Як працуе выяўленне VPN і проксі і дзе яно здае
Спісы IP, API рэпутацыі і адбіткі правальваюцца па-рознаму. Вызначце, якія злоўжыванні вы спыняеце, вымерайце ілжывыя праскі, а затым уводзьце правіла з кодам прычыны.
Калі нехта пытаецца, як блакаваць карыстальнікаў VPN, у сказе хаваюцца тры розныя просьбы: спыніць махлярства, спыніць скрэйпінг або ўвесці ліцэнзійную мяжу. Кожная церпіць іншую частату памылак, і ні на адну не адказвае веданне таго, ці належыць адрас да тунэля. Тое, што вяртае класіфікатар, — гэта імавернасць пра інфраструктуру, а не сцвярджэнне пра чалавека, які ёй карыстаецца.
Што насамрэч вылічвае класіфікатар IP
Большасць сэрвісаў спалучаюць чатыры крыніцы даных, і яны старэюць з рознай хуткасцю. Спісы выхадаў Tor паходзяць з кансэнсусу каталога і амаль поўныя, пакуль ён дзейнічае. Спісы адкрытых проксі частковыя і састарэлыя за некалькі дзён. Камерцыйныя спісы выхадаў адстаюць ад новых правайдэраў па задуме, бо адрасы змяняюцца хутчэй, чым любы пастаўшчык паспее іх прасканаваць. Эўрыстыка дыяпазонаў хостынгу — самы танны і самы грубы сігнал.
Менавіта апошні і спараджае большасць ілжывых праскі. Карпаратыўныя выхады, браўзеры ў воблаку, NAT кампуса і шлюзы мабільных аператараў выглядаюць як хостынг або агульная інфраструктура, і кожны з іх можа ўтрымліваць звычайных кліентаў.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 прыбірае апошні камфорт. Кліент можа мець іншы адрас на кожнае злучэнне, а правайдэр можа змяняць прэфікс паміж запытамі, таму правіла, якое ставіцца да адраса як да трывалай асобы, праз некалькі тыдняў адыдзе ад рэальнасці.
Чаму адбіткі пратаколаў разбураюцца
Розніцы MSS і часу могуць вызначыць некаторыя OpenVPN-канфігурацыі, і гэтая тэхніка сапраўды крохкая. Сігнал залежыць ад опцый, якія кантралюе карыстальнік, ад MTU шляху і ад прамежкавых прылад, якімі вы не валодаеце. Зменіце адзін шыфр або адзін заціск MSS — і адбітак зрушыцца. Правайдэр, які выпускае новыя значэнні па змаўчанні, робіць тое ж з вашым правілам за адну ноч.
Зваротныя зонды маюць горшую праблему, чым крохкасць: яны варожыя. Сканаванне портаў наведвальніка — гэта павольна, лёгка блакуецца тым жа карпаратыўным файрволам, за якім сядзяць вашыя кліенты, і цяжка абараніць на аглядзе прыватнасці. Парогі затрымкі ловяць далёкіх карыстальнікаў гэтак жа надзейна, як і карыстальнікаў тунэляў, а значыць, ваша правіла насамрэч — «блакуй людзей здалёк» пад іншай этыкеткай.
Што б вы ні абралі, вы павінны ўмець патлумачыць гэта агенту падтрымкі ў 2 гадзіны ночы. Сігнал, які ніхто не можа апісаць, ператвараецца ў блок, які ніхто не можа адмяніць. Напішыце тлумачэнне да таго, як напішаце правіла, а не пасля першай скаргі.
Асоба і паводзіны перамагаюць здагадкі пра ананімнасць
Абмежаванні хуткасці, патрабаванні ўваходу, праверкі плацяжу і квоты на кожны акаўнт вырашаюць злоўжыванні, не караючы чытачоў, якім неабыякавая прыватнасць. Яны таксама працягваюць працаваць, калі адрас змяняецца, бо прывязаныя да таго, што кліент не можа змяніць бясплатна.
Калі геаграфічнае абмежаванне — гэта ліцэнзійнае патрабаванне, уводзьце яго як дакументаваную палітыку з ясным паведамленнем пра памылку і перыядычным пераглядам. Гэта іншы кантроль, чым здагадкі пра ананімнасць, і яго трэба апісваць інакш у тэксце для кліента. Блакаванне портаў, якія выкарыстоўвае пратакол VPN, можа паменшыць аўтаматычныя злоўжыванні, але яно таксама ламае законны аддалены доступ і трывіяльна абыходзіцца любым рашучым чалавекам.
Спачатку ўвядзіце гэта як вымярэнне
Запусціце класіфікатар у рэжыме толькі справаздачы на пару тыдняў. Параўнайце папуляцыю, якую ён бы заблакаваў, з рэгістрацыямі, канверсіямі і тыкетамі падтрымкі, затым вызначце бюджэт ілжывых праскі перад тым, як вызначыце парог.
Ператэстуйце на невялікім вядомым наборы: хатняе злучэнне, мабільны аператар, карпаратыўны выхад і камерцыйны VPN. Чатыры выпадкі выкрываюць большасць памылак, якія інакш дайшлі б да кліентаў, і каштуюць пасляабеду.
Трымайце сыры сігнал і рашэнне пра ўжыванне асобна. Запісвайце бал нават тады, калі парог высокі, накіроўвайце неадназначную сярэдзіну ў чалавечую чаргу і пазначайце кожны блок кодам прычыны, каб наступны перагляд палітыкі мог сказаць, які сігнал заслужыў сваё месца.
Шлях абскарджання — частка кантролю
Кожнаму аўтаматычнаму блоку патрэбен чалавечы шлях: адрас для сувязі, заяўлены час адказу і названы ўладальнік перагляду. Без яго ілжывая праска — гэта ціха страчаны кліент і тыкет падтрымкі, з якім ніхто не можа нічога зрабіць.
Скажыце проста, што доступ можа быць абмежаваны, чаму і як папрасіць перагляд. Версіявайце палітыку, каб падтрымка магла сказаць, якое правіла дзейнічала на пэўную дату. Блок, які вы не можаце патлумачыць, адмяніць або вымераць, — гэта не кантроль; гэта здагадка з радком у лозе.