Hvað opinbert VPN-hýsilsheiti getur sannað og hvað ekki

Hýsilsheiti og þjóðfánar líta út eins og staðreyndir um netþjón, og hvort tveggja er það ekki. Heiti vísar á vistföng sem geta breyst, og orðin í því valdi sá sem skráði það. Samskiptareglan, útgöngustaðurinn og skráningaratferlið þurfa hvert sitt sönnunargagnið. Byrjaðu á því sem heitið leysist í raun í, og ákvarðaðu síðan hvað er enn óþekkt.

Heitið leysist, og ekkert annað er á hreinu

Hýsilsheiti er bendir í DNS, og færslurnar bak við það geta verið mismunandi eftir leysi, eftir tíma dags og eftir þeim vistfangafjölskyldum sem biðlarinn kýs. Tveir sem lesa sömu skráarfærsluna geta með fullum rétti náð mismunandi vélum. Heitið segir þér hvað á að biðja um, ekki hvað svarar.

Uppflettingarniðurstöður breytast líka án tilkynningar, sem skiptir máli þegar snið festir vistfang í stað heitis. Snið sem hefur gamla vistfangið harðkóðað heldur áfram að mistakast eftir að rekstraraðilinn flytur þjónustuna, og mistakið lítur út eins og lokaður port. Haltu leystum vistföngum við hlið sniðsins svo síðari samanburður hafi grunnlínu. Ekkert af þessu segir neitt um hver rekur hinn endann.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Flutningur og auðkenni eru aðskildar spurningar

Opin vefsíða á hýsilsheitinu prófar einn hlustanda á einu porti. OpenVPN, IPsec og SSTP hlusta annars staðar, á sínum portum og samskiptareglum, svo aðgengilegur vefþjónn segir ekkert um þau.

Skráarfærslan og sniðið verða að vera sammála um flutning, port og skírteini. Auðkenni er staðfest með vottorðakeðjunni eða fingrafari jafningjalykilsins sem biðlarinn var stilltur með, ekki með stafsetningu hýsilsheitisins. Heiti sem inniheldur þekkt verkefnisorð sannar aðeins að einhver skráði það. Lestu vottorðið sem þjónustan leggur fram og berðu útgefanda og viðfang saman við það sem sniðið býst við.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Landsheiti eru ekki staðsetningarendurskoðun

Merki eins og jp eða de í skrá er skráning, og IP-staðsetningargagnagrunnar eru nógu oft ósammála til að hvorugt eigi að teljast fullkomin sannleikur. Sameiginleg hýsing, anycast og einföld rangstilling færa öll þann stað sem sést frá merkinu.

Hagnýta prófið er eigin slóð forritsins: hvaða vistfang það nær og hvað útgönguvistfangapróf sýnir innan úr lotunni. Séð útgönguvistfang er eiginleiki slóðarinnar á þeirri stundu, ekki ábyrgð sem heitinu fylgir. Sjálfboðaskrár bæta enn einu lagi við, því sá sem skráði færslu þarf ekki að vera sá sem rekur vélina. Skrifaðu niður hvað þú mældir og hvenær, frekar en hvað færslan lofaði.

Athugaðu þjónustuna sem boðið er, svo rekstraraðilann

Þegar flutningur og auðkenni eru á hreinu er spurningin sem eftir er framferði rekstraraðilans, og það krefst skjalfestra gagna en ekki ályktunar. Persónuverndarstefna, birt tengilið og gagnsæistilkynning eru sönnun um ásetning; ekkert þeirra sannar framkvæmdina, og fjarvera allra þriggja er líka upplýsing.

Fyrir opinbert eða sjálfboðaliðarekstrar hnút skaltu gera ráð fyrir að útgöngunni sé deilt og að sá sem rekur hana sjái hvað fer í gegnum hana. Sú forsenda, ekki hýsilsheitið, ætti að ráða því hvað þú sendir um göngin.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Haltu heitinu fyrir það sem það er gott í: að finna endapunkt og tengjast honum. Allt þar fyrir utan verður að prófa sérstaklega, á þeim degi sem það skiptir máli.