Ką viešo VPN prieglobos pavadinimas gali ir ko negali įrodyti

Prieglobos pavadinimas nurodo galinį tašką ir nedaug ką daugiau. Jis neįrodo protokolo, išėjimo vietos ar operatoriaus saugojimo politikos bet kurią konkrečią dieną.

Prieglobos pavadinimai ir šalių vėliavos atrodo kaip faktai apie serverį, ir nė vienas iš jų nėra faktas. Pavadinimas nurodo adresus, kurie gali keistis, o žodžius jame pasirinko tas, kas jį užregistravo. Protokolui, išėjimo vietai ir žurnalo tvarkymui kiekvienam reikia savo įrodymo. Pradėkite nuo to, į ką pavadinimas iš tikrųjų išsprendžiamas, tada nuspręskite, kas dar nežinoma.

Pavadinimas išsprendžiamas, ir daugiau niekas neišspręsta

Prieglobos pavadinimas yra rodyklė DNS, o įrašai už jo gali skirtis pagal sprendiklį, pagal paros laiką ir pagal adresų šeimą, kurią klientas teikia pirmenybę. Du žmonės, skaitantys tą patį katalogo įrašą, gali visiškai teisėtai pasiekti skirtingas mašinas. Pavadinimas pasako, ko prašyti, o ne kas atsakys.

Paieškos rezultatai taip pat keičiasi be įspėjimo, o tai svarbu, kai profilis fiksuoja adresą, o ne pavadinimą. Profilis, kuriame senas adresas įrašytas kietai, ir toliau nepavyksta po to, kai operatorius perkelia paslaugą, o gedimas atrodo kaip užblokuotas prievadas. Laikykite išspręstus adresus šalia profilio, kad vėlesnis palyginimas turėtų atspirties tašką. Niekas iš to nepasako, kas valdo kitą galą.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transportas ir tapatybė yra atskiri klausimai

Atviras tinklalapis prieglobos pavadinime tikrina vieną klausytoją viename prievade. OpenVPN, IPsec ir SSTP klausosi kitur, savo prievaduose ir protokoluose, todėl pasiekiamas interneto serveris nieko apie juos nepasako.

Katalogo įrašas ir profilis turi sutarti dėl transporto, prievado ir prisijungimo duomenų. Tapatybė tikrinama sertifikatų grandine arba partnerio rakto pirštų atspaudu, su kuriuo buvo sukonfigūruotas klientas, o ne prieglobos pavadinimo rašyba. Pavadinimas su pažįstamu projekto žodžiu įrodo tik tai, kad kažkas jį užregistravo. Perskaitykite sertifikatą, kurį pateikia paslauga, ir palyginkite išdavėją bei subjektą su tuo, ko tikisi profilis.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Šalių žodžiai nėra vietos auditas

Žyma jp arba de kataloge yra registracija, o IP geolokacijos duomenų bazės pakankamai dažnai nesutaria, kad nė viena neturėtų būti laikoma absoliučia tiesa. Bendras prieglobimas, anycast ir paprasta neteisinga konfigūracija visi nutolina stebimą vietą nuo žymos.

Praktinis bandymas yra paties programos kelias: kokį adresą ji pasiekia ir ką rodo išėjimo adreso patikra iš sesijos vidaus. Stebimas išėjimo adresas yra maršruto savybė tuo momentu, o ne prie pavadinimo pritvirtinta garantija. Savanorių katalogai prideda dar vieną sluoksnį, nes įrašą užregistravęs asmuo nebūtinai yra tas, kuris valdo mašiną. Užsirašykite, ką išmatavote ir kada, o ne tai, ką žadėjo įrašas.

Patikrinkite siūlomą paslaugą, tada operatorių

Kai transportas ir tapatybė išspręsti, lieka operatoriaus elgesio klausimas, o tam reikia dokumentinių įrodymų, o ne spėjimų. Privatumo politika, paskelbtas kontaktas ir skaidrumo pranešimas yra ketinimo įrodymai; nė vienas jų neįrodo praktikos, o visų trijų nebuvimas taip pat yra informacija.

Viešo ar savanorių valdomo mazgo atveju manykite, kad išėjimas bendras ir kad jį valdantis asmuo mato, kas pro jį praeina. Ši prielaida, o ne prieglobos pavadinimas, turi lemti, ką siunčiate tuneliu.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Laikykite pavadinimą tam, kam jis geras: rasti galinį tašką ir prie jo prisijungti. Visa kita reikia tikrinti atskirai tą dieną, kai tai svarbu.

Susiję straipsniai