Archwiliadau ymwelwyr VPN: sgorio enw da ac oedi yn ddiogel

Mae dangosfwrdd twyll yn nodi ymwelydd fel VPN, mae'r dadansoddwr yn gofyn am floc, ac mae'r cais yn cyrraedd tîm y platfform heb ddim ond gwerth booleaidd gan werthwr. Amcangyfrif yw'r gwerth booleaidd hwnnw, ac mae'n methu i gyfeiriad gwahanol i fesur oedi. Cyn gweithredu, gwahanwch yr hyn y mae'r cais ei hun yn ei brofi, yr hyn y mae gwasanaeth enw da yn ei ddatgan, a'r hyn y mae amseru ond yn ei awgrymu. Yna dewiswch ymateb y gallwch ei wrthdroi pan fo'r amcangyfrif yn anghywir.

Casglwch y ffeithiau cais sy'n amddiffynadwy gennych

Yr unig gyfeiriad y gŵyr eich gweinydd yn sicr amdano yw'r cymar TCP a gwblhaodd y cysylltiad. Pan fydd CDN neu wrthdroi-ddirprwy yn terfynu'r cysylltiad hwnnw, y cymar yw'r ymyl, ac mae cyfeiriad y cleient yn teithio mewn pennawd anfon ymlaen sydd ond yn ddibynadwy pan fydd eich ymyl eich hun wedi'i ychwanegu. Darllenwch y cofnod a ysgrifennodd eich dirprwy, byth y llinyn aseistaf, oherwydd gall cleient anfon unrhyw werth a ddymuna yn y safle hwnnw. Rhaid i bopeth i lawr yr afon gadw'r gwahaniaeth hwnnw.

Mae dau gyfoethogiad rhad yn troi'r cyfeiriad yn rhywbeth adolygadwy: y system ymreolaethol sy'n ei gyhoeddi a'r cofnod PTR sy'n pwyntio'n ôl ato. Mae'r ddau yn disgrifio cofrestriad yn hytrach nag ymddygiad, ac mae'r ddau yn atgynhyrchadwy yn ddiweddarach.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Mae ASN lletya yn awgrym cryf ac nid yn farn. Mae canolyddion VPN corfforaethol, allanfeydd cwmwl a rhai rhwydweithiau prifysgol hefyd yn eistedd mewn canolfannau data, felly mae'r un signal sy'n dal allanfa fasnachol hefyd yn dal swyddfa gyfreithlon. Cadwch y cyfeiriad dim ond cyhyd ag y mae'r adolygiad yn ei angen, oherwydd mae IP yn ddata personol yn y rhan fwyaf o gynlluniau preifatrwydd. Dilëwch ef yn ôl amserlen yn hytrach na'i gadw am gyfnod amhenodol.

Sgoriwch yr ymwelydd cyn ei gyfyngu

Rhedwch unrhyw signal newydd mewn modd arsylwi yn gyntaf. Cofnodwch y mewnbynnau a chod rheswm, gadewch bob cais drwodd, a chymharwch y dosbarthiad sgôr â chyfrifon y gwyddoch eu bod yn gyfreithlon. Mae hyn yn cynhyrchu amcangyfrif ffug-bositif cyn i unrhyw un golli mynediad, a'r rhif hwnnw sy'n penderfynu a yw rheol yn ddiogel i'w galluogi.

Mapwch y cyfanswm i dri gweithred yn hytrach na dau: caniatáu, her camu-i-fyny, adolygiad â llaw. Dylai bloc parhaol fod angen camdriniaeth ailadroddus a gadarnhawyd gan berson, oherwydd bod ffug-bositif ar deithiwr corfforaethol yn costio tocyn cymorth a sesiwn golledig, tra nad yw ffug-negatif ar un cais yn costio bron dim.

Cadwch yr ymchwiliad enw da ar ochr y gweinydd ac yn gyfyngedig

Galwch y gwasanaeth enw da o'r backend â therfyn amser byr, storiwch y farn am gyfnod penodol, a thriniwch derfyn amser fel anhysbys yn hytrach nag fel glân. Peidiwch byth â rhoi allwedd API mewn cod ochr y cleient, a pheidiwch byth â gadael i'r ymchwiliad rwystro rendrad y dudalen; dylai trydydd parti araf ddiraddio'r sgôr, nid y safle.

Storiwch fesul cyfeiriad yn hytrach nag fesul ystod. Mae dosbarthu /24 cyfan o un ymchwiliad yn lledaenu barn anghywir i gymdogion na wnaethoch eu mesur erioed. Cofnodwch y gwerthwr, dyddiad yr ymateb a gwerth y dosbarthiad ochr yn ochr â chod y rheswm, fel y gall adolygiad diweddarach ddweud pa farn oedd mewn grym.

Gall dau ddarparwr ddosbarthu un cyfeiriad yn wahanol o fewn diwrnod, a dyna pam mae'r farn yn perthyn i'r golofn dystiolaeth ac nid i'r golofn hunaniaeth. Mae hefyd yn berthynas brosesu: mae anfon cyfeiriad pob ymwelydd at drydydd parti angen sail gyfreithlon, rheol cadw a llinell yn yr hysbysiad preifatrwydd.

Mesurwch oedi gyda chanolrif, nid un sampl

Mae amser cylchdroi yn disgrifio'r llwybr ar y foment y gwnaethoch ei fesur. Gall ymyl anycast agos wasanaethu defnyddiwr pell, mae rhwydwaith symudol yn ychwanegu oedi nad oes ganddo ddim i'w wneud â daearyddiaeth, ac mae allanfa VPN yn ngwlad yr ymwelydd ei hun yn edrych yn lleol. Mae geoleoliad ar lefel dinas yn aml yn adrodd y ganolfan ddata yn hytrach na'r person.

Cymerwch sawl sampl a defnyddiwch y canolrif fel nad yw un cais araf yn symud y canlyniad. Mae'r ddolen isod yn argraffu canolrif pump.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Cymharwch y rhif â'r dosbarthiad ar gyfer defnyddwyr y gwyddys eu bod yn dda yn hytrach na throthwy absoliwt, a chyfunwch ef â'r ASN. Mae dau signal gwan sy'n cytuno'n gryfach nag unrhyw un ar ei ben ei hun, ond mae'r casgliad yn dal i fod am lwybr, nid am fwriad, felly mae'n perthyn i sgôr yn hytrach nag i waharddiad.

Penderfynwch, cofnodwch ac wrthdroi

Cyn galluogi rheol, ailchwaraewch ddiwrnod o draffig mewn modd arsylwi a chyfrifwch beth fyddai wedi digwydd. Storiwch fewnbynnau'r sgôr, cod y rheswm a fersiwn y rheol, ond cadwch gyfeiriadau crai dim ond ar gyfer y ffenestr adolygu. Os yw'r rheol yn tanio ar gyfrif cyfreithlon, dylai'r cofnod esbonio pam heb ail ymchwiliad.

Rhowch ei switsh ei hun i bob rheol. Pan fydd cwblhau camu-i-fyny yn gostwng neu docynnau cymorth yn codi'n sydyn, analluogwch y rheol honno a chadwch weddill y biblinell yn rhedeg; mae un switsh lladd byd-eang yn troi problem tiwnio yn amhariad. Ar ôl y newid, gwyliwch gyfradd gwblhau'r her a'r ciw apeliadau, nid cyfrif y blociau yn unig.

Yn olaf, cadwch yr ymateb yn gymesur â'r golled rydych yn ei hatal. Mewn twyll hysbysebu, mae statws VPN yn ddirprwy wan am glic ffug, ac mae signalau ymddygiadol fel patrymau trosi a chysondeb dyfeisiau yn mynd i'r afael â'r difrod gwirioneddol. Mae her wrthdroadwy yn amddiffyn y refeniw a'r defnyddiwr go iawn ar yr un pryd.