Сайт ви блокира само когато VPN е включен? Ето какво вижда той

Магазинът се зарежда нормално у дома и показва стена от «необичаен трафик» в момента, в който тунелът се вдигне. Форум отказва да ви пусне, а страница за стрийминг настоява, че сте в държава, която никога не сте посещавали. Нищо от това не изисква шпионски софтуер. Сайтът вижда адреса, от който пристигат пакетите ви, а с VPN този адрес принадлежи на център за данни, а не на домашна линия. Повечето от това, което наричат откриване на VPN, започва и свършва с този един факт, а останалото е извод с предвидим процент грешки.

Блокирането започва с това откъде изглеждат пакетите ви

Всяка заявка носи адрес на източника и получаващият сървър може да го провери в публични данни: коя мрежа го анонсира, дали тази мрежа е хостинг доставчик, дали е попадала в списъци за злоупотреби и коя държава определя регистърът. Нищо от това не ви идентифицира, а всичко това е достатъчно, за да ви подреди в категория.

Погледнете собствения си трафик като чужд човек. Две команди покриват по-голямата част от повърхността и втората е тази, която хората забравят:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Първата връща изходния адрес, организацията и държавата му. Втората връща адреса на резолвера, който е достигнал сървъра за имена на Google; той често е в различна мрежа от изхода ви и е адресът, който сайтът вижда, ако записва данни от страна на резолвера. Когато тези два адреса са в различни държави, някои сайтове приемат несъответствието за подозрително, макар с настройката ви да няма нищо нередно.

Когато отказът започва само след вдигане на тунела, подозирайте изходния адрес преди всичко друго. Сменете сървърите и опитайте отново, преди да пипате браузъра. Блокиране, което ви следва през три изхода на един доставчик, е за диапазоните на доставчика; блокиране, което изчезва на друг сървър, е за онзи един адрес.

Часовата зона, езикът и часовникът не съвпадат с адреса

Кодът на страницата може да прочете часовата ви зона, езиковите ви предпочитания и настройките на екрана без никакво искане за разрешение. Браузър, който съобщава централноевропейско време, докато връзката идва от център за данни в Сингапур, е по-силен сигнал от самия адрес и е точно видът несъответствие, за което е изградена оценката на измами.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Тези три реда в конзолата на разработчика показват какво браузърът ви предоставя доброволно. VPN клиентът може да смени маршрута ви и нищо друго, така че профилът, който носите, остава местен, докато изходът не е. Тук е важна последователността: лаптоп, зададен на същия регион като изхода, изглежда обикновено, а лаптоп, който си противоречи, не изглежда така.

Ето защо отказът е на моменти. Много сайтове не се интересуват, няколко го оценяват, а един членски сайт решава, че сте измамник. Клиентът работи правилно и в трите случая, поради което обичайният отговор на поддръжката, «сигурно е браузърът ви», е едновременно досаден и донякъде верен.

Какво всъщност знае кодът на страницата за машината ви

JavaScript няма API, който изброява мрежови интерфейси. Страницата не може да попита какви адреси държи лаптопът ви, затова старото твърдение, че скрипт чете LAN адреса ви, е предимно спомен от ерата на плъгините, когато ActiveX контроли, Java аплети и друг нативен код можеха да правят точно това.

WebRTC е честното изключение от «никакво изтичане на локални адреси». Събирането на неговите кандидати някога разкриваше локални адреси на всяка страница, която поиска, а поправката беше да се заменят кандидатите на хоста със случайни mDNS имена. Тази настройка по подразбиране важи в текущите браузъри, но е решение на браузъра, а не гаранция на протокола, затова остаряла сборка или затегната конфигурация, която отново включва локални кандидати, все още може да изтече. Обновяването на браузъра ви помага тук повече от всяко разширение.

Доставчикът ви вижда имената, не съдържанието

HTTPS защитава съдържанието на страницата от край до край и операторът на тунела, който препраща тези байтове, не може да ги прочете. Операторът все още може да види към кой адрес сте се свързали, а при повечето разгръщания и името на сървъра в ръкостискането, защото името трябва да е четимо, за да бъде връзката насочена към правилния сайт. Encrypted Client Hello съществува именно за да скрие това поле и помага само когато и клиентът, и сайтът го поддържат.

Разрешаването на имена е другата половина. Ако доставчикът ви предоставя и резолвера, той вижда всяко име, което търсите, преди да съществува каквато и да е връзка. Ако устройството ви използва публичен резолвер през HTTPS, доставчикът вижда връзка към този резолвер и нищо друго, а самият резолвер вижда списъка.

Нешифрованата HTTP заявка е четима за оператора по същата причина, по която е четима за хотелската мрежа: нищо вътре в нея не е шифровано. Тунелът никога не е твърдял друго и не поправя избора на приложението.

Отделете «това е VPN» от «това съм аз»

Откриването е евтино, вероятностно и често грешно. Споделените изходни адреси се маркират, защото някой друг е злоупотребил с тях; корпоративните диапазони се класифицират като хостинг, а мобилните оператори дават георезултати, които изненадват всички. Идентификацията е друг проблем: тя изисква постоянна връзка, като акаунт, в който сте влезли, бисквитка, платежен детайл или двама наблюдатели, които сравняват бележки.

Решете срещу кое всъщност се борите. Ако целта е да прочетете страница, HTTPS вече върши тази работа и тунелът променя малко. Ако целта е сайтът да не знае в кой град сте, изходът и резолверът са това, което има значение. Ако целта е да скъсате връзката с истинската си самоличност, слабото място е акаунтът и смяната на сървъри не прави нищо за влизането, което току-що използвахте.

Нов изход не ви извежда от нищо и не може да изтрие това, което сайт вече е запазил за акаунта, който използвахте. Затова практическата последователност е непретенциозна: изберете изход, чиято мрежа изглежда обикновена, поддържайте профила на браузъра съвместим с него, обновете браузъра, за да използват склонните към изтичане функции съвременните си настройки по подразбиране, и приемете, че малък брой сайтове все още ще гадаят погрешно за вас.