VPN Gate と自前の SoftEther サーバーは同じものではない

あるチームが SoftEther サーバーを導入して接続設定をエクスポートし、後になって誰かが同じプロトコルを公開 VPN Gate ディレクトリで見つけ、会社が今は公開リレーを運営しているのかと尋ねる。混乱は無理もない：クライアントは同じに見え、プロトコルも同じで、どちらも同じ種類の接続一覧に現れる。違いは技術ではなく運用にある。あなたが配備したサーバーは配備した人のものであり、VPN Gate は独自のエンドポイントを公開する別のボランティア事業だ。

同じクライアント、二つの運営者

三つの問いが二つの配備を分けるが、そのどれもソフトウェアが答えるものではない。誰かがクライアントを比較する前に書き留めておく価値がある。

真ん中の行がほとんどの議論を決める。自分のサーバーではアカウント一覧は自分が管理するものなので、成員であることには意味があり、ボランティアノードではディレクトリの利用者全員が同じエンドポイント上の潜在的ピアだ。この行もクライアントから推測することはできず、だからこそ同じソフトウェアを持つ二人がまったく別のネットワークを語ることがある。

エンドポイントを誰が公開したかを読む

接続設定の出所から始める。ボランティアのホスト名、変わるアドレス、公開一覧を伴うディレクトリ項目は、管理者があなた自身のホスト名と証明書でエクスポートした設定とは別のものだ。エンドポイントが公開一覧に現れるなら、公開として扱う、一覧が意味するのはまさにそれだからだ。プロトコルの何も答えを変えない。

ディレクトリ項目は管理アクセスでもない。ノードに接続できることはその管理インターフェースについて何も語らず、ボランティアホストで管理資格情報を試すのは無効であり不適切でもある。一覧が提供する接続方法だけを使い、それ以上はしない。

ログはプロトコルではなく運営者に従う

SoftEther はソフトウェアとして接続を記録でき、サーバーの管理者が何をどれだけ保持するかを決める。VPN Gate はボランティアモデルと不正利用対策のログについての自前のページを公開しており、そのページだけがその事業についての正確な説明だ。それを読むことは、SoftEther ベースのどのサービスも何も保持しないと仮定するのとは別の行為であり、その仮定はソフトウェアが支えられない主張だ。

自分のサーバーについては、同等の説明は自分の設定と保持方針から来る。公開ノードより多くのログを保持するかもしれないし、少ないかもしれず、いずれにせよあなたの責任だ。プロトコルが匿名性を保証すると言う人は、設計ではなく希望を語っている。

公開出口はプライベートネットワークの成員ではない

実際の失敗は、誰かが社内サービスを必要として会社のゲートウェイではなく無料の公開出口に手を伸ばすときに起きる。公開ノードはあなたの通信がどこから来たように見えるかのアドレスを変えられる。決してアクセスを許されなかったネットワークの成員にすることはできず、クライアント設定でもそれは変わらない。到達できる集合は向こう側で、ゲートウェイを運営する者が定義する。

セキュリティ方針の置き場所もここだ。未知のボランティアホストを通る通信はそのホストの慣行に従い、信頼の判断は組織が運営し監査するゲートウェイを通る通信とは根本的に違う。無料の出口を選ぶことは信頼を移すのであって、取り除くのではない。

実際に何を配備しているかを決める

三つの問いが決める。誰がエンドポイントを運営するのか。誰に接続が許されるのか。どのログと保持の方針が通信に適用されるのか。どれかの答えが「見つけた人」なら、プロトコルファイルが何と言おうと配備は公開だ。

答えを配備のそばに書き、運営者、許可された利用者、保持方針を含める。次の人が公開ディレクトリで同じプロトコルを見つけたとき、そのメモが説明のすべてになり、会社がリレーを運営しているかどうかの議論を省く。