VPN Gate e il tuo server SoftEther non sono la stessa cosa
Stesso protocollo, stesso client, operatore diverso. Guarda chi pubblica l'endpoint, quale politica di registrazione si applica e perché un nodo pubblico non è accesso privato.
Un team installa un server SoftEther, esporta un'impostazione di connessione e più tardi qualcuno trova lo stesso protocollo in una directory pubblica di VPN Gate e chiede se l'azienda ora gestisca un relè pubblico. La confusione è comprensibile: il client sembra identico, il protocollo è identico e entrambi compaiono nello stesso tipo di elenco di connessioni. La distinzione non è tecnica, è operativa. Un server che distribuisci appartiene a chi lo ha distribuito, e VPN Gate è un progetto volontario separato che pubblica endpoint propri.
Stesso client, due operatori diversi
Tre domande separano i due deployment, e nessuna di esse è risolta dal software. Vale la pena scriverle prima che qualcuno confronti i client.
| Question | Your SoftEther server | A VPN Gate volunteer node |
|---|---|---|
| Who runs it | you, or your hosting provider on your behalf | an anonymous volunteer |
| Who may connect | accounts you create | anyone using the public directory |
| Who writes the logging policy | you | the volunteer, within the project's published rules |
La riga centrale risolve la maggior parte delle discussioni. Sul tuo server l'elenco degli account è qualcosa che controlli, quindi l'appartenenza significa qualcosa; su un nodo volontario ogni utente della directory è un potenziale pari sullo stesso endpoint. Quella riga non può essere dedotta dal client, ed è per questo che due persone con software identico possono descrivere reti completamente diverse.
Leggi chi ha pubblicato l'endpoint
Inizia dalla fonte dell'impostazione di connessione. Una voce di directory con un nome host volontario, un indirizzo rotante e un elenco pubblico è un oggetto diverso da una configurazione che il tuo amministratore ha esportato con il tuo nome host e certificato. Se l'endpoint compare in un elenco pubblico, trattalo come pubblico, perché è esattamente ciò che significa l'elenco. Nulla nel protocollo cambia la risposta.
Una voce di directory non è nemmeno accesso amministrativo. Potersi connettere a un nodo non dice nulla sulla sua interfaccia di gestione, e provare credenziali amministrative su un host volontario è sia inefficace che inappropriato. Usa il metodo di connessione offerto dall'elenco e nulla di più.
La registrazione segue l'operatore, non il protocollo
SoftEther come software può registrare le connessioni, e l'amministratore di un server decide cosa viene conservato e per quanto tempo. VPN Gate pubblica le proprie pagine sul modello volontario e sulla registrazione anti-abuso, e quelle pagine sono l'unica dichiarazione accurata su quel progetto. Leggerle è un atto diverso dal presumere che qualsiasi servizio basato su SoftEther non conservi nulla, un'affermazione che il software non può sostenere.
Per il tuo server, l'affermazione equivalente deriva dalla tua configurazione e dalla tua politica di conservazione. Può essere più registrazione di quella conservata da un nodo pubblico, o meno, ed è comunque tua responsabilità. Chi dice che il protocollo garantisce l'anonimato descrive una speranza, non un progetto.
Un'uscita pubblica non è appartenenza a una rete privata
Il fallimento pratico arriva quando qualcuno ha bisogno di un servizio interno e si rivolge a un'uscita pubblica gratuita invece del gateway aziendale. Un nodo pubblico può cambiare l'indirizzo da cui sembra provenire il tuo traffico. Non può renderti membro di una rete a cui non ti è mai stato concesso l'accesso, e nessuna impostazione del client lo cambia. L'insieme raggiungibile è definito dall'altro lato, da chi gestisce il gateway.
Qui rientra anche la politica di sicurezza. Il traffico attraverso un host volontario sconosciuto è soggetto alle pratiche di quell'host, e la decisione di fiducia è categoricamente diversa da quella del traffico attraverso un gateway che la tua organizzazione gestisce e controlla. Scegliere l'uscita gratuita sposta la fiducia, non la elimina.
Decidi cosa stai davvero distribuendo
Tre domande lo risolvono. Chi gestirà l'endpoint? Chi può connettersi? Quale politica di registrazione e conservazione si applica al traffico? Se la risposta a una di esse è «chiunque lo trovi», il deployment è pubblico, qualunque cosa dica il file di protocollo.
Scrivi le risposte accanto al deployment, inclusi l'operatore, gli utenti consentiti e la politica di conservazione. Quando la prossima persona troverà lo stesso protocollo in una directory pubblica, quella nota sarà tutta la spiegazione, e risparmierà la discussione se l'azienda gestisca un relè.