Ce poate și ce nu poate dovedi un nume de gazdă VPN public

Numele de gazdă și steagurile țărilor arată ca niște fapte despre un server, și niciunul dintre ele nu este. Un nume indică adrese care se pot schimba, iar cuvintele din el au fost alese de cel care l-a înregistrat. Protocolul, locația de ieșire și comportamentul de jurnalizare au nevoie fiecare de propria dovadă. Începeți cu ceea ce rezolvă numele de fapt, apoi decideți ce este încă necunoscut.

Numele se rezolvă, și nimic altceva nu este stabilit

Un nume de gazdă este un indicator în DNS, iar înregistrările din spatele lui pot diferi în funcție de resolver, de ora din zi și de familia de adrese preferată de client. Două persoane care citesc aceeași intrare de director pot ajunge în mod legitim la mașini diferite. Numele spune ce să cereți, nu ce va răspunde.

Și rezultatele căutării se schimbă fără anunț, ceea ce contează când un profil fixează o adresă în locul numelui. Un profil care are adresa veche codificată rigid continuă să eșueze după ce operatorul mută serviciul, iar eșecul arată ca un port blocat. Păstrați adresele rezolvate lângă profil, pentru ca o comparație ulterioară să aibă o bază. Nimic din toate acestea nu spune cine administrează celălalt capăt.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transportul și identitatea sunt întrebări separate

O pagină web deschisă pe numele de gazdă testează un singur ascultător pe un singur port. OpenVPN, IPsec și SSTP ascultă în altă parte, pe propriile porturi și protocoale, așa că un server web accesibil nu spune nimic despre ele.

Intrarea de director și profilul trebuie să fie de acord asupra transportului, portului și acreditărilor. Identitatea este verificată prin lanțul de certificate sau prin amprenta cheii partenerului cu care a fost configurat clientul, nu prin ortografia numelui de gazdă. Un nume care conține un cuvânt de proiect cunoscut dovedește doar că cineva l-a înregistrat. Citiți certificatul pe care îl prezintă serviciul și comparați emitentul și subiectul cu ceea ce așteaptă profilul.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Cuvintele de țară nu sunt un audit al locației

O etichetă jp sau de într-un director este o înregistrare, iar bazele de date de geolocalizare IP nu sunt de acord destul de des încât niciuna să nu fie tratată ca adevăr absolut. Găzduirea partajată, anycast și o simplă configurare greșită mută toate locația observată departe de etichetă.

Testul practic este calea proprie a aplicației: la ce adresă ajunge și ce arată o verificare a adresei de ieșire din interiorul sesiunii. O adresă de ieșire observată este o proprietate a rutei în acel moment, nu o garanție legată de nume. Directoarele de voluntari adaugă un alt strat, deoarece persoana care a înregistrat o listare nu trebuie să fie cea care operează mașina. Notați ce ați măsurat și când, în loc de ce promitea listarea.

Verificați serviciul oferit, apoi operatorul

Odată ce transportul și identitatea sunt stabilite, întrebarea rămasă este comportamentul operatorului, iar asta cere dovezi documentare în loc de inferențe. O politică de confidențialitate, un contact publicat și o notificare de transparență sunt dovezi de intenție; niciuna nu dovedește practica, iar absența tuturor trei este și ea informație.

Pentru un nod public sau operat de voluntari, presupuneți că ieșirea este partajată și că cel care o administrează poate vedea ce trece prin ea. Această presupunere, nu numele de gazdă, ar trebui să decidă ce trimiteți prin tunel.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Păstrați numele pentru ceea ce este bun: găsirea unui punct final și conectarea la el. Tot ce depășește asta trebuie testat separat, în ziua în care contează.