Cómo funciona la detección de VPN y proxy, y dónde falla
Las listas de IP, las API de reputación y las huellas fallan de forma distinta. Decida qué abuso detiene, mida los falsos positivos y luego aplíquelo con un código de motivo.
Cuando alguien pregunta cómo bloquear a los usuarios de VPN, en la frase se esconden tres peticiones distintas: detener el fraude, detener el scraping o imponer una frontera de licencia. Cada una tolera una tasa de error distinta, y ninguna se responde sabiendo si una dirección pertenece a un túnel. Lo que devuelve un clasificador es una probabilidad sobre la infraestructura, no una afirmación sobre la persona que la usa.
Qué calcula realmente un clasificador de IP
La mayoría de los servicios combina cuatro fuentes de datos, y envejecen a ritmos distintos. Las listas de salida de Tor provienen del consenso del directorio y son casi completas mientras dura. Las listas de proxy abierto son parciales y quedan obsoletas en pocos días. Las listas de salida comerciales van por detrás de los proveedores nuevos por diseño, porque las direcciones rotan más rápido de lo que cualquier vendedor puede rastrearlas. La heurística de rangos de alojamiento es la señal más barata y la más burda.
Ahí es donde nacen la mayoría de los falsos positivos. Las salidas corporativas, los navegadores alojados en la nube, el NAT del campus y las pasarelas de operadores móviles se parecen todos a alojamiento o infraestructura compartida, y cada uno puede contener clientes normales.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 elimina cualquier comodidad restante. Un cliente puede tener una dirección distinta por conexión, y un proveedor puede rotar un prefijo entre peticiones, así que una regla que trate una dirección como identidad duradera se alejará de la realidad en pocas semanas.
Por qué decaen las huellas de protocolo
Las diferencias de MSS y de tiempo pueden identificar algunas configuraciones de OpenVPN, y la técnica es realmente frágil. La señal depende de opciones que controla el usuario, del MTU de la ruta y de cajas intermedias que usted no posee. Cambie un cifrado o un límite de MSS y la huella se mueve. Un proveedor que publica un nuevo valor por defecto hace lo mismo con su regla de la noche a la mañana.
Las sondas inversas tienen un problema peor que la fragilidad: son hostiles. Escanear los puertos de un visitante es lento, lo bloquea fácilmente el mismo cortafuegos corporativo detrás del que están sus clientes, y es difícil de defender en una revisión de privacidad. Los umbrales de latencia atrapan a los usuarios lejanos con la misma fiabilidad que a los usuarios de túnel, lo que significa que su regla en realidad es «bloquear a la gente lejana» con otra etiqueta.
Elija lo que elija, tiene que poder explicárselo a un agente de soporte a las 2 de la madrugada. Una señal que nadie puede describir se convierte en un bloqueo que nadie puede revertir. Escriba la explicación antes de escribir la regla, no después de la primera queja.
La identidad y el comportamiento superan las conjeturas sobre el anonimato
Los límites de tasa, los requisitos de inicio de sesión, las comprobaciones de pago y las cuotas por cuenta abordan el abuso sin castigar a los lectores a los que les importa la privacidad. También siguen funcionando cuando cambia la dirección, porque se enganchan a algo que el cliente no puede rotar gratis.
Si una restricción geográfica es un requisito de licencia, aplíquela como una política documentada con un mensaje de error claro y una revisión periódica. Es un control distinto de adivinar el anonimato, y debería describirse de otra forma en el texto dirigido al cliente. Bloquear los puertos que usa un protocolo VPN puede reducir el abuso automatizado, pero también rompe el acceso remoto legítimo y cualquier persona decidida lo evita de forma trivial.
Póngalo en marcha primero como medición
Ejecute el clasificador en modo de solo informe durante un par de semanas. Compare la población que habría bloqueado con los registros, las conversiones y los tiques de soporte, y luego fije el presupuesto de falsos positivos antes de fijar el umbral.
Vuelva a probar con un conjunto pequeño y conocido: una conexión doméstica, un operador móvil, una salida corporativa y una VPN comercial. Cuatro casos exponen la mayoría de los errores que de otro modo llegarían a los clientes, y cuestan una tarde.
Mantenga separadas la señal bruta y la decisión de aplicación. Registre la puntuación incluso cuando el umbral sea alto, envíe el medio ambiguo a una cola humana y etiquete cada bloqueo con un código de motivo para que la próxima revisión de políticas pueda decir qué señal se ganó su lugar.
La vía de apelación forma parte del control
Todo bloqueo automatizado necesita una ruta humana: una dirección de contacto, un tiempo de respuesta declarado y un responsable de revisión con nombre. Sin ella, un falso positivo es un cliente perdido en silencio y un tique de soporte que nadie puede atender.
Diga con claridad que el acceso puede restringirse, por qué y cómo pedir una revisión. Versione la política para que soporte pueda decir qué regla se aplicó en una fecha concreta. Un bloqueo que no puede explicar, revertir o medir no es un control; es una conjetura con una línea de registro.