Sådan virker VPN- og proxyregistrering, og hvor den svigter
IP-lister, omdømme-API'er og fingeraftryk fejler på forskellige måder. Beslut hvilket misbrug du stopper, mål falske positiver, og håndhæv så med en årsagskode.
Når nogen spørger, hvordan man blokerer VPN-brugere, gemmer der sig tre forskellige ønsker i sætningen: stop svindel, stop scraping, eller håndhæv en licensgrænse. Hver især tåler en anden fejlrate, og ingen af dem besvares ved at vide, om en adresse hører til en tunnel. Det, en klassificering returnerer, er en sandsynlighed for infrastruktur, ikke en udtalelse om personen, der bruger den.
Hvad en IP-klassificering egentlig beregner
De fleste tjenester kombinerer fire datakilder, og de ældes i forskelligt tempo. Tor-exitlister kommer fra bibliotekets konsensus og er næsten komplette, så længe den holder. Åbne proxylister er delvise og forældede inden for dage. Kommercielle exitlister halter efter nye udbydere af design, fordi adresser roterer hurtigere, end nogen leverandør kan gennemgå dem. Heuristik for hostingområder er det billigste og det groveste signal.
Det sidste er, hvor de fleste falske positiver fødes. Virksomheders udgange, cloud-hostede browsere, campus-NAT og mobiloperatørers gateways ligner alle hosting eller delt infrastruktur, og hver af dem kan indeholde almindelige kunder.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 fjerner enhver resterende komfort. En klient kan have en anden adresse pr. forbindelse, og en udbyder kan rotere et præfiks mellem forespørgsler, så en regel, der behandler en adresse som varig identitet, vil drive væk fra virkeligheden inden for uger.
Hvorfor protokolfingeraftryk forfalder
MSS- og tidsforskelle kan identificere nogle OpenVPN-konfigurationer, og teknikken er virkelig skrøbelig. Signalet afhænger af valgmuligheder, som brugeren styrer, af MTU på vejen og af mellemled, du ikke ejer. Skift én cipher eller én MSS-grænse, og fingeraftrykket flytter sig. En udbyder, der sender en ny standard, gør det samme ved din regel fra den ene dag til den anden.
Omvendte sonderinger har et værre problem end skrøbelighed: de er fjendtlige. At skanne en besøgendes porte er langsomt, let blokeret af den samme virksomhedsfirewall, som dine kunder sidder bag, og svært at forsvare i en privatlivsrevision. Latencytærskler fanger fjerne brugere lige så pålideligt som tunnelbrugere, hvilket betyder, at din regel egentlig er «bloker folk langt væk» med en anden etiket.
Uanset hvad du vælger, skal du kunne forklare det for en supportagent klokken 2 om natten. Et signal, som ingen kan beskrive, bliver en blokering, som ingen kan ophæve. Skriv forklaringen, før du skriver reglen, ikke efter den første klage.
Identitet og adfærd slår gæt på anonymitet
Hastighedsgrænser, login-krav, betalingskontroller og kvoter pr. konto håndterer misbrug uden at straffe læsere, der går op i privatliv. De bliver også ved med at virke, når adressen ændres, fordi de hænger på noget, som klienten ikke kan rotere gratis.
Hvis en geografisk begrænsning er et licenskrav, håndhæv den som en dokumenteret politik med en klar fejlmeddelelse og en regelmæssig gennemgang. Det er en anden kontrol end at gætte på anonymitet, og den skal beskrives anderledes i teksten til kunden. At blokere de porte, en VPN-protokol bruger, kan reducere automatiseret misbrug, men det ødelægger også legitim fjernadgang og omgås trivielt af enhver, der er beslutsom.
Rul det ud som en måling først
Kør klassificeringen i kun-rapport-tilstand i et par uger. Sammenlign den population, den ville have blokeret, med tilmeldinger, konverteringer og supportbilletter, og sæt derefter budgettet for falske positiver, før du sætter tærsklen.
Test igen mod et lille kendt sæt: en hjemmeforbindelse, en mobiloperatør, en virksomhedsudgang og en kommerciel VPN. Fire tilfælde afslører de fleste af de fejl, der ellers ville nå kunderne, og de koster en eftermiddag.
Hold det rå signal og håndhævelsesbeslutningen adskilt. Log scoren, selv når tærsklen er høj, send det tvetydige midterområde til en menneskelig kø, og mærk hver blokering med en årsagskode, så den næste politikgennemgang kan se, hvilket signal der fortjente sin plads.
Ankevejen er en del af kontrollen
Enhver automatisk blokering har brug for en menneskelig vej: en kontaktadresse, en oplyst svartid og en navngiven ejer af gennemgangen. Uden én er en falsk positiv en stille tabt kunde og en supportbillet, som ingen kan handle på.
Sig klart, at adgang kan være begrænset, hvorfor, og hvordan man beder om en gennemgang. Versionér politikken, så support kan sige, hvilken regel der gjaldt på en given dato. En blokering, du ikke kan forklare, ophæve eller måle, er ikke en kontrol; det er et gæt med en loglinje.