공용 VPN 호스트 이름이 증명할 수 있는 것과 없는 것

호스트 이름과 국기는 서버에 대한 사실처럼 보이지만, 둘 다 사실이 아닙니다. 이름은 바뀔 수 있는 주소를 가리키며, 그 안의 단어는 등록한 사람이 고른 것입니다. 프로토콜, 출구 위치, 로그 처리 방식은 각각 자신만의 증거가 필요합니다. 이름이 실제로 무엇으로 해석되는지부터 시작하고, 그다음 무엇이 아직 알려지지 않았는지 정하십시오.

이름이 해석될 뿐, 다른 것은 확정되지 않는다

호스트 이름은 DNS 안의 포인터이며, 그 뒤의 레코드는 리졸버에 따라, 하루 중 시간에 따라, 클라이언트가 선호하는 주소 패밀리에 따라 달라질 수 있습니다. 같은 디렉터리 항목을 읽는 두 사람이 정당하게 서로 다른 기계에 도달할 수 있습니다. 이름은 무엇을 요청할지 알려줄 뿐, 무엇이 응답할지는 알려주지 않습니다.

조회 결과도 예고 없이 바뀌는데, 프로필이 이름 대신 주소를 고정할 때 이것이 중요합니다. 옛 주소를 하드코딩한 프로필은 운영자가 서비스를 옮긴 뒤에도 계속 실패하며, 그 실패는 차단된 포트처럼 보입니다. 해석된 주소를 프로필 옆에 두면 나중 비교에 기준선이 생깁니다. 그 어느 것도 반대편을 누가 운영하는지는 말하지 않습니다.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

전송과 신원은 별개의 질문

호스트 이름에서 열리는 웹 페이지는 한 포트의 리스너 하나만 시험합니다. OpenVPN, IPsec, SSTP는 각자의 포트와 프로토콜로 다른 곳에서 대기하므로, 접속되는 웹 서버는 그것들에 대해 아무것도 말하지 않습니다.

디렉터리 항목과 프로필은 전송 방식, 포트, 자격 증명에서 일치해야 합니다. 신원은 클라이언트가 구성된 인증서 체인이나 상대 키 지문으로 검증되며, 호스트 이름의 철자로 검증되지 않습니다. 익숙한 프로젝트 단어가 들어간 이름은 누군가 그것을 등록했다는 것만 증명합니다. 서비스가 제시하는 인증서를 읽고 발급자와 주체를 프로필이 기대하는 것과 비교하십시오.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

국가 단어는 위치 감사가 아니다

디렉터리의 jp나 de 레이블은 등록일 뿐이며, IP 지리 위치 데이터베이스는 서로 자주 어긋나므로 어느 쪽도 절대적 진실로 다룰 수 없습니다. 공유 호스팅, 애니캐스트, 단순한 설정 오류는 모두 관측된 위치를 레이블에서 멀어지게 합니다.

실용적 시험은 애플리케이션 자체의 경로, 즉 어느 주소에 도달하는지와 세션 내부에서 출구 주소 확인이 무엇을 보여 주는지입니다. 관측된 출구 주소는 그 순간 경로의 속성이며, 이름에 붙은 보장이 아닙니다. 자원봉사 디렉터리는 항목을 등록한 사람이 그 기계를 운영하는 사람과 같을 필요는 없기 때문에 한 겹을 더합니다. 무엇을 언제 측정했는지 적어 두고, 항목이 약속한 것을 적지 마십시오.

제공되는 서비스를 확인하고, 그다음 운영자를

전송과 신원이 확정된 뒤 남는 질문은 운영자의 행동이며, 그것에는 추론이 아니라 문서 증거가 필요합니다. 개인정보 처리방침, 공개된 연락처, 투명성 공지는 의도의 증거이지만, 어느 것도 실제 관행을 증명하지 않으며, 셋 모두 없다는 것도 정보입니다.

공용 노드나 자원봉사자가 운영하는 노드라면 출구가 공유되고, 그것을 운영하는 사람이 지나가는 것을 볼 수 있다고 가정하십시오. 터널로 무엇을 보낼지는 호스트 이름이 아니라 그 가정이 결정해야 합니다.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

이름은 잘하는 일, 즉 엔드포인트를 찾고 연결하는 일에 쓰십시오. 그 밖의 모든 것은 그것이 중요한 날에 따로 시험해야 합니다.