Čo môže a čo nemôže preukázať názov verejného VPN hostiteľa

Názvy hostiteľov a vlajky krajín vyzerajú ako fakty o serveri, a ani jedno z toho faktom nie je. Názov odkazuje na adresy, ktoré sa môžu meniť, a slová v ňom vybral ten, kto ho zaregistroval. Protokol, miesto výstupu a správanie pri protokolovaní potrebujú každé vlastný dôkaz. Začnite tým, na čo sa názov skutočne prekladá, a potom rozhodnite, čo je stále neznáme.

Názov sa preloží a nič ďalšie nie je vyriešené

Názov hostiteľa je ukazovateľ v DNS a záznamy za ním sa môžu líšiť podľa prekladača, podľa dennej doby a podľa rodiny adries, ktorú klient uprednostňuje. Dvaja ľudia, ktorí čítajú rovnaký záznam v katalógu, sa môžu úplne legitímne dostať na rôzne stroje. Názov vám hovorí, čo si máte vyžiadať, nie čo odpovie.

Výsledky vyhľadávania sa tiež menia bez upozornenia, čo je dôležité, keď profil pripína adresu namiesto názvu. Profil, ktorý má starú adresu natvrdo, naďalej zlyháva po tom, čo operátor službu presunie, a zlyhanie vyzerá ako zablokovaný port. Uchovávajte preložené adresy vedľa profilu, aby neskoršie porovnanie malo základ. Nič z toho nehovorí, kto prevádzkuje druhý koniec.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Transport a identita sú oddelené otázky

Otvorená webová stránka na názve hostiteľa testuje jedného poslucháča na jednom porte. OpenVPN, IPsec a SSTP počúvajú inde, na svojich portoch a protokoloch, takže dostupný webový server o nich nehovorí nič.

Záznam v katalógu a profil sa musia zhodnúť na transporte, porte a prihlasovacích údajoch. Identita sa overuje reťazou certifikátov alebo odtlačkom kľúča protistrany, s ktorým bol klient nakonfigurovaný, nie pravopisom názvu hostiteľa. Názov obsahujúci známe slovo projektu dokazuje len to, že ho niekto zaregistroval. Prečítajte si certifikát, ktorý služba predkladá, a porovnajte vydavateľa a subjekt s tým, čo profil očakáva.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Slová krajín nie sú audit lokality

Štítok jp alebo de v katalógu je registrácia a databázy geolokácie IP sa dosť často rozchádzajú, takže žiadna z nich si nezaslúži byť braná ako absolútna pravda. Zdieľaný hosting, anycast aj obyčajná chybná konfigurácia posúvajú pozorované miesto od štítku.

Praktický test je vlastná cesta aplikácie: na ktorú adresu dosiahne a čo ukáže kontrola výstupnej adresy zvnútra relácie. Pozorovaná výstupná adresa je vlastnosť trasy v danom okamihu, nie záruka pripevnená k názvu. Katalógy dobrovoľníkov pridávajú ďalšiu vrstvu, pretože ten, kto záznam zaregistroval, nemusí byť ten, kto stroj prevádzkuje. Zapíšte, čo ste zmerali a kedy, namiesto toho, čo záznam sľuboval.

Preverte ponúkanú službu, potom operátora

Keď je transport a identita vyriešená, zostáva otázka správania operátora a tá vyžaduje doložené dôkazy, nie odvodzovanie. Zásady ochrany súkromia, zverejnený kontakt a oznámenie o transparentnosti sú dôkazom zámeru; žiadne z nich nepreukazuje prax a neprítomnosť všetkých troch je tiež informácia.

Pri verejnom alebo dobrovoľníkmi prevádzkovanom uzle predpokladajte, že výstup je zdieľaný a že ten, kto ho prevádzkuje, môže vidieť, čo ním prechádza. Tento predpoklad, nie názov hostiteľa, má rozhodovať o tom, čo tunelom posielate.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Nechajte názov na to, v čom je dobrý: nájsť koncový bod a pripojiť sa k nemu. Všetko ostatné sa musí otestovať zvlášť, v deň, keď na tom záleží.