VPN Gate en je eigen SoftEther-server zijn niet hetzelfde
Hetzelfde protocol, dezelfde client, een andere beheerder. Zie wie het eindpunt publiceert, welk logbeleid geldt en waarom een openbaar knooppunt geen privétoegang is.
Een team installeert een SoftEther-server, exporteert een verbindingsinstelling en later vindt iemand hetzelfde protocol in een openbare VPN Gate-map en vraagt of het bedrijf nu een openbare relay draait. De verwarring is begrijpelijk: de client ziet er identiek uit, het protocol is identiek en beide verschijnen in hetzelfde soort verbindingslijst. Het onderscheid is niet technisch, het is operationeel. Een server die je uitrolt is van wie hem heeft uitgerold, en VPN Gate is een apart vrijwilligersproject dat zijn eigen eindpunten publiceert.
Dezelfde client, twee verschillende beheerders
Drie vragen scheiden de twee uitrollingen, en geen ervan wordt door de software beantwoord. Het is de moeite waard ze op te schrijven voordat iemand clients vergelijkt.
| Question | Your SoftEther server | A VPN Gate volunteer node |
|---|---|---|
| Who runs it | you, or your hosting provider on your behalf | an anonymous volunteer |
| Who may connect | accounts you create | anyone using the public directory |
| Who writes the logging policy | you | the volunteer, within the project's published rules |
De middelste rij beslecht de meeste discussies. Op je eigen server is de lijst met accounts iets wat je beheert, dus lidmaatschap betekent iets; op een vrijwillig knooppunt is elke directorygebruiker een potentiële gelijke op hetzelfde eindpunt. Die rij kan ook niet uit de client worden afgeleid, en daarom kunnen twee mensen met identieke software heel verschillende netwerken beschrijven.
Lees wie het eindpunt heeft gepubliceerd
Begin bij de bron van de verbindingsinstelling. Een mapitem met een vrijwillige hostnaam, een roterend adres en een openbare lijst is een ander object dan een configuratie die je beheerder met je eigen hostnaam en certificaat heeft geëxporteerd. Als het eindpunt in een openbare lijst verschijnt, behandel het dan als openbaar, want dat is precies wat de lijst betekent. Niets aan het protocol verandert het antwoord.
Een mapitem is ook geen administratieve toegang. Verbinding kunnen maken met een knooppunt zegt niets over de beheerinterface, en beheerdersreferenties proberen op een vrijwillige host is zowel ineffectief als ongepast. Gebruik de verbindingsmethode die de lijst biedt en niets meer.
Logging volgt de beheerder, niet het protocol
SoftEther kan als software verbindingen loggen, en de beheerder van een server beslist wat wordt bewaard en hoe lang. VPN Gate publiceert zijn eigen pagina's over het vrijwilligersmodel en over logging tegen misbruik, en die pagina's zijn de enige juiste uitspraak over dat project. Ze lezen is iets anders dan aannemen dat welke SoftEther-dienst dan ook niets bewaart, wat een bewering is die de software niet kan ondersteunen.
Voor je eigen server komt de equivalente uitspraak uit je configuratie en je bewaarbeleid. Dat kan meer logging zijn dan een openbaar knooppunt bewaart, of minder, en het is in elk geval jouw verantwoordelijkheid. Wie zegt dat het protocol anonimiteit garandeert, beschrijft een hoop in plaats van een ontwerp.
Een openbare uitgang is geen lidmaatschap van een privénetwerk
De praktische fout ontstaat wanneer iemand een interne dienst nodig heeft en naar een gratis openbare uitgang grijpt in plaats van de gateway van het bedrijf. Een openbaar knooppunt kan het adres veranderen waar je verkeer vandaan lijkt te komen. Het kan je geen lid maken van een netwerk waartoe je nooit toegang hebt gekregen, en geen enkele clientinstelling verandert dat. De bereikbare verzameling wordt aan de andere kant gedefinieerd, door wie de gateway beheert.
Het beveiligingsbeleid hoort hier ook. Verkeer via een onbekende vrijwillige host is onderworpen aan de praktijken van die host, en de vertrouwensbeslissing is categorisch anders dan bij verkeer via een gateway die je organisatie beheert en controleert. De gratis uitgang kiezen verplaatst het vertrouwen, het haalt het niet weg.
Bepaal wat je feitelijk uitrolt
Drie vragen beslechten het. Wie gaat het eindpunt beheren? Wie mag er verbinding mee maken? Wiens log- en bewaarbeleid geldt voor het verkeer? Als het antwoord op een van die vragen 'wie het vindt' is, is de uitrol openbaar, wat het protocolbestand ook zegt.
Schrijf de antwoorden naast de uitrol, inclusief de beheerder, de toegestane gebruikers en het bewaarbeleid. Wanneer de volgende persoon hetzelfde protocol in een openbare map vindt, is die notitie de hele uitleg, en ze bespaart de discussie of het bedrijf een relay draait.