Cylchdroi IP dirprwy heb VPN: beth mae'r allanfa'n ei weld
Cylchdrowch allanfeydd dirprwy heb VPN: beth all dirprwy HTTP ei ddarllen, sut mae sesiynau gludiog yn atal cyflwr wedi torri, a pha allanfa y gallwch ei hamddiffyn mewn polisi.
Mae cylchdroi dirprwy a VPN yn newid eich cyfeiriad cyhoeddus ar haenau gwahanol, a'r gwahaniaeth hwnnw sy'n penderfynu beth sy'n gollwng. Mae VPN yn symud pob pecyn i dwnnel, felly'r cyfeiriad ffynhonnell y mae'r targed yn ei weld yw diweddbwynt y twnnel. Mae dirprwy yn eistedd uwchben yr haen rwydwaith: dim ond y ceisiadau a anfonwch drwyddo sy'n ymddangos o'r allanfa, tra bod popeth arall ar y peiriant yn cadw'r cyfeiriad go iawn. Mae cael y rhaniad hwnnw'n iawn yn troi cylchdroi o flwch ticio yn benderfyniad dylunio.
O ble mae'r cyfeiriad cyhoeddus yn dod mewn gwirionedd
Y cyfeiriad y mae targed yn ei weld yw'r un y gadawodd eich traffig ohono ddiwethaf, ac ar gysylltiad cartref dyna gyfeiriad y darparwr ar eich llwybrydd, nid rhywbeth sy'n eiddo i'r peiriant. Gall ailgychwyn y llwybrydd ddychwelyd yr un les, ac mae newid ei gyfeiriad MAC weithiau'n cynhyrchu un newydd, ond nid yw'r naill na'r llall yn rhoi dewis gwlad i chi. Mae VPN yn disodli'r cyfeiriad ffynhonnell ar haen IP, felly mae pob pecyn o'r peiriant, gan gynnwys DNS a diweddariadau cefndir, yn gadael o ddiweddbwynt y twnnel. Mae dirprwy yn gweithio un haen yn uwch: mae'n derbyn cais, yn agor ei gysylltiad ei hun i'r targed, a dim ond y cais hwnnw sy'n ymddangos o'r allanfa. Mae popeth arall ar y peiriant yn dal i ddefnyddio'r cyfeiriad go iawn.
Mae'r rhaniad hwnnw'n esbonio'r rhan fwyaf o syndodau. Mae estyniad porwr wedi'i anelu at ddirprwy yn newid yr hyn y mae'r porwr yn ei anfon a dim arall, felly mae ail raglen ar yr un llu yn dal i ollwng y cyfeiriad gwreiddiol. Mae gan VPN system-gyfan y modd methiant gwrthwyneb: mae'n cwmpasu traffig yr oeddech am ei gadw'n lleol ac yn cau'n dynn dim ond os yw'r cleient wedi'i ffurfweddu felly. Mae dewis rhwng y ddau mewn gwirionedd yn dewis pa draffig sy'n gorfod symud.
Yna mae cylchdroi'n berthnasol i ba bynnag haen a ddewisoch. Gyda dirprwy, mae cylchdroi'n golygu bod y cais nesaf yn defnyddio allanfa wahanol. Gyda VPN, mae'n golygu dymchwel ac ailadeiladu'r twnnel, sy'n arafach ac yn ymddangos fel ailgysylltu gweladwy.
Beth all dirprwy HTTP ei ddarllen, a beth na all
Ar gyfer HTTP plaen mae'r dirprwy yn gweld URI absoliwt yn llinell y cais, pob pennawd a'r corff. Gall gofnodi'r cyfan ac ailysgrifennu unrhyw ran ohono, a dyna pam mae dirprwy am ddim sy'n chwistrellu sgript i ymatebion yn gwneud yn union yr hyn y mae'r protocol yn ei ganiatáu. Mae dilysu'n defnyddio Proxy-Authorization, ac mae manylyn coll neu anghywir yn cynhyrchu 407 Proxy Authentication Required yn hytrach na gwall cysylltu.
Ar gyfer HTTPS mae'r cleient yn anfon CONNECT host:port ac mae'r dirprwy'n agor twnnel crai, ac wedyn yn gweld beitiau wedi'u hamgryptio. Mae'n dal i ddysgu'r enw llu o linell CONNECT ac fel arfer o faes SNI yn ysgydwad llaw TLS, felly mae cofnodi ar lefel enw llu yn goroesi hyd yn oed os nad yw'r llwyth yn gwneud. Mae darllen y llwyth yn gofyn am derfynu TLS gyda thystysgrif y mae'r cleient yn ymddiried ynddi, sef cynnyrch gwahanol â risg wahanol. Mae'r manyleb semanteg HTTP yn diffinio CONNECT fel cais twnnel, sef y model meddwl cywir ar gyfer yr hyn y gall allanfa ei weld a'r hyn na all.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'Mae'r allbwn manwl yn dangos llinell CONNECT cyn unrhyw draffig TLS, a dyna'r eiliad y mae'r dirprwy'n dysgu eich cyrchfan. Nid yw dirprwy sy'n ateb â 407 byth wedi agor y twnnel, felly ni fydd ailgeisio â gosodiadau TLS gwahanol yn helpu.
Mae gronynnau'r cylchdroi yn penderfynu beth sy'n torri
Cylchdroi ar bob cais yw'r gosodiad sy'n edrych yn fwyaf diogel ac yn torri fwyaf. Mae cwcis, tocynnau CSRF a sesiynau ochr y gweinydd wedi'u rhwymo i hunaniaeth, ac mae hunaniaeth sy'n newid rhwng y mewngofnodi a'r alwad nesaf yn edrych fel herwgipio sesiwn i'r targed. Mae llawer o ddarparwyr yn cynnig sesiwn ludiog trwy ei hamgodio yn enw defnyddiwr y dirprwy, felly mae'r allanfa'n aros yn sefydlog am ffenestr a ddewiswyd.
Dewiswch y gronynnau o'r dasg yn hytrach nag o ragosodiad y darparwr. Gall ymlusgiad sy'n nôl tudalennau annibynnol gylchdroi fesul cais, tra bod rhaid i lif talu neu API dilysedig ddal un allanfa am y llif cyfan. Mae'r ddau alwad isod yn dangos enw defnyddiwr ludiog a diweddbwynt cylchdroi plaen, a'r socks5h sgema'n datrys enwau yn y dirprwy yn hytrach nag yn lleol.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meMae DNS lleol yn ollwng distaw. Os yw'r cleient yn datrys yr enw cyn cysylltu, mae'r datryswr yn dal i ddysgu pob llu rydych yn ymweld ag ef hyd yn oed os yw'r cais HTTP yn gadael yn rhywle arall. Mae'r socks5h ffurf a datrysiad ochr y dirprwy yn osgoi hynny, ac nid yw eu defnyddio'n costio dim.
Beth mae'r targed yn ei ddosbarthu heblaw'r cyfeiriad
Mae enw da cyfeiriad yn un mewnbwn ymhlith sawl un. Mae targedau'n cyfuno'r ASN a'i label canolfan ddata neu breswyl, ôl-bys TLS y cleient, gosodiadau HTTP/2, trefn pennawdau, cyfradd ceisiadau a siâp y llywio. Gall allanfa breswyl a yrrir gan borwr heb ben fethu lle mae allanfa canolfan ddata a yrrir gan sesiwn go iawn yn pasio.
Mae math yr allanfa'n pennu'r hyn y gallwch ei honni'n onest am y traffig, ac mae gan bob un gost wahanol.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Nid yw allanfa a rennir yn niwtral. Mae popeth arall sy'n rhedeg o'r cyfeiriad hwnnw'n glanio yn yr un bwced enw da, ac mae cyfeiriad sydd eisoes wedi'i losgi gan denantiaid eraill yn methu cyn i'ch cais cyntaf gael ei ddarllen.
Dewiswch allanfa y gallwch ei disgrifio mewn polisi
Y cwestiwn defnyddiol nid yw sut i guddio'r cyfeiriad ond pwy sy'n atebol am y traffig sy'n gadael ohono. Mae eich allanfa cwmwl eich hun fesul tasg, darparwr dan gontract â chytundeb prosesu data a chadwraeth gyhoeddedig, a VPN hunangynhaliol ag un hunaniaeth fesul tasg i gyd yn ddisgrifiadwy mewn un frawddeg. Nid yw rhestr am ddim felly, oherwydd nid oes gan ei gweithredwr unrhyw rwymedigaeth i chi ac mae ganddo bob cymhelliant i gofnodi.
Cadwch eich terfynau cyfradd eich hun o dan beth bynnag y mae'r targed yn ei oddef, a chasglwch yn unig y meysydd y mae'r dasg eu hangen, fel bod camgymeriad yn aros yn fach. Mae cylchdroi'n gyflymach i ddianc rhag bloc fel arfer yn codi'r gyfradd ceisiadau a'i hachosaodd.
Ysgrifennwch yr allanfa a ddewiswyd, ei ffenestr gylchdroi a'i pherchennog ym ffurfwedd y dasg cyn y rhediad cyntaf. Pan ddaw'r bloc, y nodyn hwnnw sy'n dweud wrthych a ddylech newid yr allanfa neu newid yr ymddygiad.