Apa yang bisa dan tidak bisa dibuktikan oleh nama host VPN publik

Nama host dan bendera negara tampak seperti fakta tentang server, dan keduanya bukan fakta. Nama memetakan ke alamat yang bisa berubah, dan kata-kata di dalamnya dipilih oleh siapa pun yang mendaftarkannya. Protokol, lokasi keluar, dan perilaku pencatatan masing-masing memerlukan buktinya sendiri. Mulailah dari alamat yang benar-benar diresolusi nama itu, lalu tentukan apa yang masih tidak diketahui.

Nama teresolusi, dan tidak ada hal lain yang tuntas

Nama host adalah penunjuk di DNS, dan catatan di belakangnya bisa berbeda menurut resolver, menurut waktu dalam hari, dan menurut keluarga alamat yang disukai klien. Dua orang yang membaca entri direktori yang sama bisa secara sah mencapai mesin yang berbeda. Nama memberi tahu apa yang harus diminta, bukan apa yang akan menjawab.

Hasil pencarian juga berubah tanpa pemberitahuan, yang penting ketika profil mematok alamat alih-alih nama. Profil yang menanamkan alamat lama terus gagal setelah operator memindahkan layanan, dan kegagalan itu tampak seperti port yang diblokir. Simpan alamat hasil resolusi di samping profil agar perbandingan nanti punya garis dasar. Tidak satu pun dari itu mengatakan siapa yang menjalankan ujung lainnya.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport dan identitas adalah pertanyaan terpisah

Halaman web terbuka pada nama host menguji satu pendengar pada satu port. OpenVPN, IPsec, dan SSTP mendengarkan di tempat lain, pada port dan protokolnya sendiri, jadi server web yang dapat dijangkau tidak mengatakan apa pun tentangnya.

Entri direktori dan profil harus sepakat soal transport, port, dan kredensial. Identitas diverifikasi oleh rantai sertifikat atau sidik jari kunci rekanan yang dipakai untuk mengonfigurasi klien, bukan oleh ejaan nama host. Nama yang memuat kata proyek yang familiar hanya membuktikan bahwa seseorang mendaftarkannya. Baca sertifikat yang disajikan layanan dan bandingkan penerbit serta subjek dengan yang diharapkan profil.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Kata negara bukan audit lokasi

Label jp atau de dalam direktori adalah pendaftaran, dan basis data geolokasi IP cukup sering berbeda sehingga keduanya tidak layak dianggap sebagai kebenaran mutlak. Hosting bersama, anycast, dan salah konfigurasi biasa semuanya menggeser lokasi yang teramati menjauh dari label.

Uji praktisnya adalah jalur aplikasi itu sendiri: alamat mana yang dicapainya, dan apa yang ditunjukkan pemeriksaan alamat keluar dari dalam sesi. Alamat keluar yang teramati adalah sifat rute pada saat itu, bukan jaminan yang melekat pada nama. Direktori sukarelawan menambah satu lapisan lagi, karena orang yang mendaftarkan entri belum tentu orang yang mengoperasikan mesinnya. Catat apa yang Anda ukur dan kapan, bukan apa yang dijanjikan entri itu.

Periksa layanan yang ditawarkan, lalu operatornya

Setelah transport dan identitas tuntas, pertanyaan yang tersisa adalah perilaku operator, dan itu memerlukan bukti dokumenter, bukan kesimpulan. Kebijakan privasi, kontak yang diterbitkan, dan pemberitahuan transparansi adalah bukti niat; tidak satu pun membuktikan praktik, dan tidak adanya ketiganya juga merupakan informasi.

Untuk simpul publik atau yang dijalankan sukarelawan, anggap keluar itu dibagi dan siapa pun yang menjalankannya dapat melihat apa yang lewat. Asumsi itu, bukan nama host, yang harus menentukan apa yang Anda kirim melalui terowongan.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Pertahankan nama untuk hal yang memang dikuasainya: menemukan titik akhir dan menghubunginya. Segala hal di luar itu harus diuji terpisah, pada hari ketika hal itu penting.