Kva eit offentleg VPN-vertsnamn kan og ikkje kan prova

Vertsnamn og nasjonalflagg ser ut som fakta om ein tenar, og ingen av delane er det. Eit namn peikar på adresser som kan endra seg, og orda i det vart valde av den som registrerte det. Protokoll, utgangsplassering og loggføringsatferd treng kvar sitt eige prov. Byrja med det namnet faktisk løyser til, og avgjer deretter kva som framleis er ukjent.

Namnet løyser, og ingenting anna er avgjort

Eit vertsnamn er ein peikar i DNS, og oppføringane bak det kan variera etter resolver, etter tid på dagen og etter adressefamilien klienten føretrekkjer. To personar som les same katalogoppføringa, kan heilt legitimt nå ulike maskinar. Namnet fortel kva du skal spørja om, ikkje kva som vil svara.

Også oppslagsresultat endrar seg utan varsel, noko som tel når ein profil låser ei adresse i staden for namnet. Ein profil som har den gamle adressa hardkoda, held fram med å feila etter at operatøren flyttar tenesta, og feilen ser ut som ein blokkert port. Ta vare på dei løyste adressene ved sida av profilen, slik at ei seinare samanlikning har ei grunnlinje. Ingenting av dette seier noko om kven som driv den andre enden.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport og identitet er separate spørsmål

Ei open nettside på vertsnamnet testar éin lyttar på éin port. OpenVPN, IPsec og SSTP lyttar andre stader, på sine eigne portar og protokollar, så ein tilgjengeleg webserver seier ingenting om dei.

Katalogoppføringa og profilen må vera samde om transport, port og påloggingsinformasjon. Identitet vert stadfesta av sertifikatkjeda eller fingeravtrykket til motpartsnøkkelen klienten vart konfigurert med, ikkje av stavemåten til vertsnamnet. Eit namn med eit kjent prosjektord provar berre at nokon registrerte det. Les sertifikatet tenesta legg fram, og samanlikn utferdar og subjekt med det profilen ventar.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Landsord er ikkje ein plasseringsrevisjon

Ei etikett som jp eller de i ein katalog er ei registrering, og IP-geolokaliseringsdatabasar er usamde ofte nok til at ingen av dei bør behandlast som absolutt sanning. Delt hosting, anycast og enkel feilkonfigurering flyttar alle den observerte plasseringa bort frå etiketten.

Den praktiske testen er den eigne vegen til applikasjonen: kva adresse han når, og kva ein utgangsadressekontroll viser frå innsida av økta. Ei observert utgangsadresse er ein eigenskap ved ruta i det augneblinken, ikkje ein garanti knytt til namnet. Frivillige katalogar legg til eit nytt lag, fordi den som registrerte ei oppføring, treng ikkje vera den som driv maskinen. Skriv ned kva du målte og når, i staden for kva oppføringa lova.

Kontroller tenesta som vert tilboden, deretter operatøren

Når transport og identitet er avgjort, er det attverande spørsmålet åtferda til operatøren, og det krev dokumentasjon framfor slutningar. Ei personvernerklæring, ein publisert kontakt og eit openheitsvarsel er prov på intensjon; ingen av dei provar praksisen, og fråværet av alle tre er også informasjon.

For ein offentleg eller frivillig driven node bør du anta at utgangen er delt, og at den som driv han, kan sjå kva som passerer. Den antakinga, ikkje vertsnamnet, bør avgjera kva du sender gjennom tunnelen.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Hald på namnet for det det er godt for: å finna eit endepunkt og kopla til det. Alt utover det må testast separat, på den dagen det betyr noko.