Откриването на VPN зависи от това откъде наблюдавате

Два детектора могат да наблюдават един и същ потребител и да се разминават, като и двамата са прави. Наблюдателят до връзката за достъп вижда външния разговор на VPN; сайтът вижда приложната връзка, идваща от изхода. Това са различни връзки с различни отпечатъци и доказателството от едната не се пренася към другата. Назоваването на точката на наблюдение преди обсъждане на който и да е тест на TLS или TCP е това, което прави твърдението смислено.

Детектор без посочена точка на наблюдение описва мнение, а не измерване.

Две точки на наблюдение, две различни връзки

Външният разговор принадлежи на тунелния протокол: собствени формати на съобщенията, собствена машина на състоянията, собствено време. Вътрешната връзка е браузърът, който отваря TLS към сайта, пренася се през тунела и след това се препраща от изхода. И двете съществуват в един и същ момент и не са един и същ поток. Едното е това, което мрежата за достъп може да види, другото — което дестинацията може да види, а междинно устройство, което прекратява което и да е от двете, променя и двете картини.

Тази разлика обяснява по-голямата част от объркването в обсъжданията на откриването. Тест, който съобщава нещо за един поток, често отговаря на въпрос за различен слой от този, който операторът е имал предвид.

Какво вижда наблюдателят по пътя за достъп

До връзката за достъп видимият материал е самият тунелен протокол: типове пакети за управление и данни за OpenVPN, фиксираните размери на ръкостискането и шаблоните на данни на WireGuard или каквато и обвивка да добави внедряването. Дали класификаторът може да ги идентифицира, зависи от това какво е видимо, кой транспорт го носи и дали има допълнително затъмняване. Разпознаваем шаблон е доказателство за поток, а не доказателство за самоличността или намерението на човека зад него.

Порт 443 е конвенция за достигане до услуга. Той не превръща всеки тунелен транспорт в HTTPS.

Какво всъщност вижда сайтът

При маршрутизиран тунел браузърът все още провежда собствена TLS сесия със сайта. Транслацията на изхода не превръща VPN шлюза в TLS крайна точка на браузъра, затова ClientHello, който сайтът получава, описва браузъра или неговата TLS библиотека. Следователно отпечатък в стил JA3 характеризира приложната връзка, а не VPN софтуера, който я носи. Само умишлено прекратяващ прокси променя тази подредба и то трябва да бъде идентифицирано отделно.

TCP наблюденията изискват същото внимание. Препращането, транслацията и прокси, което отваря нова връзка, са три различни дизайна и само един от тях пренаписва транспортния стек. Една необичайна характеристика не предполага еднозначно тунел.

Дръжте твърдението в границите на доказателствата

Мрежовата класификация, наблюдението на протокола, приложните отпечатъци и сигналите от акаунта са входни данни за решение за риск, всяко с фалшиви положителни, фалшиви отрицателни и липсващи доказателства. Адрес в хостинг диапазон не доказва нищо за търговски VPN, а често срещан браузърен отпечатък не доказва нищо за директен такъв. Когато оценявате детектор, използвайте разрешен набор от данни с известни пътища и записвайте кое наблюдение е дало всеки резултат.

Пазете класификацията на протокола отделно от решение за достъп със последствия. Персонализиран отговор или трик с деформиран пакет не валидира извода зад него; той просто оказва натиск върху догадка.

Полезен доклад назовава наблюдението, точката на наблюдение и увереността. Голият ред „VPN открит“ скрива точно частта, която би позволила на някого да го провери.