Detektado de VPN dependas de tio, de kie vi rigardas

Du detektiloj povas observi la saman uzanton kaj malkonsenti, ambaŭ prave. Observanto apud la alirila ligo vidas la eksteran konversacion de la VPN; la retejo vidas la aplikaĵan konekton alvenantan el la eliro. Tiuj estas malsamaj konektoj kun malsamaj fingrospuroj, kaj pruvo el unu ne transiĝas al la alia. Nomi la observejon antaŭ ol diskuti ajnan TLS- aŭ TCP-teston estas tio, kio donas sencon al la aserto.

Detektilo sen indikita observejo priskribas opinion, ne mezuron.

Du observejoj, du malsamaj konektoj

La ekstera konversacio apartenas al la tunela protokolo: propraj mesaĝformatoj, propra statomaŝino, propra tempigo. La interna konekto estas la retumilo malfermanta TLS al la retejo, portata tra la tunelo kaj poste plusendata el la eliro. Ambaŭ ekzistas en la sama momento kaj ili ne estas la sama fluo. Unu estas tio, kion povas vidi alirreto, la alia estas tio, kion povas vidi la celo, kaj intera skatolo, kiu finas unu el ili, ŝanĝas ambaŭ bildojn.

Tiu diferenco klarigas plejparton de la konfuzo en diskutoj pri detektado. Testo, kiu raportas unu aferon pri fluo, ofte respondas demandon pri alia tavolo ol tiu, kiun la administranto havis en la kapo.

Kion vidas la observanto de la alirvojo

Apud la alirila ligo la videbla materialo estas la tunela protokolo mem: regaj kaj datumaj pakaĵtipoj por OpenVPN, la fiksgrandaj manpremaj kaj datumaj ŝablonoj de WireGuard, aŭ kiu ajn envolvaĵo la deplojo aldonas. Ĉu klasifikilo povas ilin identigi dependas de tio, kio estas videbla, kiu transporto portas ilin kaj ĉu ekzistas plia obskurigo. Rekonebla ŝablono estas pruvo pri fluo, kaj ne pruvo pri la identeco aŭ intenco de la persono malantaŭ ĝi.

Pordo 443 estas konvencio por atingi servon. Ĝi ne igas ĉiun tunelan transporton HTTPS.

Kion la retejo efektive vidas

Ĉe enkursigita tunelo la retumilo ankoraŭ faras sian propran TLS-sesion kun la retejo. Tradukado ĉe la eliro ne igas la VPN-enirejon la TLS-finpunkto de la retumilo, do la ClientHello, kiun la retejo ricevas, priskribas la retumilon aŭ ĝian TLS-bibliotekon. Fingrospuro laŭ stilo JA3 do karakterizas la aplikaĵan konekton, ne la VPN-programaron, kiu portas ĝin. Nur intence finanta prokurilo ŝanĝas tiun aranĝon, kaj ĝi devas esti identigita aparte.

TCP-observoj bezonas la saman zorgon. Plusendado, tradukado kaj prokurilo, kiu komencas novan konekton, estas tri malsamaj dezajnoj, kaj nur unu el ili reverkas la transportan stakon. Unu nekutima trajto ne implicas unike tunelon.

Tenu la aserton ene de la pruvoj

Retklasifiko, protokolobservado, aplikaĵaj fingrospuroj kaj kontaj signaloj estas enigoj al riskdecido, ĉiu kun falsaj pozitivoj, falsaj negativoj kaj mankantaj pruvoj. Adreso en gastiga gamo pruvas nenion pri komerca VPN, kaj ordinara retumila fingrospuro pruvas nenion pri rekta. Kiam vi taksas detektilon, uzu rajtigitan datumaron kun konataj vojoj kaj registru, kiu observo produktis ĉiun rezulton.

Tenu protokolan klasifikon aparte de sekvohava alirddecido. Propra respondo aŭ artifiko per misformita pakaĵo ne validigas la konkludon malantaŭ ĝi; ĝi nur premas konjekton.

Utila raporto nomas la observon, la observejon kaj la konfidon. Nuda linio «VPN detektita» kaŝas ĝuste tiun parton, kiu ebligus al iu kontroli ĝin.