Rotering af proxy-IP'er uden VPN: hvad udgangen ser

Proxyrotation og en VPN ændrer din offentlige adresse på forskellige lag, og den forskel afgør, hvad der lækker. En VPN flytter hver pakke ind i en tunnel, så kildeadressen, som målet ser, er tunnelens endepunkt. En proxy sidder over netværkslaget: kun de anmodninger, du sender gennem den, vises fra udgangen, mens alt andet på maskinen beholder den rigtige adresse. Får du den opdeling rigtigt, bliver rotasjon fra et afkrydsningsfelt til en designbeslutning.

Hvor den offentlige adresse egentlig kommer fra

Den adresse, et mål ser, er den, din trafik sidst forlod, og på en hjemmeforbindelse er det udbyderens adresse på din router, ikke noget maskinen ejer. Genstart af routeren kan give den samme leje tilbage, og ændring af dens MAC-adresse giver nogle gange en ny, men ingen af delene giver dig et landevalg. En VPN erstatter kildeadressen på IP-laget, så hver pakke fra maskinen, inklusive DNS og baggrundsopdateringer, forlader tunnelens endepunkt. En proxy arbejder et lag højere: den accepterer en anmodning, åbner sin egen forbindelse til målet, og kun den anmodning vises fra udgangen. Alt andet på maskinen bruger stadig den rigtige adresse.

Den opdeling forklarer de fleste overraskelser. En browserudvidelse rettet mod en proxy ændrer kun det, browseren sender, og intet andet, så en anden applikation på samme vært lækker stadig den oprindelige adresse. En systemdækkende VPN har den modsatte fejltilstand: den dækker trafik, du ville holde lokal, og lukker kun ned, hvis klienten er konfigureret til det. At vælge mellem de to er reelt at vælge, hvilken trafik der skal flytte sig.

Rotasjon gælder så for det lag, du valgte. Med en proxy betyder rotasjon, at den næste anmodning bruger en anden udgang. Med en VPN betyder det at rive tunnelen ned og bygge den op igen, hvilket er langsommere og viser sig som en synlig genopkobling.

Hvad en HTTP-proxy kan læse, og hvad den ikke kan

Ved almindelig HTTP ser proxyen en absolut URI i anmodningslinjen, hver header og kroppen. Den kan logge det hele og omskrive enhver del af det, og derfor gør en gratis proxy, der injicerer et script i svar, præcis det, protokollen tillader. Godkendelse bruger Proxy-Authorization, og en manglende eller forkert legitimationsoplysning giver 407 Proxy Authentication Required i stedet for en forbindelsesfejl.

Ved HTTPS sender klienten CONNECT host:port og proxyen åbner en rå tunnel, hvorefter den ser krypterede bytes. Den lærer stadig værtsnavnet fra CONNECT-linjen og normalt fra SNI-feltet i TLS-håndtrykket, så logning på værtsnavneniveau overlever, selv når nyttelasten ikke gør. At læse nyttelasten kræver at afslutte TLS med et certifikat, klienten stoler på, hvilket er et andet produkt med en anden risiko. Den HTTP-semantikspecifikation definerer CONNECT som en tunnelanmodning, hvilket er den rigtige tankemodel for, hvad en udgang kan og ikke kan se.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Det detaljerede output viser CONNECT-linjen før nogen TLS-trafik, og det er det øjeblik, proxyen lærer din destination. En proxy, der svarer med 407, har aldrig åbnet tunnelen, så et nyt forsøg med andre TLS-indstillinger hjælper ikke.

Rotationsgranulariteten afgør, hvad der brækker

Rotasjon ved hver anmodning er den indstilling, der ser sikrest ud og brækker mest. Cookies, CSRF-tokens og serverside-sessioner er bundet til en identitet, og en identitet, der skifter mellem login og næste kald, ser ud som sessionskapring for målet. Mange udbydere tilbyder en sticky session ved at indkode den i proxyens brugernavn, så udgangen forbliver fast i et valgt vindue.

Vælg granulariteten ud fra opgaven i stedet for udbyderens standard. En crawler, der henter uafhængige sider, kan rotere per anmodning, mens et betalingsflow eller et godkendt API skal holde én udgang gennem hele flowet. De to kald nedenfor viser et sticky brugernavn og et almindeligt roterende endepunkt, og socks5h skemaet opløser navne hos proxyen i stedet for lokalt.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Lokal DNS er en stille lækage. Hvis klienten opløser navnet, før den forbinder, lærer resolveren stadig hver vært, du besøger, selv om HTTP-anmodningen forlader et andet sted. Den socks5h form og opløsning på proxysiden undgår det, og det koster intet at bruge dem.

Hvad målet klassificerer ud over adressen

Adressens omdømme er ét input blandt flere. Mål kombinerer ASN og dens etiket datacenter eller bolig, klientens TLS-fingeraftryk, HTTP/2-indstillinger, headerrækkefølge, anmodningsrate og navigationens form. En boligudgang drevet af en hovedløs browser kan fejle, hvor en datacenterudgang drevet af en rigtig session går igennem.

Udgangstypen fastlægger, hvad du ærligt kan påstå om trafikken, og hver især har en anden pris.

En delt udgang er ikke neutral. Alt andet, der kører fra den adresse, lander i samme omdømmebøtte, og en adresse, der allerede er brændt af andre lejere, fejler, før din første anmodning læses.

Vælg en udgang, du kan beskrive i en politik

Det nyttige spørgsmål er ikke, hvordan man skjuler adressen, men hvem der er ansvarlig for trafikken, der forlader den. Din egen cloududgang per opgave, en kontraheret udbyder med en databehandlingsaftale og offentliggjort opbevaring, og en selvhostet VPN med én identitet per opgave kan alle beskrives i én sætning. En gratis liste kan ikke, fordi dens operatør ikke har nogen forpligtelse over for dig og har enhver tilskyndelse til at logge.

Hold dine egne rategrænser under det, målet tolererer, og indsaml kun de felter, opgaven har brug for, så en fejl forbliver lille. Hurtigere rotation for at slippe ud af en blokering hæver normalt den anmodningsrate, der forårsagede den.

Skriv den valgte udgang, dens rotationsvindue og dens ejer ind i jobkonfigurationen før den første kørsel. Når blokeringen kommer, er det notat, der fortæller dig, om du skal skifte udgang eller ændre adfærd.