Περιστροφή διευθύνσεων IP διαμεσολαβητή χωρίς VPN: τι βλέπει η έξοδος

Η περιστροφή διαμεσολαβητή και ένα VPN αλλάζουν τη δημόσια διεύθυνσή σας σε διαφορετικά επίπεδα, και αυτή η διαφορά καθορίζει τι διαρρέει. Ένα VPN μετακινεί κάθε πακέτο σε μια σήραγγα, οπότε η διεύθυνση προέλευσης που βλέπει ο στόχος είναι το τελικό σημείο της σήραγγας. Ο διαμεσολαβητής βρίσκεται πάνω από το επίπεδο δικτύου: μόνο τα αιτήματα που στέλνετε μέσω αυτού εμφανίζονται από την έξοδο, ενώ ό,τι άλλο στο μηχάνημα κρατά την πραγματική διεύθυνση. Όταν αυτός ο διαχωρισμός γίνει σωστά, η περιστροφή μετατρέπεται από ένα κουτάκι σε σχεδιαστική απόφαση.

Από πού προέρχεται στην πραγματικότητα η δημόσια διεύθυνση

Η διεύθυνση που βλέπει ένας στόχος είναι αυτή από την οποία έφυγε τελευταία η κίνησή σας, και σε μια οικιακή σύνδεση είναι η διεύθυνση του παρόχου στον δρομολογητή σας, όχι κάτι που κατέχει το μηχάνημα. Η επανεκκίνηση του δρομολογητή μπορεί να επιστρέψει την ίδια μίσθωση, και η αλλαγή της διεύθυνσης MAC μερικές φορές παράγει νέα, αλλά καμία από τις δύο δεν σας δίνει επιλογή χώρας. Ένα VPN αντικαθιστά τη διεύθυνση προέλευσης στο επίπεδο IP, οπότε κάθε πακέτο από το μηχάνημα, μαζί με το DNS και τις ενημερώσεις παρασκηνίου, φεύγει από το τελικό σημείο της σήραγγας. Ο διαμεσολαβητής δουλεύει ένα επίπεδο πιο πάνω: δέχεται ένα αίτημα, ανοίγει τη δική του σύνδεση προς τον στόχο, και μόνο αυτό το αίτημα εμφανίζεται από την έξοδο. Όλα τα άλλα στο μηχάνημα εξακολουθούν να χρησιμοποιούν την πραγματική διεύθυνση.

Αυτός ο διαχωρισμός εξηγεί τις περισσότερες εκπλήξεις. Μια επέκταση περιηγητή που δείχνει σε διαμεσολαβητή αλλάζει μόνο ό,τι στέλνει ο περιηγητής και τίποτα άλλο, οπότε μια δεύτερη εφαρμογή στον ίδιο κεντρικό υπολογιστή εξακολουθεί να διαρρέει την αρχική διεύθυνση. Ένα VPN σε επίπεδο συστήματος έχει τον αντίθετο τρόπο αποτυχίας: καλύπτει κίνηση που θέλατε να μείνει τοπική και κλείνει μόνο αν ο πελάτης είναι ρυθμισμένος έτσι. Η επιλογή ανάμεσα στα δύο είναι στην πραγματικότητα επιλογή του ποια κίνηση πρέπει να μετακινηθεί.

Η περιστροφή εφαρμόζεται τότε στο επίπεδο που επιλέξατε. Με διαμεσολαβητή, περιστροφή σημαίνει ότι το επόμενο αίτημα χρησιμοποιεί άλλη έξοδο. Με VPN, σημαίνει κατεδάφιση και ανοικοδόμηση της σήραγγας, που είναι πιο αργό και εμφανίζεται ως ορατή επανασύνδεση.

Τι μπορεί να διαβάσει ένας διαμεσολαβητής HTTP και τι όχι

Σε απλό HTTP ο διαμεσολαβητής βλέπει απόλυτο URI στη γραμμή αιτήματος, κάθε κεφαλίδα και το σώμα. Μπορεί να καταγράψει τα πάντα και να ξαναγράψει οποιοδήποτε μέρος τους, γι' αυτό ένας δωρεάν διαμεσολαβητής που εγχέει σενάριο στις απαντήσεις κάνει ακριβώς ό,τι επιτρέπει το πρωτόκολλο. Η πιστοποίηση χρησιμοποιεί Proxy-Authorization, και ένα διαπιστευτήριο που λείπει ή είναι λάθος παράγει 407 Proxy Authentication Required αντί για σφάλμα σύνδεσης.

Σε HTTPS ο πελάτης στέλνει CONNECT host:port και ο διαμεσολαβητής ανοίγει μια ακατέργαστη σήραγγα, μετά την οποία βλέπει κρυπτογραφημένα byte. Εξακολουθεί να μαθαίνει το όνομα κεντρικού υπολογιστή από τη γραμμή CONNECT και συνήθως από το πεδίο SNI στη χειραψία TLS, οπότε η καταγραφή σε επίπεδο ονόματος επιβιώνει ακόμη και όταν το ωφέλιμο φορτίο δεν επιβιώνει. Η ανάγνωση του ωφέλιμου φορτίου απαιτεί τερματισμό του TLS με πιστοποιητικό που εμπιστεύεται ο πελάτης, που είναι άλλο προϊόν με άλλο ρίσκο. Η προδιαγραφή σημασιολογίας HTTP ορίζει το CONNECT ως αίτημα σήραγγας, που είναι το σωστό νοητικό μοντέλο για το τι μπορεί και τι δεν μπορεί να δει μια έξοδος.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Η λεπτομερής έξοδος δείχνει τη γραμμή CONNECT πριν από οποιαδήποτε κίνηση TLS, και εκείνη είναι η στιγμή που ο διαμεσολαβητής μαθαίνει τον προορισμό σας. Ένας διαμεσολαβητής που απαντά με 407 δεν άνοιξε ποτέ τη σήραγγα, οπότε η επανάληψη με άλλες ρυθμίσεις TLS δεν θα βοηθήσει.

Η κοκκομετρία της περιστροφής καθορίζει τι σπάει

Η περιστροφή σε κάθε αίτημα είναι η ρύθμιση που φαίνεται πιο ασφαλής και σπάει τα περισσότερα. Τα cookies, τα διακριτικά CSRF και οι συνεδρίες στην πλευρά του διακομιστή είναι δεμένα σε μια ταυτότητα, και μια ταυτότητα που αλλάζει μεταξύ της σύνδεσης και της επόμενης κλήσης φαίνεται στον στόχο σαν κλοπή συνεδρίας. Πολλοί πάροχοι προσφέρουν κολλώδη συνεδρία κωδικοποιώντας την στο όνομα χρήστη του διαμεσολαβητή, ώστε η έξοδος να μένει σταθερή για ένα επιλεγμένο παράθυρο.

Διαλέξτε την κοκκομετρία από την εργασία και όχι από την προεπιλογή του παρόχου. Ένας ανιχνευτής που φέρνει ανεξάρτητες σελίδες μπορεί να περιστρέφεται ανά αίτημα, ενώ μια ροή πληρωμής ή ένα πιστοποιημένο API πρέπει να κρατά μία έξοδο για όλη τη ροή. Οι δύο κλήσεις παρακάτω δείχνουν ένα κολλώδες όνομα χρήστη και ένα απλό περιστρεφόμενο τελικό σημείο, και το socks5h σχήμα επιλύει ονόματα στον διαμεσολαβητή αντί τοπικά.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Το τοπικό DNS είναι μια ήσυχη διαρροή. Αν ο πελάτης επιλύσει το όνομα πριν συνδεθεί, ο επιλυτής εξακολουθεί να μαθαίνει κάθε κεντρικό υπολογιστή που επισκέπτεστε, ακόμη και αν το αίτημα HTTP βγαίνει αλλού. Η socks5h μορφή και η επίλυση στην πλευρά του διαμεσολαβητή το αποφεύγουν, και η χρήση τους δεν κοστίζει τίποτα.

Τι ταξινομεί ο στόχος εκτός από τη διεύθυνση

Η φήμη της διεύθυνσης είναι μία είσοδος ανάμεσα σε πολλές. Οι στόχοι συνδυάζουν το ASN και την ετικέτα του κέντρου δεδομένων ή οικιακή, το αποτύπωμα TLS του πελάτη, τις ρυθμίσεις HTTP/2, τη σειρά κεφαλίδων, τον ρυθμό αιτημάτων και το σχήμα της πλοήγησης. Μια οικιακή έξοδος που οδηγείται από περιηγητή χωρίς κεφαλή μπορεί να αποτύχει εκεί που μια έξοδος κέντρου δεδομένων με πραγματική συνεδρία περνά.

Ο τύπος εξόδου καθορίζει τι μπορείτε να ισχυριστείτε ειλικρινά για την κίνηση, και καθένας φέρει διαφορετικό κόστος.

Μια κοινόχρηστη έξοδος δεν είναι ουδέτερη. Ό,τι άλλο τρέχει από αυτή τη διεύθυνση πέφτει στον ίδιο κάδο φήμης, και μια διεύθυνση που την έχουν ήδη κάψει άλλοι ενοικιαστές αποτυγχάνει πριν διαβαστεί το πρώτο σας αίτημα.

Διαλέξτε μια έξοδο που μπορείτε να περιγράψετε σε μια πολιτική

Το χρήσιμο ερώτημα δεν είναι πώς να κρύψετε τη διεύθυνση αλλά ποιος ευθύνεται για την κίνηση που βγαίνει από αυτή. Η δική σας έξοδος cloud ανά εργασία, ένας συμβεβλημένος πάροχος με συμφωνία επεξεργασίας δεδομένων και δημοσιευμένη διατήρηση, και ένα αυτο-φιλοξενούμενο VPN με μία ταυτότητα ανά εργασία περιγράφονται όλα σε μία πρόταση. Μια δωρεάν λίστα όχι, γιατί ο χειριστής της δεν έχει καμία υποχρέωση απέναντί σας και έχει κάθε κίνητρο να καταγράφει.

Κρατήστε τα δικά σας όρια ρυθμού κάτω από ό,τι ανέχεται ο στόχος, και συλλέξτε μόνο τα πεδία που χρειάζεται η εργασία, ώστε ένα λάθος να μένει μικρό. Η ταχύτερη περιστροφή για να ξεφύγετε από ένα μπλοκ συνήθως αυξάνει τον ρυθμό αιτημάτων που το προκάλεσε.

Γράψτε την επιλεγμένη έξοδο, το παράθυρο περιστροφής της και τον ιδιοκτήτη της στη διαμόρφωση της εργασίας πριν από την πρώτη εκτέλεση. Όταν φτάσει το μπλοκ, αυτή η σημείωση σας λέει αν θα αλλάξετε την έξοδο ή τη συμπεριφορά.