Rotar IP de proxy sense VPN: què veu la sortida

La rotació de proxy i una VPN canvien la teva adreça pública en capes diferents, i aquesta diferència decideix què es filtra. Una VPN mou cada paquet dins d'un túnel, així que l'adreça d'origen que veu l'objectiu és el punt final del túnel. Un proxy se situa per sobre de la capa de xarxa: només les peticions que hi envies apareixen des de la sortida, mentre que tota la resta de la màquina conserva l'adreça real. Encertar aquesta separació converteix la rotació d'una casella en una decisió de disseny.

D'on ve realment l'adreça pública

L'adreça que veu un objectiu és la d'on va sortir el teu trànsit per última vegada, i en una connexió domèstica és l'adreça del proveïdor al teu router, no res que posseeixi la màquina. Reiniciar el router pot tornar el mateix contracte d'arrendament, i canviar-ne l'adreça MAC de vegades en produeix una de nova, però cap de les dues coses no et dona un selector de país. Una VPN substitueix l'adreça d'origen a la capa IP, així que cada paquet de la màquina, inclosos el DNS i les actualitzacions en segon pla, surt del punt final del túnel. Un proxy treballa una capa més amunt: accepta una petició, obre la seva pròpia connexió cap a l'objectiu, i només aquesta petició apareix des de la sortida. Tota la resta de la màquina continua fent servir l'adreça real.

Aquesta separació explica la majoria de sorpreses. Una extensió del navegador apuntada a un proxy canvia el que envia el navegador i res més, així que una segona aplicació al mateix amfitrió encara filtra l'adreça original. Una VPN de tot el sistema té el mode de fallada oposat: cobreix trànsit que volies mantenir local i només falla tancada si el client està configurat per fer-ho. Triar entre les dues és realment triar quin trànsit ha de moure's.

La rotació s'aplica llavors a la capa que hagis triat. Amb un proxy, rotació vol dir que la petició següent fa servir una sortida diferent. Amb una VPN, vol dir enderrocar i reconstruir el túnel, cosa que és més lenta i es veu com una reconnexió visible.

Què pot llegir un proxy HTTP i què no

Amb HTTP pla el proxy veu un URI absolut a la línia de petició, cada capçalera i el cos. Pot registrar-ho tot i reescriure'n qualsevol part, i per això un proxy gratuït que injecta un script a les respostes fa exactament el que el protocol permet. L'autenticació fa servir Proxy-Authorization, i una credencial absent o incorrecta produeix 407 Proxy Authentication Required en lloc d'un error de connexió.

Amb HTTPS el client envia CONNECT host:port i el proxy obre un túnel cru, després del qual veu bytes xifrats. Encara aprèn el nom d'amfitrió de la línia CONNECT i normalment del camp SNI de l'apretada de mans TLS, així que el registre a nivell de nom d'amfitrió sobreviu encara que la càrrega útil no ho faci. Llegir la càrrega útil requereix acabar TLS amb un certificat en què el client confiï, que és un altre producte amb un altre risc. L' especificació de semàntica HTTP defineix CONNECT com una petició de túnel, que és el model mental correcte per a què pot i què no pot veure una sortida.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

La sortida detallada mostra la línia CONNECT abans de qualsevol trànsit TLS, i aquest és el moment en què el proxy aprèn la teva destinació. Un proxy que respon amb 407 mai no ha obert el túnel, així que reintentar amb altres ajustos TLS no ajudarà.

La granularitat de la rotació decideix què es trenca

Rotar a cada petició és l'ajust que sembla més segur i trenca més coses. Les galetes, els testimonis CSRF i les sessions del servidor estan lligats a una identitat, i una identitat que canvia entre l'inici de sessió i la crida següent sembla a l'objectiu un segrest de sessió. Molts proveïdors ofereixen una sessió enganxosa codificant-la al nom d'usuari del proxy, així que la sortida es manté fixa durant una finestra triada.

Tria la granularitat segons la tasca, no segons el valor per defecte del proveïdor. Un rastrejador que baixa pàgines independents pot rotar per petició, mentre que un flux de pagament o una API autenticada han de mantenir una sortida durant tot el flux. Les dues crides de sota mostren un nom d'usuari enganxós i un punt final rotatiu simple, i l' socks5h esquema resol noms al proxy en lloc de fer-ho localment.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

El DNS local és una fuita silenciosa. Si el client resol el nom abans de connectar, el resolutor encara aprèn cada amfitrió que visites tot i que la petició HTTP surti en un altre lloc. La socks5h forma i la resolució al costat del proxy ho eviten, i fer-les servir no costa res.

Què classifica l'objectiu a més de l'adreça

La reputació de l'adreça és una entrada entre diverses. Els objectius combinen l'ASN i la seva etiqueta de centre de dades o residencial, l'empremta TLS del client, els ajustos HTTP/2, l'ordre de les capçaleres, la taxa de peticions i la forma de la navegació. Una sortida residencial moguda per un navegador sense interfície pot fallar on una sortida de centre de dades moguda per una sessió real passa.

El tipus de sortida fixa què pots afirmar honestament sobre el trànsit, i cadascun porta un cost diferent.

Una sortida compartida no és neutral. Tot el que corri des d'aquella adreça cau al mateix cistell de reputació, i una adreça ja cremada per altres llogaters falla abans que es llegeixi la teva primera petició.

Tria una sortida que puguis descriure en una política

La pregunta útil no és com amagar l'adreça sinó qui respon del trànsit que en surt. La teva pròpia sortida de núvol per tasca, un proveïdor contractat amb un acord de tractament de dades i una retenció publicada, i una VPN autoallotjada amb una identitat per tasca són tots descriptibles en una frase. Una llista gratuïta no ho és, perquè el seu operador no té cap obligació amb tu i té tots els incentius per registrar.

Mantén els teus límits de taxa per sota del que tolera l'objectiu, i recull només els camps que la tasca necessita, perquè un error quedi petit. Rotar més de pressa per escapar d'un bloc sovint apuja la taxa de peticions que el va causar.

Escriu la sortida triada, la seva finestra de rotació i el seu propietari a la configuració del treball abans de la primera execució. Quan arribi el bloc, aquesta nota és la que et diu si has de canviar la sortida o canviar el comportament.