Váš server vidí výstup VPN, ne návštěvníka

Návštěvník se připojuje přes komerční VPN a vaše aplikace zaznamená výstupní adresu. To není skrytá identita: je to jediná zdrojová adresa, kterou TCP spojení má. Všechno ostatní, co lidé nazývají detekcí, je odvozenina vrstvená na tento jediný fakt.

Co požadavek skutečně nese

Aplikace vidí zdrojovou adresu a port spojení, dokončený handshake a bajty, které se klient rozhodl odeslat. Pod plným tunelem je tím zdrojem výstup, sdílený všemi, kdo ho používají. Pod rozděleným tunelem mohou požadavky přicházet z tunelu nebo z místního připojení podle cíle. Pokud jsou klient i server ve stejné VPN, je zdrojem vnitřní adresa tunelu klienta, která identifikuje koncový bod, nikoli polohu.

Žádné pole běžného požadavku nenese adresu, kterou klient měl před tunelem. Předávací hlavička je tvrzení klienta nebo proxy a lze ji vynechat nebo zfalšovat.

Detekce je klasifikace a klasifikace je odhad

Praktickými metodami jsou seznamy známých rozsahů VPN a hostingu, latence, která neodpovídá uváděnému regionu, tvary traceroute a chování účtu. Každá z nich dává pravděpodobnost. Firemní VPN může sídlit na adresách, které vypadají rezidenčně, rezidenční proxy může vypadat jako domácí linka a NAT operátora může vypadat jako hostingový rozsah.

Blokování sdíleného výstupu zablokuje každého nesouvisejícího uživatele za ním, což mění rozhodnutí o detekci v vedlejší výpadek. Skóre důvěryhodnosti není identita a nikdy by nemělo být jediným vstupem pro rozhodnutí o zákazu nebo vrácení peněz.

Pokud VPN vlastníte, máte spolehlivý signál, který s detekcí nemá nic společného: přidělte vyhrazený fond a porovnejte pozorovaný zdroj s ním. Funguje to, protože ovládáte oba konce a můžete fond zdokumentovat. Nezobecňuje se to však na návštěvníky, které nespravujete, a přestává být spolehlivé ve chvíli, kdy se fond sdílí s jinými službami.

Místní důkazy versus důkazy na straně serveru

Na samotném stroji je tunel viditelný: virtuální adaptér, výchozí trasa ukazující na tunelové zařízení, změněný resolver. Kód, který tam běží, může vyjmenovat rozhraní a hledat PPP, TAP nebo ovladač výrobce.

Webová stránka nic z toho přečíst nedokáže. Běžná obezlička načte prostředek poskytovaný pouze z vnitřní sítě a úspěch považuje za důkaz používání tunelu. Ve skutečnosti testuje dostupnost: rozdělený tunel, zastaralý soubor v mezipaměti nebo proxy pro odposlech dají stejný výsledek v obou stavech. Místní důkazy zůstávají místními.

Vyberte řízení přístupu, které vydrží nejednoznačnost

Stavějte řízení přístupu na ověřené identitě, zdraví zařízení a autorizaci pro každý prostředek. Tyto predikáty popisují, kdo se ptá a kam smí dosáhnout, a zůstávají smysluplné bez ohledu na to, zda je zapojen tunel. Zda požadavek přišel přes VPN, je slabý signál, který dává jak falešná povolení, tak vedlejší blokování. Držte důkaz a rozhodnutí v oddělených polích, aby sporné blokování mělo co přezkoumat.

IP geolokace je jeden vstup mezi několika a služby polohy prohlížeče mohou používat Wi-Fi nebo GPS, které tunel nikdy nenásledují. Mapa, která stále ukazuje město návštěvníka, je důkazem o službách polohy, ne důkazem, že tunel selhal.

Zapište, který signál vedl každé rozhodnutí. Když zákazník zablokování napadne, tento záznam je rozdíl mezi přezkumem a hádkou.