كشف VPN يعتمد على مكان المشاهدة

يمكن لكاشفين أن يراقبا المستخدم نفسه ويختلفا، وكلاهما على صواب. المراقب بجانب رابط الوصول يرى المحادثة الخارجية لـ VPN؛ والموقع يرى اتصال التطبيق الواصل من المخرج. هذان اتصالان مختلفان ببصمات مختلفة، والدليل من أحدهما لا ينتقل إلى الآخر. تسمية نقطة المراقبة قبل مناقشة أي اختبار TLS أو TCP هي ما يجعل الادعاء ذا معنى.

الكاشف الذي لا يذكر نقطة مراقبة يصف رأيًا لا قياسًا.

نقطتا مراقبة، اتصالان مختلفان

المحادثة الخارجية تنتمي إلى بروتوكول النفق: صيغ رسائله الخاصة، وآلة حالته الخاصة، وتوقيته الخاص. الاتصال الداخلي هو المتصفح يفتح TLS إلى الموقع، محمولًا عبر النفق ثم مُمرَّرًا من المخرج. كلاهما موجود في اللحظة نفسها وليسا التدفق نفسه. أحدهما ما يمكن لشبكة الوصول رؤيته، والآخر ما يمكن للوجهة رؤيته، وأي وسيط يُنهي أحدهما يغيّر الصورتين.

هذا الفرق يفسّر معظم الالتباس في مناقشات الكشف. الاختبار الذي يبلّغ عن شيء واحد يخص تدفقًا كثيرًا ما يجيب عن سؤال في طبقة مختلفة عن التي كان يقصدها المشغّل.

ما يراه المراقب على مسار الوصول

بجانب رابط الوصول تكون المادة المرئية هي بروتوكول النفق نفسه: أنواع حزم التحكم والبيانات لـ OpenVPN، أو أنماط المصافحة والبيانات ذات الحجم الثابت في WireGuard، أو أي غلاف يضيفه النشر. قدرة المصنّف على التعرف عليها تعتمد على ما هو مرئي، وعلى النقل الذي يحملها، وعلى وجود تعتيم إضافي. النمط القابل للتمييز دليل على تدفق، وليس دليلًا على هوية الشخص خلفه أو نيته.

المنفذ 443 عرف للوصول إلى خدمة. وهو لا يجعل كل نقل نفق HTTPS.

ما يراه الموقع فعليًا

مع نفق موجَّه، لا يزال المتصفح يجري جلسته TLS الخاصة مع الموقع. الترجمة عند المخرج لا تحوّل بوابة VPN إلى نقطة نهاية TLS للمتصفح، لذا فإن ClientHello الذي يتلقاه الموقع يصف المتصفح أو مكتبة TLS الخاصة به. بصمة من طراز JA3 تصف اتصال التطبيق، لا برنامج VPN الذي يحمله. فقط وكيل يعمل على الإنهاء المتعمد يغيّر هذا الترتيب، ولا بد من تحديده بشكل منفصل.

تحتاج ملاحظات TCP إلى العناية نفسها. التوجيه والترجمة ووكيل يبدأ اتصالًا جديدًا ثلاثة تصاميم مختلفة، وواحد فقط منها يعيد كتابة مكدس النقل. الخاصية غير العادية الواحدة لا تعني حصرًا وجود نفق.

أبقِ الادعاء داخل حدود الدليل

تصنيف الشبكة ومراقبة البروتوكول والبصمات التطبيقية وإشارات الحساب كلها مدخلات لقرار مخاطر، لكل منها إيجابيات كاذبة وسلبيات كاذبة وأدلة ناقصة. عنوان في نطاق استضافة لا يثبت شيئًا عن VPN تجاري، وبصمة متصفح شائعة لا تثبت شيئًا عن اتصال مباشر. عند تقييم كاشف، استخدم مجموعة بيانات مُصرَّح بها بمسارات معروفة وسجّل أي ملاحظة أنتجت كل نتيجة.

افصل تصنيف البروتوكول عن قرار وصول ذي عواقب. الاستجابة المخصصة أو حيلة الحزمة المشوّهة لا تصادق على الاستدلال وراءها؛ إنها فقط تضغط على تخمين.

التقرير المفيد يسمّي الملاحظة ونقطة المراقبة ودرجة الثقة. سطر «تم كشف VPN» المجرد يخفي بالضبط الجزء الذي يسمح لأحدهم بالتحقق منه.