Jak funguje detekce VPN a proxy a kde selhává
IP seznamy, reputační API a otisky selhávají různě. Rozhodněte, jakému zneužití bráníte, změřte falešně pozitivní výsledky a pak zasáhněte s kódem důvodu.
Když se někdo ptá, jak blokovat uživatele VPN, skrývají se ve větě tři různé požadavky: zastavit podvody, zastavit scraping, nebo prosadit licenční hranici. Každý snáší jinou míru chyb a ani jeden se nevyřeší tím, že víme, zda adresa patří tunelu. Co klasifikátor vrací, je pravděpodobnost o infrastruktuře, ne tvrzení o člověku, který ji používá.
Co vlastně IP klasifikátor počítá
Většina služeb kombinuje čtyři zdroje dat a ty stárnou různou rychlostí. Seznamy výstupů Tor pocházejí z konsenzu adresáře a jsou téměř úplné, dokud trvá. Seznamy otevřených proxy jsou částečné a během dnů zastaralé. Komerční seznamy výstupů zaostávají za novými poskytovateli už z principu, protože adresy rotují rychleji, než je kterýkoli dodavatel stihne projít. Heuristika hostingových rozsahů je nejlevnější a nejhrubší signál.
Právě ten poslední rodí většinu falešně pozitivních případů. Firemní výstupy, prohlížeče hostované v cloudu, kampusový NAT a brány mobilních operátorů vypadají všechny jako hosting nebo sdílená infrastruktura a každý z nich může obsahovat běžné zákazníky.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 odstraňuje i poslední pohodlí. Klient může mít jinou adresu pro každé spojení a poskytovatel může mezi požadavky rotovat prefix, takže pravidlo, které s adresou zachází jako s trvalou identitou, se během týdnů odchýlí od reality.
Proč otisky protokolů chátrají
Rozdíly v MSS a v časování mohou identifikovat některé OpenVPN konfigurace a technika je opravdu křehká. Signál závisí na volbách, které ovládá uživatel, na MTU cesty a na mezilehlých prvcích, které nevlastníte. Změňte jednu šifru nebo jeden MSS limit a otisk se posune. Poskytovatel, který vydá nový výchozí stav, udělá totéž vašemu pravidlu přes noc.
Reverzní sondy mají horší problém než křehkost: jsou nepřátelské. Skenování portů návštěvníka je pomalé, snadno ho zablokuje stejný firemní firewall, za kterým sedí vaši zákazníci, a v auditu soukromí se obtížně obhajuje. Prahy latence zachytí vzdálené uživatele stejně spolehlivě jako uživatele tunelu, což znamená, že vaše pravidlo je vlastně „blokuj lidi daleko“ s jinou etiketou.
Ať zvolíte cokoli, musíte to umět vysvětlit podpůrnému agentovi ve 2 ráno. Signál, který nikdo nedokáže popsat, se stane blokem, který nikdo nedokáže zrušit. Napište vysvětlení dřív, než napíšete pravidlo, ne až po první stížnosti.
Identita a chování porážejí dohady o anonymitě
Omezení rychlosti, požadavky na přihlášení, kontroly plateb a kvóty na účet řeší zneužití, aniž by trestaly čtenáře, kterým záleží na soukromí. Fungují i tehdy, když se adresa změní, protože se vážou na něco, co klient nemůže zdarma rotovat.
Pokud je geografické omezení licenčním požadavkem, prosazujte ho jako zdokumentovanou politiku s jasnou chybovou zprávou a pravidelnou revizí. To je jiná kontrola než hádání anonymity a v textu pro zákazníka se má popisovat jinak. Blokování portů, které používá protokol VPN, může snížit automatizované zneužití, ale také rozbíjí legitimní vzdálený přístup a kdokoli odhodlaný ho snadno obejde.
Nejprve to nasaďte jako měření
Spusťte klasifikátor na pár týdnů v režimu pouze-report. Porovnejte populaci, kterou by zablokoval, s registracemi, konverzemi a podpůrnými tikety, a pak stanovte rozpočet falešně pozitivních, než nastavíte prahu.
Otestujte znovu na malém známém souboru: domácí připojení, mobilní operátor, firemní výstup a komerční VPN. Čtyři případy odhalí většinu chyb, které by se jinak dostaly k zákazníkům, a stojí jedno odpoledne.
Držte surový signál a rozhodnutí o zásahu odděleně. Zaznamenávejte skóre i když je práh vysoký, směrujte nejednoznačný střed do lidské fronty a označte každý blok kódem důvodu, aby příští revize politiky poznala, který signál si své místo zasloužil.
Cesta odvolání je součástí kontroly
Každý automatický blok potřebuje lidskou cestu: kontaktní adresu, uvedenou dobu odezvy a jmenovaného vlastníka revize. Bez toho je falešně pozitivní tichý ztracený zákazník a tiket podpory, se kterým nikdo nemůže nic udělat.
Řekněte jasně, že přístup může být omezen, proč a jak požádat o revizi. Verzujte politiku, aby podpora mohla říci, které pravidlo platilo k danému datu. Blok, který nedokážete vysvětlit, zrušit nebo změřit, není kontrola; je to dohad s řádkem v logu.