-ը, IPsec-ը և SSTP-ն լսում են այլ տեղերում՝ իրենց պորտերով և արձանագրություններով, ուստի հասանելի վեբ սերվերը նրանց մասին ոչինչ չի ասում։

Գրացուցակի գրառումը և պրոֆիլը պետք է համաձայնեն տրանսպորտի, պորտի և հավատարմագրերի շուրջ։ Ինքնությունը ստուգվում է վկայագրերի շղթայով կամ զուգընկերոջ բանալու մատնահետքով, որով կարգավորվել է հաճախորդը, ոչ թե հոսթի ուղղագրությամբ։ Ծանոթ նախագծային բառ պարունակող անունը ապացուցում է միայն, որ ինչ-որ մեկը գրանցել է այն։ Կարդացեք այն վկայագիրը, որը ներկայացնում է ծառայությունը, և համեմատեք թողարկողն ու սուբյեկտը նրա հետ, ինչ սպասում է պրոֆիլը։

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Երկրների բառերը տեղադիրքի աուդիտ չեն

Գրացուցակում jp կամ de պիտակը գրանցում է, և IP աշխարհագրական դիրքի տվյալների բազաները բավական հաճախ են հակասում, որ դրանցից ոչ մեկը արժանի չէ բացարձակ ճշմարտություն համարվելու։ Կիսված հոսթինգը, anycast-ը և պարզ սխալ կարգավորումը բոլորը դիտարկված տեղը հեռացնում են պիտակից։

Գործնական փորձարկումը հավելվածի սեփական ուղին է՝ թե որ հասցեին է հասնում, և ինչ է ցույց տալիս ելքի հասցեի ստուգումը նստաշրջանի ներսից։ Դիտարկված ելքի հասցեն տվյալ պահին երթուղու հատկությունն է, ոչ թե անվանը կապված երաշխիք։ Կամավորական գրացուցակները ավելացնում են ևս մեկ շերտ, որովհետև ով գրանցել է ցանկը, պարտադիր չէ, որ նա էլ է շահագործում մեքենան։ Գրեք, թե ինչ եք չափել և երբ, այլ ոչ թե ինչ էր խոստացել ցանկը։

Ստուգեք առաջարկվող ծառայությունը, ապա օպերատորին

Երբ տրանսպորտն ու ինքնությունը պարզված են, մնացած հարցը օպերատորի վարքն է, և դա պահանջում է փաստաթղթային ապացույց, ոչ թե ենթադրություն։ Գաղտնիության քաղաքականությունը, հրապարակված կապը և թափանցիկության ծանուցումը մտադրության ապացույց են՝ դրանցից ոչ մեկը չի ապացուցում պրակտիկան, և երեքի բացակայությունը նույնպես տեղեկություն է։

Հանրային կամ կամավորների կողմից ղեկավարվող հանգույցի դեպքում ենթադրեք, որ ելքը կիսված է, և ով ղեկավարում է այն, կարող է տեսնել, թե ինչ է անցնում դրա միջով։ Այս ենթադրությունը, ոչ թե հոսթանունը, պետք է որոշի, թե ինչ եք ուղարկում թունելով։

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Պահեք անունը նրա համար, ինչում լավ է՝ վերջնակետ գտնել և միանալ դրան։ Ամեն ինչ դրանից այն կողմ պետք է առանձին փորձարկվի, այն օրը, երբ դա կարևոր է։