VPN Gate і ваш власний сервер SoftEther — не одне й те саме
Той самий протокол, той самий клієнт, інший оператор. Подивіться, хто публікує кінцеву точку, чия політика журналювання діє і чому публічний вузол не є приватним доступом.
Команда встановлює сервер SoftEther, експортує налаштування підключення, а згодом хтось знаходить той самий протокол у публічному каталозі VPN Gate і запитує, чи компанія тепер не тримає публічний ретранслятор. Плутанина зрозуміла: клієнт виглядає однаково, протокол однаковий, і обидва з’являються в однотипному списку підключень. Різниця не технічна, а операційна. Сервер, який ви розгортаєте, належить тому, хто його розгорнув, а VPN Gate — окремий волонтерський проєкт, що публікує власні кінцеві точки.
Той самий клієнт, два різні оператори
Два розгортання розрізняють три запитання, і жодного з них не вирішує програмне забезпечення. Варто записати їх, перш ніж хтось почне порівнювати клієнти.
| Question | Your SoftEther server | A VPN Gate volunteer node |
|---|---|---|
| Who runs it | you, or your hosting provider on your behalf | an anonymous volunteer |
| Who may connect | accounts you create | anyone using the public directory |
| Who writes the logging policy | you | the volunteer, within the project's published rules |
Середній рядок знімає більшість суперечок. На вашому власному сервері список облікових записів — це те, що контролюєте ви, тож членство щось означає; на волонтерському вузлі кожен користувач каталогу є потенційним учасником тієї самої кінцевої точки. Цей рядок також неможливо вивести з клієнта, і саме тому двоє людей з ідентичним програмним забезпеченням можуть описувати цілком різні мережі.
Прочитайте, хто опублікував кінцеву точку
Почніть із джерела налаштувань підключення. Запис у каталозі з ім’ям волонтерського хоста, адресою, що змінюється, і публічним розміщенням — це інший об’єкт, ніж конфігурація, яку ваш адміністратор експортував із вашим власним ім’ям хоста та сертифікатом. Якщо кінцева точка з’являється в публічному списку, вважайте її публічною, бо саме це й означає таке розміщення. Ніщо в протоколі не змінює цієї відповіді.
Запис у каталозі також не є адміністративним доступом. Можливість підключитися до вузла нічого не каже про його інтерфейс керування, а спроби ввести адміністративні облікові дані на волонтерському хості є і безрезультатними, і недоречними. Використовуйте лише той спосіб підключення, який пропонує розміщення, і нічого більше.
Журналювання залежить від оператора, а не від протоколу
SoftEther як програмне забезпечення може журналювати підключення, і адміністратор сервера вирішує, що саме зберігати й протягом якого часу. VPN Gate публікує власні сторінки про волонтерську модель і про журналювання для боротьби зі зловживаннями, і ці сторінки є єдиним точним твердженням про той проєкт. Читати їх — не те саме, що припускати, ніби будь-яка служба на основі SoftEther нічого не зберігає: це твердження, яке програмне забезпечення не може підтвердити.
Для вашого власного сервера відповідне твердження походить із конфігурації та політики зберігання. Це може бути більше журналювання, ніж зберігає публічний вузол, або менше, і відповідальність у будь-якому разі на вас. Хто каже, що протокол гарантує анонімність, описує сподівання, а не рішення.
Публічний вихід — це не членство в приватній мережі
Практична невдача настає, коли комусь потрібен внутрішній сервіс, і людина тягнеться до безкоштовного публічного виходу замість корпоративного шлюзу. Публічний вузол може змінити адресу, з якої нібито надходить ваш трафік. Він не може зробити вас учасником мережі, доступу до якої вам ніколи не надавали, і жодне налаштування клієнта цього не змінює. Досяжний набір визначається на дальньому боці — тим, хто керує шлюзом.
Саме тут місце й політиці безпеки. Трафік через невідомий волонтерський хост підпадає під практики цього хоста, і рішення про довіру принципово відрізняється від трафіку через шлюз, який ваша організація експлуатує та перевіряє. Вибір безкоштовного виходу переносить довіру, а не усуває її.
Вирішіть, що саме ви розгортаєте
Це вирішують три запитання. Хто керуватиме кінцевою точкою? Кому дозволено до неї підключатися? Чия політика журналювання та зберігання застосовується до трафіку? Якщо відповідь на будь-яке з них — "хто перший знайде", розгортання є публічним, хоч би що казав файл протоколу.
Запишіть відповіді поряд із розгортанням: оператор, дозволені користувачі та політика зберігання. Коли наступна людина знайде той самий протокол у публічному каталозі, ця нотатка й буде всім поясненням, і вона позбавить суперечки про те, чи компанія тримає ретранслятор.