Как работи откриването на VPN и прокси и къде се проваля
IP списъци, API за репутация и отпечатъци се провалят по различен начин. Решете каква злоупотреба спирате, измервайте фалшивите положителни и след това налагайте с код за причина.
Когато някой попита как да блокира потребители на VPN, в изречението се крият три различни искания: спрете измамите, спрете скрейпинга или наложете лицензионна граница. Всяко от тях търпи различен процент грешки и нито едно не се отговаря от знанието дали даден адрес принадлежи на тунел. Това, което връща класификаторът, е вероятност за инфраструктура, а не твърдение за човека, който я използва.
Какво всъщност изчислява IP класификаторът
Повечето услуги комбинират четири източника на данни и те остаряват с различна скорост. Списъците с изходи на Tor идват от консенсуса на директорията и са почти пълни, докато той издържи. Списъците с отворени прокси сървъри са частични и остаряват в рамките на дни. Търговските списъци с изходи изостават от новите доставчици по замисъл, защото адресите се сменят по-бързо, отколкото всеки доставчик може да ги обходи. Евристиката за хостинг диапазони е най-евтиният и най-грубият сигнал.
Именно последният поражда повечето фалшиви положителни резултати. Корпоративните изходи, браузърите в облака, NAT на кампуса и шлюзовете на мобилните оператори изглеждат като хостинг или споделена инфраструктура и всеки от тях може да съдържа обикновени клиенти.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 премахва останалия комфорт. Клиентът може да има различен адрес за всяка връзка, а доставчикът може да сменя префикс между заявките, така че правило, което третира адреса като трайна идентичност, ще се отклони от реалността в рамките на седмици.
Защо протоколните отпечатъци се разпадат
Разликите в MSS и времето могат да идентифицират някои OpenVPN конфигурации и техниката е наистина крехка. Сигналът зависи от опции, които потребителят контролира, от MTU на пътя и от междинни устройства, които не притежавате. Сменете един шифър или едно ограничение на MSS и отпечатъкът се мести. Доставчик, който пусне нова настройка по подразбиране, прави същото с вашето правило за една нощ.
Обратните сонди имат по-лош проблем от крехкостта: те са враждебни. Сканирането на портовете на посетителя е бавно, лесно се блокира от същата корпоративна защитна стена, зад която стоят вашите клиенти, и трудно се защитава при преглед на поверителността. Праговете за закъснение хващат отдалечените потребители толкова надеждно, колкото и потребителите на тунели, което означава, че правилото ви всъщност е „блокирайте хората далеч“ с друг етикет.
Каквото и да изберете, трябва да можете да го обясните на агент по поддръжката в 2 часа през нощта. Сигнал, който никой не може да опише, се превръща в блок, който никой не може да отмени. Напишете обяснението, преди да напишете правилото, а не след първата жалба.
Идентичността и поведението побеждават догадките за анонимност
Ограниченията на скоростта, изискванията за вход, проверките на плащанията и квотите за акаунт се справят със злоупотребите, без да наказват читателите, на които им пука за поверителността. Те продължават да работят и когато адресът се смени, защото се прикрепят към нещо, което клиентът не може да смени безплатно.
Ако географското ограничение е лицензионно изискване, наложете го като документирана политика с ясно съобщение за грешка и периодичен преглед. Това е различен контрол от гадаенето за анонимност и трябва да се описва различно в текста за клиента. Блокирането на портовете, които използва даден VPN протокол, може да намали автоматизираните злоупотреби, но също така чупи законния отдалечен достъп и се заобикаля тривиално от всеки решен.
Пуснете го първо като измерване
Стартирайте класификатора в режим само на отчет за няколко седмици. Сравнете популацията, която би блокирал, с регистрациите, реализациите и билетите за поддръжка, след което задайте бюджета за фалшиви положителни резултати, преди да зададете прага.
Тествайте отново върху малък известен набор: домашна връзка, мобилен оператор, корпоративен изход и търговски VPN. Четири случая разкриват повечето грешки, които иначе биха стигнали до клиентите, и струват един следобед.
Дръжте суровия сигнал и решението за налагане отделно. Записвайте оценката дори когато прагът е висок, насочвайте двусмислената среда към човешка опашка и маркирайте всеки блок с код за причина, за да може следващият преглед на политиката да каже кой сигнал е заслужил мястото си.
Пътят за обжалване е част от контрола
Всеки автоматичен блок се нуждае от човешки път: адрес за контакт, обявено време за отговор и посочен собственик на прегледа. Без него фалшивият положителен резултат е тихо загубен клиент и билет за поддръжка, с който никой не може да направи нищо.
Кажете ясно, че достъпът може да бъде ограничен, защо и как да поискате преглед. Версионирайте политиката, за да може поддръжката да каже кое правило е действало на дадена дата. Блок, който не можете да обясните, отмените или измерите, не е контрол; това е догадка с ред в журнала.