Blockiert die Seite Sie nur mit aktiviertem VPN? Das sieht sie

Der Shop lädt zu Hause problemlos und zeigt eine Wand von „ungewöhnlichem Datenverkehr“, sobald der Tunnel steht. Ein Forum verweigert die Anmeldung, und eine Streaming-Seite behauptet, Sie seien in einem Land, das Sie nie besucht haben. Nichts davon erfordert Spyware. Eine Seite sieht die Adresse, von der Ihre Pakete ankommen, und mit einem VPN gehört diese Adresse zu einem Rechenzentrum statt zu einer privaten Leitung. Das meiste, was VPN-Erkennung genannt wird, beginnt und endet mit dieser einen Tatsache, und der Rest ist eine Schlussfolgerung mit vorhersehbarer Fehlerquote.

Die Sperre beginnt damit, woher Ihre Pakete zu kommen scheinen

Jede Anfrage trägt eine Quelladresse, und der empfangende Server kann sie in öffentlichen Daten nachschlagen: welches Netz sie ankündigt, ob dieses Netz ein Hosting-Anbieter ist, ob es in Missbrauchslisten aufgetaucht ist und welches Land das Register zuweist. Nichts davon identifiziert Sie, und alles zusammen reicht, um Sie in eine Schublade zu stecken.

Betrachten Sie Ihren eigenen Datenverkehr mit den Augen eines Fremden. Zwei Befehle decken den größten Teil der Oberfläche ab, und der zweite ist der, den man vergisst:

curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.com

Der erste gibt die Ausgangsadresse, ihre Organisation und ihr Land zurück. Der zweite gibt die Adresse des Resolvers zurück, der den Namensserver von Google erreicht hat; sie gehört oft zu einem anderen Netz als Ihr Ausgang und ist die Adresse, die eine Seite sieht, wenn sie Daten auf der Resolver-Seite protokolliert. Wenn diese beiden zu verschiedenen Ländern gehören, halten manche Seiten die Abweichung für verdächtig, obwohl mit Ihrer Einrichtung alles in Ordnung ist.

Wenn die Ablehnung erst beginnt, nachdem der Tunnel steht, verdächtigen Sie zuerst die Ausgangsadresse. Wechseln Sie den Server und versuchen Sie es erneut, bevor Sie den Browser anfassen. Eine Sperre, die Ihnen über drei Ausgänge desselben Anbieters folgt, betrifft die Bereiche des Anbieters; eine Sperre, die auf einem anderen Server verschwindet, betrifft jene einzelne Adresse.

Zeitzone, Sprache und Uhr passen nicht zur Adresse

Seitencode kann Ihre Zeitzone, Ihre Sprachpräferenzen und Ihre Bildschirmeinstellungen ohne jede Berechtigungsabfrage lesen. Ein Browser, der mitteleuropäische Zeit meldet, während die Verbindung aus einem Rechenzentrum in Singapur kommt, ist ein stärkeres Signal als die Adresse allein, und genau solche Abweichungen soll Betrugsbewertung bemerken.

Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().locale

Diese drei Zeilen in der Entwicklerkonsole sagen Ihnen, was Ihr Browser freiwillig preisgibt. Ein VPN-Client kann Ihre Route ändern und sonst nichts, also bleibt das Profil, das Sie mitführen, inländisch, während Ihr Ausgang es nicht ist. Beständigkeit ist hier entscheidend: Ein Laptop, der auf dieselbe Region wie der Ausgang eingestellt ist, wirkt gewöhnlich, und einer, der sich selbst widerspricht, nicht.

Deshalb ist der Fehler zeitweise. Viele Seiten interessiert es nicht, einige bewerten es, und eine Mitgliederseite entscheidet, dass Sie ein Betrüger sind. Der Client funktioniert in allen drei Fällen korrekt, weshalb die übliche Support-Antwort „Es muss Ihr Browser sein“ sowohl nervt als auch teilweise stimmt.

Was Seitencode wirklich über Ihren Rechner weiß

JavaScript hat keine API, die Netzwerkschnittstellen aufzählt. Eine Seite kann nicht fragen, welche Adressen Ihr Laptop hat, daher ist die alte Behauptung, ein Skript lese Ihre LAN-Adresse, meist eine Erinnerung an die Plugin-Ära, als ActiveX-Steuerelemente, Java-Applets und anderer nativer Code genau das konnten.

WebRTC ist die ehrliche Ausnahme von „keine lokalen Adresslecks“. Seine Kandidatensammlung gab früher lokale Adressen an jede Seite preis, die danach fragte, und die Lösung bestand darin, Host-Kandidaten durch zufällige mDNS-Namen zu ersetzen. Diese Voreinstellung gilt in aktuellen Browsern, aber sie ist eine Browser-Entscheidung und keine Protokollgarantie, daher kann ein veralteter Build oder eine gehärtete Konfiguration, die lokale Kandidaten wieder aktiviert, noch immer lecken. Ein Browser-Update hilft Ihnen hier mehr als jede Erweiterung.

Ihr Anbieter sieht die Namen, nicht die Inhalte

HTTPS schützt den Inhalt einer Seite von Ende zu Ende, und der Tunnelbetreiber, der diese Bytes weiterleitet, kann sie nicht lesen. Der Betreiber kann weiterhin sehen, welche Adresse Sie kontaktiert haben, und in den meisten Bereitstellungen den Servernamen im Handshake, weil der Name lesbar sein muss, damit die Verbindung zur richtigen Seite geroutet wird. Encrypted Client Hello existiert genau, um dieses Feld zu verbergen, und es hilft nur, wenn sowohl der Client als auch die Seite es unterstützen.

Die Namensauflösung ist die andere Hälfte. Wenn Ihr Anbieter auch den Resolver stellt, sieht er jeden Namen, den Sie nachschlagen, bevor eine Verbindung besteht. Wenn Ihr Gerät einen öffentlichen Resolver über HTTPS nutzt, sieht der Anbieter eine Verbindung zu diesem Resolver und nichts weiter, während der Resolver selbst die Liste sieht.

Eine unverschlüsselte HTTP-Anfrage ist für den Betreiber lesbar, aus demselben Grund, aus dem sie für das Hotelnetz lesbar ist: Nichts darin ist verschlüsselt. Ein Tunnel hat nie etwas anderes behauptet, und er repariert nicht die Wahl der Anwendung.

Trennen Sie „das ist ein VPN“ von „das bin ich“

Erkennung ist billig, probabilistisch und oft falsch. Geteilte Ausgangsadressen werden markiert, weil jemand anderes sie missbraucht hat, Unternehmensbereiche werden als Hosting eingestuft, und Mobilfunknetze liefern Geo-Ergebnisse, die alle überraschen. Identifikation ist ein anderes Problem: Sie braucht eine dauerhafte Verbindung wie ein Konto, in das Sie sich eingeloggt haben, ein Cookie, ein Zahlungsdetail oder zwei Beobachter, die Notizen vergleichen.

Entscheiden Sie, gegen welche der beiden Sie tatsächlich kämpfen. Wenn das Ziel ist, eine Seite zu lesen, leistet HTTPS diese Arbeit bereits, und der Tunnel ändert wenig. Wenn das Ziel ist, die Seite daran zu hindern zu wissen, in welcher Stadt Sie sind, sind Ausgang und Resolver entscheidend. Wenn das Ziel ist, die Verbindung zu Ihrer echten Identität zu kappen, ist das Konto der schwache Punkt, und ein Serverwechsel ändert nichts an der Anmeldung, die Sie gerade benutzt haben.

Ein neuer Ausgang meldet Sie nirgends ab, und er kann nicht löschen, was eine Seite bereits über das von Ihnen verwendete Konto gespeichert hat. Die praktische Reihenfolge ist daher unspektakulär: Wählen Sie einen Ausgang, dessen Netz gewöhnlich aussieht, halten Sie das Browserprofil damit konsistent, aktualisieren Sie den Browser, damit die leckanfälligen Funktionen ihre modernen Voreinstellungen nutzen, und akzeptieren Sie, dass eine kleine Zahl von Seiten Sie weiterhin falsch einschätzen wird.