Apa yang boleh dan tidak boleh dibuktikan oleh nama hos VPN awam

Nama hos dan bendera negara kelihatan seperti fakta tentang pelayan, dan kedua-duanya bukan fakta. Nama memetakan kepada alamat yang boleh berubah, dan perkataan di dalamnya dipilih oleh sesiapa yang mendaftarkannya. Protokol, lokasi keluar dan tingkah laku pencatatan masing-masing memerlukan buktinya sendiri. Mulakan dengan apa yang sebenarnya diselesaikan oleh nama itu, kemudian tentukan apa yang masih tidak diketahui.

Nama diselesaikan, dan tiada apa-apa lagi yang diputuskan

Nama hos ialah penunjuk dalam DNS, dan rekod di belakangnya boleh berbeza mengikut penyelesai, mengikut waktu hari dan mengikut keluarga alamat yang digemari klien. Dua orang yang membaca entri direktori yang sama boleh mencapai mesin yang berbeza secara sah. Nama memberitahu apa yang perlu diminta, bukan apa yang akan menjawab.

Hasil carian juga berubah tanpa pemberitahuan, yang penting apabila profil menyemat alamat dan bukannya nama. Profil yang mengekod alamat lama secara keras terus gagal selepas pengendali memindahkan perkhidmatan, dan kegagalan itu kelihatan seperti port yang disekat. Simpan alamat yang telah diselesaikan di sebelah profil supaya perbandingan kemudian mempunyai garis dasar. Tiada satu pun daripada itu mengatakan siapa yang mengendalikan hujung yang lain.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Pengangkutan dan identiti ialah soalan berasingan

Halaman web terbuka pada nama hos menguji satu pendengar pada satu port. OpenVPN, IPsec dan SSTP mendengar di tempat lain, pada port dan protokol mereka sendiri, jadi pelayan web yang boleh dicapai tidak mengatakan apa-apa tentangnya.

Entri direktori dan profil mesti bersetuju tentang pengangkutan, port dan kelayakan. Identiti disahkan oleh rantaian sijil atau cap jari kunci rakan yang digunakan untuk mengkonfigurasi klien, bukan oleh ejaan nama hos. Nama yang mengandungi perkataan projek yang biasa hanya membuktikan bahawa seseorang telah mendaftarkannya. Baca sijil yang dikemukakan oleh perkhidmatan dan bandingkan pengeluar serta subjek dengan apa yang dijangkakan oleh profil.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Perkataan negara bukan audit lokasi

Label jp atau de dalam direktori ialah pendaftaran, dan pangkalan data geolokasi IP cukup kerap tidak bersetuju sehingga kedua-duanya tidak wajar dianggap sebagai kebenaran mutlak. Pengehosan dikongsi, anycast dan salah konfigurasi biasa semuanya mengalihkan lokasi yang diperhatikan jauh dari label.

Ujian praktikal ialah laluan aplikasi itu sendiri: alamat mana yang dicapainya, dan apa yang ditunjukkan oleh semakan alamat keluar dari dalam sesi. Alamat keluar yang diperhatikan ialah sifat laluan pada saat itu, bukan jaminan yang terikat pada nama. Direktori sukarelawan menambah satu lagi lapisan, kerana orang yang mendaftarkan penyenaraian tidak semestinya orang yang mengendalikan mesin. Catat apa yang anda ukur dan bila, bukan apa yang dijanjikan oleh penyenaraian.

Periksa perkhidmatan yang ditawarkan, kemudian pengendali

Setelah pengangkutan dan identiti diputuskan, soalan yang tinggal ialah tingkah laku pengendali, dan itu memerlukan bukti dokumentari dan bukan andaian. Dasar privasi, hubungan yang diterbitkan dan notis ketelusan ialah bukti niat; tiada satu pun membuktikan amalan, dan ketiadaan ketiga-tiganya juga merupakan maklumat.

Untuk nod awam atau yang dikendalikan oleh sukarelawan, anggap keluar itu dikongsi dan sesiapa yang mengendalikannya boleh melihat apa yang melaluinya. Andaian itu, bukan nama hos, harus menentukan apa yang anda hantar melalui terowong.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Simpan nama itu untuk apa yang ia pandai: mencari titik akhir dan menyambung kepadanya. Segala-galanya di luar itu mesti diuji secara berasingan, pada hari ia penting.