Rotacii IP-ojn de prokurilo sen VPN: kion la elirejo vidas

Rotacii prokurilon kaj VPN ŝanĝas vian publikan adreson en malsamaj tavoloj, kaj tiu diferenco decidas, kio likas. VPN movas ĉiun paketon en tunelon, do la fontadreso, kiun la celo vidas, estas la finpunkto de la tunelo. Prokurilo sidas super la reta tavolo: nur la petoj, kiujn vi sendas tra ĝi, aperas de la elirejo, dum ĉio alia sur la maŝino konservas la realan adreson. Kiam tiu disigo ĝustas, rotacio transformiĝas de markobutono en dezajnan decidon.

De kie la publika adreso vere venas

La adreso, kiun celo vidas, estas tiu, de kiu via trafiko laste foriris, kaj ĉe hejma konekto ĝi estas la adreso de la provizanto sur via enkursigilo, ne io, kion la maŝino posedas. Restartigi la enkursigilon povas redoni la saman luon, kaj ŝanĝi ĝian MAC-adreson foje produktas novan, sed neniu el la du donas al vi landoelekton. VPN anstataŭigas la fontadreson ĉe la IP-tavolo, do ĉiu paketo de la maŝino, inkluzive de DNS kaj fonservaj ĝisdatigoj, foriras de la finpunkto de la tunelo. Prokurilo laboras unu tavolon pli alte: ĝi akceptas peton, malfermas sian propran konekton al la celo, kaj nur tiu peto aperas de la elirejo. Ĉio alia sur la maŝino ankoraŭ uzas la realan adreson.

Tiu disigo klarigas la plej multajn surprizojn. Retumila etendaĵo direktita al prokurilo ŝanĝas nur tion, kion la retumilo sendas, kaj nenion alian, do dua aplikaĵo sur la sama gastigo ankoraŭ likas la originan adreson. Tut-sistema VPN havas la kontraŭan fiaskmanieron: ĝi kovras trafikon, kiun vi volis teni loka, kaj fermas sin nur se la kliento estas tiel agordita. Elekti inter la du efektive estas elekti, kiun trafikon devas moviĝi.

Rotacio tiam aplikiĝas al tiu tavolo, kiun vi elektis. Kun prokurilo, rotacio signifas, ke la sekva peto uzas alian elirejon. Kun VPN, ĝi signifas malkonstrui kaj rekonstrui la tunelon, kio estas pli malrapida kaj montriĝas kiel videbla rekonekto.

Kion HTTP-prokurilo povas legi, kaj kion ĝi ne povas

Ĉe simpla HTTP la prokurilo vidas absolutan URI en la peta linio, ĉiun kaplinion kaj la korpon. Ĝi povas registri ĉion kaj reskribi iun ajn parton, tial senpaga prokurilo, kiu injektas skripton en respondojn, faras ĝuste tion, kion la protokolo permesas. Aŭtentigo uzas Proxy-Authorization, kaj mankanta aŭ malĝusta legitimilo produktas 407 Proxy Authentication Required anstataŭ konektan eraron.

Ĉe HTTPS la kliento sendas CONNECT host:port kaj la prokurilo malfermas krudan tunelon, post kio ĝi vidas ĉifritajn bajtojn. Ĝi ankoraŭ lernas la gastigantan nomon el la linio CONNECT kaj kutime el la kampo SNI en la TLS-manpremo, do protokolado je nivelo de gastiga nomo postvivas eĉ kiam la utilaĵo ne postvivas. Legi la utilaĵon postulas fini TLS per atestilo, kiun la kliento fidas, kio estas alia produkto kun alia risko. La specifikaĵo de HTTP-semantiko difinas CONNECT kiel tunelan peton, kio estas la ĝusta pensa modelo por tio, kion elirejo povas kaj ne povas vidi.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

La detala eligo montras la linion CONNECT antaŭ iu ajn TLS-trafiko, kaj tio estas la momento, kiam la prokurilo lernas vian celon. Prokurilo, kiu respondas per 407, neniam malfermis la tunelon, do reprovi kun aliaj TLS-agordoj ne helpos.

La grandeco de la rotacio decidas, kio rompiĝos

Rotacii ĉe ĉiu peto estas la agordo, kiu aspektas plej sekura kaj rompas la plej multon. Kuketoj, CSRF-ĵetonoj kaj servilflankaj sesioj estas ligitaj al identeco, kaj identeco, kiu ŝanĝiĝas inter la ensaluto kaj la sekva voko, aspektas al la celo kiel sesia ŝtelo. Multaj provizantoj ofertas gluecan sesion kodante ĝin en la prokurilan uzantnomon, do la elirejo restas fiksita dum elektita fenestro.

Elektu la grandecon laŭ la tasko, ne laŭ la provizanta defaŭlto. Esploranto, kiu alportas sendependajn paĝojn, povas rotacii ĉe ĉiu peto, dum pagprocezo aŭ aŭtentigita API devas teni unu elirejon por la tuta procezo. La du vokoj sube montras gluecan uzantnomon kaj ordinaran rotacian finpunkton, kaj la socks5h skemo solvas nomojn ĉe la prokurilo anstataŭ loke.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Loka DNS estas silenta liko. Se la kliento solvas la nomon antaŭ konekti, la solvilo ankoraŭ lernas ĉiun gastiganton, kiun vi vizitas, eĉ se la HTTP-peto foriras aliloke. La socks5h formo kaj solvado flanke de la prokurilo evitas tion, kaj uzi ilin kostas nenion.

Kion la celo klasifikas krom la adreso

La reputacio de adreso estas unu enigo inter pluraj. Celoj kunigas la ASN kaj ĝian etikedon datencentro aŭ loĝeja, la TLS-fingrospuron de la kliento, HTTP/2-agordojn, kaplinio-sekvon, petan rapidon kaj la formon de la navigado. Loĝeja elirejo pelita de senkapa retumilo povas fiaski tie, kie datencentra elirejo pelita de reala sesio trapasas.

La elireja tipo fiksas, kion vi povas honeste aserti pri la trafiko, kaj ĉiu portas malsaman koston.

Komuna elirejo ne estas neŭtrala. Ĉio alia, kio kuras de tiu adreso, falas en la saman reputacian korbon, kaj adreso jam bruligita de aliaj luantoj fiaskas antaŭ ol via unua peto estas legata.

Elektu elirejon, kiun vi povas priskribi en politiko

La utila demando ne estas kiel kaŝi la adreson, sed kiu respondecas pri la trafiko, kiu eliras de ĝi. Via propra nuba elirejo por tasko, kontraktita provizanto kun datenprilabora interkonsento kaj publikigita konservado, kaj memgastigita VPN kun unu identeco por tasko estas ĉiuj priskribeblaj per unu frazo. Senpaga listo ne estas, ĉar ĝia operatoro havas neniun devon al vi kaj ĉiun instigon registri.

Tenu viajn proprajn rapidlimojn sub tio, kion la celo toleras, kaj kolektu nur la kampojn, kiujn la tasko bezonas, por ke eraro restu malgranda. Pli rapida rotacio por eskapi blokon kutime altigas la petan rapidon, kiu kaŭzis ĝin.

Skribu la elektitan elirejon, ĝian rotacian fenestron kaj ĝian posedanton en la taskan agordon antaŭ la unua rulo. Kiam la bloko alvenas, tiu noto diras al vi, ĉu ŝanĝi la elirejon aŭ ŝanĝi la konduton.