Ano ang kaya at hindi kayang patunayan ng isang pampublikong pangalan ng host ng VPN

Ang mga pangalan ng host at mga watawat ng bansa ay mukhang mga katotohanan tungkol sa isang server, at wala sa dalawa ang gayon. Ang pangalan ay tumuturo sa mga address na maaaring magbago, at ang mga salita sa loob nito ay pinili ng sinumang nagrehistro nito. Ang protocol, lokasyon ng labasan at pag-uugali sa pag-log ay nangangailangan ng kani-kanilang patunay. Magsimula sa aktwal na nireresolba ng pangalan, pagkatapos ay magpasya kung ano ang hindi pa alam.

Naresolba ang pangalan, at wala nang ibang naayos

Ang pangalan ng host ay isang pointer sa DNS, at ang mga record sa likod nito ay maaaring magkaiba ayon sa resolver, ayon sa oras ng araw at ayon sa pamilya ng address na mas gusto ng kliyente. Dalawang tao na nagbabasa ng parehong entry sa direktoryo ay maaaring legal na makarating sa magkaibang makina. Sinasabi ng pangalan kung ano ang hihilingin, hindi kung ano ang sasagot.

Nagbabago rin ang mga resulta ng paghahanap nang walang abiso, na mahalaga kapag ang isang profile ay nagpi-pin ng address sa halip na ang pangalan. Ang profile na may hardcoded na lumang address ay patuloy na nabibigo pagkatapos ilipat ng operator ang serbisyo, at ang kabiguan ay mukhang isang naharang na port. Itago ang mga naresolbang address sa tabi ng profile upang ang susunod na paghahambing ay may baseline. Wala sa mga ito ang nagsasabi kung sino ang nagpapatakbo ng kabilang dulo.

dig +short vpn.example.net A
dig +short vpn.example.net AAAA
dig +short vpn.example.net A @1.1.1.1

Magkaibang tanong ang transport at pagkakakilanlan

Ang bukas na web page sa pangalan ng host ay sumusubok ng isang tagapakinig sa isang port. Ang OpenVPN, IPsec at SSTP ay nakikinig sa ibang lugar, sa kanilang sariling mga port at protocol, kaya ang naaabot na web server ay walang sinasabi tungkol sa kanila.

Ang entry sa direktoryo at ang profile ay dapat magkasundo sa transport, port at mga kredensyal. Ang pagkakakilanlan ay bineberipika ng chain ng certificate o ng fingerprint ng key ng kapareha kung saan na-configure ang kliyente, hindi sa baybay ng pangalan ng host. Ang pangalan na naglalaman ng pamilyar na salita ng proyekto ay nagpapatunay lamang na may nagrehistro nito. Basahin ang certificate na ipinakita ng serbisyo at ihambing ang issuer at subject sa inaasahan ng profile.

openssl s_client -connect vpn.example.net:443 -servername vpn.example.net </dev/null 2>/dev/null |
  openssl x509 -noout -subject -issuer -dates

Ang mga salita ng bansa ay hindi audit ng lokasyon

Ang label na jp o de sa isang direktoryo ay isang rehistro, at ang mga database ng geolocation ng IP ay sapat na madalas na hindi magkasundo kaya wala sa dalawa ang dapat ituring na ganap na katotohanan. Ang shared hosting, anycast at simpleng maling configuration ay inilalayo ang naobserbahang lokasyon mula sa label.

Ang praktikal na pagsubok ay ang sariling landas ng aplikasyon: aling address ang naaabot nito, at ano ang ipinapakita ng pagsusuri ng address ng labasan mula sa loob ng session. Ang naobserbahang address ng labasan ay isang katangian ng ruta sa sandaling iyon, hindi isang garantiya na nakakabit sa pangalan. Ang mga direktoryo ng boluntaryo ay nagdaragdag ng isa pang layer, dahil ang taong nagrehistro ng listing ay hindi kailangang siyang nagpapatakbo ng makina. Isulat ang sinukat mo at kailan, hindi ang ipinangako ng listing.

Suriin ang iniaalok na serbisyo, pagkatapos ang operator

Kapag naayos na ang transport at pagkakakilanlan, ang natitirang tanong ay ang pag-uugali ng operator, at nangangailangan ito ng dokumentaryong ebidensya kaysa haka-haka. Ang patakaran sa privacy, nailathalang contact at abiso ng transparency ay ebidensya ng intensyon; wala sa mga ito ang nagpapatunay ng kasanayan, at ang kawalan ng tatlo ay impormasyon din.

Para sa isang pampubliko o boluntaryong pinapatakbong node, ipagpalagay na ang labasan ay ibinabahagi at ang sinumang nagpapatakbo nito ay nakikita ang dumadaan. Hindi ang pangalan ng host, kundi ang palagay na iyon ang dapat magpasya kung ano ang ipinapadala mo sa tunnel.

curl -sSI https://vpn.example.net/ | head -n 5
whois 203.0.113.25 | grep -i -E 'orgname|netname'

Itago ang pangalan para sa kung saan ito mahusay: paghahanap ng dulo at pagkonekta rito. Ang lahat ng iba pa ay dapat subukan nang hiwalay, sa araw na mahalaga ito.