Ko publiska VPN resursdatora nosaukums var un ko nevar pierādīt

Resursdatoru nosaukumi un valstu karodziņi izskatās kā fakti par serveri, un neviens no tiem tāds nav. Nosaukums norāda uz adresēm, kas var mainīties, un vārdus tajā izvēlējās tas, kurš to reģistrēja. Protokolam, izejas vietai un žurnāla uzvedībai katram vajadzīgs savs pierādījums. Sāciet ar to, uz ko nosaukums patiešām atrisinās, un pēc tam izlemiet, kas vēl nav zināms.

Nosaukums atrisinās, un vairāk nekas nav noskaidrots

Resursdatora nosaukums ir rādītājs DNS, un ieraksti aiz tā var atšķirties atkarībā no atrisinātāja, no diennakts laika un no adrešu saimes, kuru klients dod priekšroku. Divi cilvēki, kas lasa vienu un to pašu kataloga ierakstu, var pilnīgi likumīgi nonākt pie dažādām mašīnām. Nosaukums pasaka, ko pieprasīt, nevis kas atbildēs.

Arī meklēšanas rezultāti mainās bez paziņojuma, kas ir svarīgi, ja profils fiksē adresi, nevis nosaukumu. Profils, kurā vecā adrese ir iekļauta cieti, turpina neizdoties pēc tam, kad operators pārvieto pakalpojumu, un kļūme izskatās kā bloķēts ports. Glabājiet atrisinātās adreses blakus profilam, lai vēlākam salīdzinājumam būtu pamats. Nekas no tā nepasaka, kas pārvalda otru galu.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transports un identitāte ir atsevišķi jautājumi

Atvērta tīmekļa lapa resursdatora nosaukumā pārbauda vienu klausītāju vienā portā. OpenVPN, IPsec un SSTP klausās citur, savos portos un protokolos, tāpēc sasniedzams tīmekļa serveris par tiem neko nepasaka.

Kataloga ierakstam un profilam jāsaskan transportā, portā un akreditācijas datos. Identitāte tiek pārbaudīta ar sertifikātu ķēdi vai pretējās puses atslēgas nospiedumu, ar kuru klients tika konfigurēts, nevis ar resursdatora nosaukuma rakstību. Nosaukums, kurā ir pazīstams projekta vārds, pierāda tikai to, ka kāds to reģistrēja. Izlasiet sertifikātu, ko pakalpojums uzrāda, un salīdziniet izdevēju un subjektu ar to, ko profils sagaida.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Valstu vārdi nav atrašanās vietas audits

Marķējums jp vai de katalogā ir reģistrācija, un IP ģeolokācijas datubāzes pietiekami bieži atšķiras, lai nevienu no tām neuzskatītu par absolūtu patiesību. Koplietotais mitinājums, anycast un vienkārša nepareiza konfigurācija visi novirza novēroto vietu prom no marķējuma.

Praktiskais tests ir pašas lietotnes ceļš: kādu adresi tā sasniedz un ko rāda izejas adreses pārbaude no sesijas iekšpuses. Novērotā izejas adrese ir maršruta īpašība tajā brīdī, nevis nosaukumam piesaistīta garantija. Brīvprātīgo katalogi pievieno vēl vienu slāni, jo persona, kas reģistrēja ierakstu, ne vienmēr ir tā, kas pārvalda mašīnu. Pierakstiet, ko jūs izmērījāt un kad, nevis to, ko ieraksts solīja.

Pārbaudiet piedāvāto pakalpojumu, tad operatoru

Kad transports un identitāte ir noskaidroti, paliek jautājums par operatora uzvedību, un tam vajadzīgi dokumentāri pierādījumi, nevis minējumi. Privātuma politika, publicēts kontakts un pārskatāmības paziņojums ir nodoma pierādījumi; neviens no tiem nepierāda praksi, un visu trīs neesamība arī ir informācija.

Publiskam vai brīvprātīgo pārvaldītam mezglam pieņemiet, ka izeja ir koplietota un ka tas, kurš to pārvalda, redz, kas tai iet cauri. Šim pieņēmumam, nevis resursdatora nosaukumam, jāizlemj, ko jūs sūtāt pa tuneli.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Paturiet nosaukumu tam, kam tas ir labs: galapunkta atrašanai un savienošanai ar to. Viss pārējais ir jāpārbauda atsevišķi tajā dienā, kad tas ir svarīgi.