Шта може, а шта не може да докаже име јавног VPN домаћина

Име домаћина показује крајњу тачку и мало шта више. Оно не доказује протокол, место излаза или политику чувања оператера, ни једног дана.

Имена домаћина и заставе земаља изгледају као чињенице о серверу, а ниједно од тога није чињеница. Име упућује на адресе које се могу мењати, а речи у њему изабрао је онај ко га је регистровао. Протокол, место излаза и понашање при евидентирању свако тражи сопствени доказ. Почните од онога у шта се име заиста разрешава, па одлучите шта је још непознато.

Име се разрешава, и ништа друго није решено

Име домаћина је показивач у DNS, а записи иза њега могу се разликовати по разрешивачу, по добу дана и по породици адреса коју клијент преферира. Две особе које читају исти запис у именику могу сасвим легално стићи на различите машине. Име вам каже шта да тражите, а не шта ће одговорити.

Резултати претраге се такође мењају без најаве, што је важно када профил фиксира адресу уместо имена. Профил који уграђује стару адресу наставља да пада након што оператер премести услугу, а квар изгледа као блокиран порт. Држите разрешене адресе уз профил да би касније поређење имало основу. Ништа од тога не говори ко води другу страну.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Транспорт и идентитет су одвојена питања

Отворена веб страница на имену домаћина тестира један слушалац на једном порту. OpenVPN, IPsec и SSTP слушају другде, на својим портовима и протоколима, па доступан веб сервер не говори ништа о њима.

Запис у именику и профил морају се сложити о транспорту, порту и акредитивима. Идентитет се проверава ланцем сертификата или отиском кључа партнера са којим је клијент конфигурисан, а не правописом имена домаћина. Име које садржи познату реч пројекта доказује само да га је неко регистровао. Прочитајте сертификат који услуга представља и упоредите издаваоца и субјекта са оним што профил очекује.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Речи о земљама нису ревизија локације

Ознака jp или de у именику је регистрација, а базе геолокације IP довољно често се не слажу да ниједну не треба узимати као апсолутну истину. Дељени хостинг, anycast и обична грешка у конфигурацији сви померају уочену локацију од ознаке.

Практични тест је сопствена путања апликације: коју адресу достиже и шта провера излазне адресе показује из саме сесије. Уочена излазна адреса је својство руте у том тренутку, а не гаранција везана за име. Именици волонтера додају још један слој, јер особа која је регистровала запис не мора бити особа која управља машином. Запишите шта сте измерили и када, а не шта је запис обећавао.

Проверите понуђену услугу, затим оператера

Када су транспорт и идентитет решени, остаје питање понашања оператера, а оно тражи документарне доказе, не закључивање. Политика приватности, објављен контакт и обавештење о транспарентности су докази намере; ниједан од њих не доказује праксу, а одсуство сва три је такође информација.

За јавни или волонтерски чвор претпоставите да је излаз дељен и да онај ко га води може видети шта пролази кроз њега. Та претпоставка, а не име домаћина, треба да одлучи шта шаљете кроз тунел.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Задржите име за оно у чему је добро: проналажење крајње тачке и повезивање са њом. Све остало мора да се тестира одвојено, оног дана када је важно.

Повезани чланци