Ваш сервер бачыць выхад VPN, а не наведвальніка

Наведвальнік падключаецца праз камерцыйны VPN, і ваша праграма запісвае адрас выхаду. Гэта не схаваная асоба: гэта адзіны адрас крыніцы, які мае TCP-злучэнне. Усё астатняе, што людзі называюць выяўленнем, — гэта здагадкі, пабудаваныя на гэтым адзіным факце.

Што насамрэч нясе запыт

Праграма бачыць адрас і порт крыніцы злучэння, завершанае рукапацісканне і байты, якія кліент вырашыў адправіць. Пры поўным тунелі гэтая крыніца — выхад, агульны для ўсіх, хто ім карыстаецца. Пры раздзеленым тунелі запыты могуць прыходзіць з тунеля або з лакальнага злучэння ў залежнасці ад прызначэння. Калі кліент і сервер знаходзяцца ў адным VPN, крыніца — гэта ўнутраны адрас тунеля кліента, які пазначае канчатковы пункт, а не месцазнаходжанне.

Ніводнае поле звычайнага запыту не нясе адрас, які кліент меў да тунеля. Загаловак перасылкі — гэта сцвярджэнне кліента або проксі, і яго можна апусціць або падмануць.

Выяўленне — гэта класіфікацыя, а класіфікацыя — здагадка

Практычныя метады — спісы вядомых дыяпазонаў VPN і хосцінгу, затрымка, якая не адпавядае заяўленаму рэгіёну, формы traceroute і паводзіны ўліковага запісу. Кожны з іх дае верагоднасць. Карпаратыўны VPN можа знаходзіцца на адрасах, якія выглядаюць жылымі, жылы проксі можа выглядаць як хатняя лінія, а NAT аператара можа выглядаць як дыяпазон хосцінгу.

Блакіроўка агульнага выхаду блакуе кожнага непавязанага карыстальніка за ім, і рашэнне пра выяўленне ператвараецца ў пабочнае адключэнне. Ацэнка ўпэўненасці не з’яўляецца асобай і не павінна быць адзіным уваходам для рашэння пра забарону або вяртанне сродкаў.

Калі VPN належыць вам, у вас ёсць надзейны сігнал, які не мае нічога агульнага з выяўленнем: выдзеліце асобны пул і супастаўце назіраную крыніцу з ім. Гэта працуе, бо вы кантралюеце абодва канцы і можаце дакументаваць пул. Але гэта не абагульняецца на наведвальнікаў, якімі вы не кіруеце, і перастае быць надзейным у момант, калі пул дзеліцца з іншымі сэрвісамі.

Лакальныя доказы супраць доказаў з боку сервера

На самой машыне тунель бачны: віртуальны адаптар, маршрут па змаўчанні, накіраваны на прыладу тунеля, зменены рэзалвер. Код, які там выконваецца, можа пералічыць інтэрфейсы і шукаць PPP, TAP або драйвер вытворцы.

Вэб-старонка не можа прачытаць нічога з гэтага. Звычайны абыход загружае рэсурс, які падаецца толькі з унутранай сетцы, і лічыць поспех доказам выкарыстання тунеля. Насамрэч ён правярае дасяжнасць: раздзелены тунель, састарэлы кэшаваны файл або проксі перахопу даюць аднолькавы вынік у абодвух станах. Лакальныя доказы застаюцца лакальнымі.

Выбірайце кантроль доступу, які вытрывае неадназначнасць

Будуйце кантроль доступу на пацверджанай асобе, здароўі прылады і аўтарызацыі для кожнага рэсурсу. Гэтыя прэдыкаты апісваюць, хто пытаецца і да чаго ён можа дабрацца, і яны застаюцца значнымі незалежна ад таго, ці ўдзельнічае тунель. Ці прыйшоў запыт праз VPN — слабы сігнал, які дае і памылковыя пропускі, і пабочныя блакіроўкі. Трымайце доказы і рашэнне ў асобных палях, каб спрэчная блакіроўка мела што разгледзець.

Геалакацыя па IP — адзін з некалькіх уваходаў, а службы вызначэння месцазнаходжання браўзера могуць выкарыстоўваць Wi-Fi або GPS, якія ніколі не ідуць за тунелем. Карта, якая ўсё яшчэ паказвае горад наведвальніка, — гэта доказ пра службы месцазнаходжання, а не доказ таго, што тунель не спрацаваў.

Запішыце, які сігнал вызначыў кожнае рашэнне. Калі кліент аспрэчвае блакіроўку, гэты запіс — розніца паміж разглядам і спрэчкай.