Kaj lahko in česa ne more dokazati ime gostitelja javnega VPN

Imena gostiteljev in državne zastave so videti kot dejstva o strežniku, in nobeno od tega ni dejstvo. Ime kaže na naslove, ki se lahko spreminjajo, besede v njem pa je izbral tisti, ki ga je registriral. Protokol, mesto izhoda in vedenje pri beleženju potrebujejo vsak svoj dokaz. Začnite s tem, v kaj se ime dejansko razreši, nato odločite, kaj je še neznano.

Ime se razreši, in nič drugega ni določeno

Ime gostitelja je kazalec v DNS, zapisi za njim pa se lahko razlikujejo glede na razreševalnik, glede na čas dneva in glede na družino naslovov, ki jo odjemalec raje uporablja. Dve osebi, ki bereta isti vnos v imeniku, lahko povsem zakonito prideta na različne stroje. Ime pove, kaj zahtevati, ne pa, kaj bo odgovorilo.

Tudi rezultati iskanja se spreminjajo brez napovedi, kar je pomembno, ko profil pripne naslov namesto imena. Profil s trdo vgrajenim starim naslovom še naprej odpove, potem ko operater premakne storitev, in napaka je videti kot blokirana vrata. Shranite razrešene naslove ob profilu, da bo imela poznejša primerjava izhodišče. Nič od tega ne pove, kdo upravlja drugi konec.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Prevoz in identiteta sta ločeni vprašanji

Odprta spletna stran na imenu gostitelja preizkusi enega poslušalca na enih vratih. OpenVPN, IPsec in SSTP poslušajo drugje, na svojih vratih in protokolih, zato dosegljiv spletni strežnik o njih ne pove ničesar.

Vnos v imeniku in profil se morata ujemati glede prevoza, vrat in poverilnic. Identiteta se preverja z verigo potrdil ali s prstnim odtisom ključa partnerja, s katerim je bil odjemalec nastavljen, ne s črkovanjem imena gostitelja. Ime, ki vsebuje znano projektno besedo, dokazuje le, da ga je nekdo registriral. Preberite potrdilo, ki ga storitev predstavi, in primerjajte izdajatelja ter predmet s tem, kar profil pričakuje.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Besede držav niso revizija lokacije

Oznaka jp ali de v imeniku je registracija, baze geolokacije IP pa se dovolj pogosto ne ujemajo, da nobene ne bi kazalo imeti za absolutno resnico. Deljeno gostovanje, anycast in preprosta napačna nastavitev vsi premaknejo opaženo lokacijo stran od oznake.

Praktični preizkus je lastna pot aplikacije: kateri naslov doseže in kaj pokaže preverjanje izhodnega naslova znotraj seje. Opaženi izhodni naslov je lastnost poti v tistem trenutku, ne jamstvo, pritrjeno na ime. Imeniki prostovoljcev dodajo še en sloj, ker tisti, ki je vnos registriral, ni nujno tisti, ki stroj upravlja. Zapišite, kaj ste izmerili in kdaj, namesto tega, kar je vnos obljubljal.

Preverite ponujeno storitev, nato operaterja

Ko sta prevoz in identiteta določena, ostane vprašanje vedenja operaterja, in to zahteva dokumentarne dokaze namesto sklepanja. Politika zasebnosti, objavljen stik in obvestilo o preglednosti so dokazi o nameri; nobeno od njih ne dokazuje prakse, in odsotnost vseh treh je tudi informacija.

Za javno ali prostovoljsko vozlišče predpostavite, da je izhod deljen in da tisti, ki ga upravlja, vidi, kaj gre skozenj. Ta predpostavka, ne ime gostitelja, naj odloči, kaj pošiljate po tunelu.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Ime obdržite za to, v čemer je dobro: najti končno točko in se z njo povezati. Vse ostalo je treba preizkusiti ločeno, na dan, ko je pomembno.