VPN Gate и ваш собственный сервер SoftEther — не одно и то же
Тот же протокол, тот же клиент, другой оператор. Посмотрите, кто публикует конечную точку, чья политика журналирования действует и почему публичный узел — не приватный доступ.
Команда устанавливает сервер SoftEther, экспортирует настройку подключения, а позже кто-то находит тот же протокол в публичном каталоге VPN Gate и спрашивает, не запускает ли компания теперь публичный ретранслятор. Путаница понятна: клиент выглядит одинаково, протокол одинаковый, и оба появляются в одном и том же роде списка подключений. Различие не техническое, а операционное. Сервер, который вы разворачиваете, принадлежит тому, кто его развернул, а VPN Gate — отдельный волонтёрский проект, публикующий собственные конечные точки.
Тот же клиент, два разных оператора
Три вопроса разделяют два развёртывания, и ни на один из них не отвечает программа. Их стоит записать, прежде чем кто-либо начнёт сравнивать клиентов.
| Question | Your SoftEther server | A VPN Gate volunteer node |
|---|---|---|
| Who runs it | you, or your hosting provider on your behalf | an anonymous volunteer |
| Who may connect | accounts you create | anyone using the public directory |
| Who writes the logging policy | you | the volunteer, within the project's published rules |
Средняя строка решает большинство споров. На вашем собственном сервере список учётных записей — это то, что контролируете вы, поэтому членство что-то значит; на волонтёрском узле каждый пользователь каталога — потенциальный равноправный участник на одной и той же конечной точке. Эту строку тоже нельзя вывести из клиента, и поэтому два человека с одинаковым программным обеспечением могут описывать совершенно разные сети.
Прочитайте, кто опубликовал конечную точку
Начните с источника настройки подключения. Запись каталога с волонтёрским именем хоста, меняющимся адресом и публичным списком — это другой объект, чем конфигурация, которую ваш администратор экспортировал с вашим собственным именем хоста и сертификатом. Если конечная точка появляется в публичном списке, относитесь к ней как к публичной, потому что именно это список и означает. Ничто в протоколе не меняет ответ.
Запись каталога — это также не административный доступ. Возможность подключиться к узлу ничего не говорит о его интерфейсе управления, а попытки административных учётных данных на волонтёрском хосте и неэффективны, и неуместны. Используйте метод подключения, который предлагает список, и ничего сверх этого.
Журналирование следует за оператором, а не за протоколом
SoftEther как программа может журналировать подключения, а администратор сервера решает, что хранится и как долго. VPN Gate публикует свои страницы о волонтёрской модели и о журналировании против злоупотреблений, и эти страницы — единственное точное утверждение об этом проекте. Читать их — иное действие, чем предполагать, что любой сервис на базе SoftEther ничего не хранит, а это утверждение, которое программа не может подкрепить.
Для вашего собственного сервера эквивалентное утверждение следует из вашей конфигурации и вашей политики хранения. Это может быть больше журналирования, чем хранит публичный узел, или меньше, и в любом случае это ваша ответственность. Кто говорит, что протокол гарантирует анонимность, описывает надежду, а не проект.
Публичный выход — это не членство в частной сети
Практический сбой наступает, когда кому-то нужен внутренний сервис и он тянется к бесплатному публичному выходу вместо шлюза компании. Публичный узел может изменить адрес, с которого якобы идёт ваш трафик. Но он не может сделать вас членом сети, к которой вам никогда не давали доступа, и никакая настройка клиента этого не меняет. Достижимое множество определяется на дальней стороне — тем, кто управляет шлюзом.
Политика безопасности тоже относится сюда. Трафик через неизвестный волонтёрский хост подчиняется практикам этого хоста, и решение о доверии категорически отличается от трафика через шлюз, которым ваша организация управляет и который проверяет. Выбор бесплатного выхода перемещает доверие, а не устраняет его.
Решите, что вы на самом деле разворачиваете
Три вопроса это решают. Кто будет управлять конечной точкой? Кому разрешено к ней подключаться? Чья политика журналирования и хранения применяется к трафику? Если ответ на любой из них — «кто найдёт», развёртывание публично, что бы ни говорил файл протокола.
Запишите ответы рядом с развёртыванием, включая оператора, разрешённых пользователей и политику хранения. Когда следующий человек найдёт тот же протокол в публичном каталоге, эта заметка будет всем объяснением, и она избавит от спора о том, запускает ли компания ретранслятор.