Kuidas VPN-i ja puhverserveri tuvastamine töötab ja kus see luhtub
IP-nimekirjad, maine-API-d ja sõrmejäljed luhtuvad erinevalt. Otsustage, millist kuritarvitust te peatate, mõõtke valepositiivseid ja rakendage siis põhjusekoodiga.
Kui keegi küsib, kuidas VPN-i kasutajaid blokeerida, peidab lause endas kolme erinevat soovi: peatada pettus, peatada kaapimine või kehtestada litsentsipiir. Igaüks talub erinevat veamäära ja ühelegi neist ei vasta teadmine, kas aadress kuulub tunnelile. See, mida klassifitseerija tagastab, on tõenäosus infrastruktuuri kohta, mitte väide selle kasutaja kohta.
Mida IP-klassifitseerija tegelikult arvutab
Enamik teenuseid ühendab neli andmeallikat ja need vananevad erineva kiirusega. Tor-i väljumisnimekirjad pärinevad kataloogi konsensusest ja on peaaegu täielikud, kuni see püsib. Avatud puhverserverite nimekirjad on osalised ja vananevad päevadega. Kaubanduslikud väljumisnimekirjad jäävad uutest pakkujatest disaini järgi maha, sest aadressid pöörlevad kiiremini, kui ükski tarnija jõuab neid läbi käia. Hosting-vahemike heuristika on odavaim ja kõige jämedam signaal.
Viimane neist sünnitab enamiku valepositiivseid. Ettevõtete väljundid, pilves majutatud brauserid, ülikoolilinnaku NAT ja mobiilioperaatorite lüüsid näevad kõik välja nagu hosting või jagatud infrastruktuur, ja igaüks neist võib sisaldada tavalisi kliente.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 kaotab viimasegi mugavuse. Kliendil võib olla iga ühenduse jaoks erinev aadress ja pakkuja võib päringute vahel eesliidet pöörata, nii et reegel, mis kohtleb aadressi püsiva identiteedina, triivib nädalate jooksul reaalsusest eemale.
Miks protokolli sõrmejäljed lagunevad
MSS-i ja ajastuse erinevused võivad tuvastada mõningaid OpenVPN konfiguratsioone ja tehnika on tõeliselt habras. Signaal sõltub valikutest, mida kasutaja kontrollib, tee MTU-st ja vahekastidest, mis ei kuulu teile. Muutke üks šiffer või üks MSS-i piirang ja sõrmejälg liigub. Pakkuja, kes saadab uue vaikeväärtuse, teeb teie reegliga sama ühe ööga.
Vastupöördud sondid on haprusest hullem probleem: need on vaenulikud. Külastaja portide skaneerimine on aeglane, seda blokeerib kergesti sama ettevõtte tulemüür, mille taga teie kliendid istuvad, ja seda on privaatsuse ülevaates raske kaitsta. Latentsusläved püüavad kaugeid kasutajaid sama usaldusväärselt kui tunnelikasutajaid, mis tähendab, et teie reegel on tegelikult «blokeeri inimesed kaugel» teise sildiga.
Mida iganes te valite, peate suutma seda kella 2 ajal öösel tugitöötajale selgitada. Signaal, mida keegi ei oska kirjeldada, muutub blokeeringuks, mida keegi ei oska tühistada. Kirjutage selgitus enne, kui kirjutate reegli, mitte pärast esimest kaebust.
Identiteet ja käitumine võidavad anonüümsuse oletused
Kiiruspiirangud, sisselogimisnõuded, maksekontrollid ja kontopõhised kvoodid tegelevad kuritarvitamisega, karistamata lugejaid, kellele privaatsus loeb. Need töötavad edasi ka siis, kui aadress muutub, sest kinnituvad millelegi, mida klient ei saa tasuta pöörata.
Kui geograafiline piirang on litsentsinõue, rakendage seda dokumenteeritud poliitikana selge veateate ja perioodilise ülevaatega. See on teistsugune kontroll kui anonüümsuse oletamine ja seda tuleks kliendile suunatud tekstis teisiti kirjeldada. VPN-protokolli kasutatavate portide blokeerimine võib vähendada automatiseeritud kuritarvitust, kuid rikub ka seaduslikku kaugjuurdepääsu ja iga otsusekindel inimene möödub sellest triviaalselt.
Käivitage see esmalt mõõtmisena
Laske klassifitseerijal paar nädalat töötada ainult-aruande režiimis. Võrrelge populatsiooni, mille see oleks blokeerinud, registreerimiste, konversioonide ja tugipiletitega, seejärel määrake valepositiivsete eelarve enne läve seadmist.
Testige uuesti väikese tuntud kogumi vastu: kodune ühendus, mobiilioperaator, ettevõtte väljund ja kommerts-VPN. Neli juhtumit toovad esile enamiku vigadest, mis muidu klientideni jõuaksid, ja need maksavad ühe pärastlõuna.
Hoidke toorsignaal ja rakendusotsus lahus. Logige skoori ka siis, kui lävi on kõrge, suunake mitmetähenduslik keskosa inimjärjekorda ja märgistage iga blokeering põhjusekoodiga, et järgmine poliitikaülevaade saaks öelda, milline signaal oma koha ära teenis.
Edasikaebamise tee on kontrolli osa
Iga automaatne blokeering vajab inimteed: kontaktandress, teatatud vastamisaja ja nimetatud ülevaatuse omaniku. Ilma selleta on valepositiivne vaikselt kaotatud klient ja tugipilet, millega keegi ei saa midagi teha.
Öelge otse, et juurdepääsu võidakse piirata, miks ja kuidas ülevaatust paluda. Versioonige poliitikat, et tugi saaks öelda, milline reegel konkreetsel kuupäeval kehtis. Blokeering, mida te ei suuda selgitada, tühistada ega mõõta, ei ole kontroll; see on oletus logireaga.