Puhverserveri IP-de pööramine ilma VPN-ita: mida väljund näeb

Puhverserveri pööramine ja VPN muudavad sinu avalikku aadressi eri kihtidel ning see erinevus otsustab, mis lekib. VPN liigutab iga paketi tunnelisse, nii et lähteaadress, mida sihtmärk näeb, on tunneli lõpp-punkt. Puhverserver asub võrgukihi kohal: väljundist ilmuvad ainult need päringud, mille sa selle kaudu saadad, samal ajal kui kõik muu masinas hoiab tegelikku aadressi. Kui see jaotus õnnestub, muutub pööramine märkeruudust disainiotsuseks.

Kust avalik aadress tegelikult tuleb

Aadress, mida sihtmärk näeb, on see, kust sinu liiklus viimati lahkus, ja koduses ühenduses on see teenusepakkuja aadress sinu ruuteril, mitte miski, mida masin omab. Ruuteri taaskäivitamine võib anda sama rendi tagasi ja selle MAC-aadressi muutmine loob mõnikord uue, kuid kumbki ei anna sulle riigivalikut. VPN asendab lähteaadressi IP-kihil, nii et iga pakett masinast, sealhulgas DNS ja taustavärskendused, lahkub tunneli lõpp-punktist. Puhverserver töötab ühe kihi võrra kõrgemal: see võtab päringu vastu, avab oma ühenduse sihtmärgini ja väljundist ilmub ainult see päring. Kõik muu masinas kasutab endiselt tegelikku aadressi.

See jaotus seletab enamikku üllatusi. Puhverserverile suunatud brauserilaiend muudab ainult seda, mida brauser saadab, ja mitte midagi muud, nii et teine rakendus samas hostis lekitab endiselt algse aadressi. Süsteemne VPN on vastupidise rikkerežiimiga: see katab liiklust, mida tahtsid hoida kohalikuna, ja sulgub ainult siis, kui klient on nii seadistatud. Kahe vahel valimine tähendab tegelikult valimist, milline liiklus peab liikuma.

Seejärel kehtib pööramine sellele kihile, mille sa valisid. Puhverserveri puhul tähendab pööramine, et järgmine päring kasutab teist väljundit. VPN-i puhul tähendab see tunneli lammutamist ja uuesti ehitamist, mis on aeglasem ja ilmneb nähtava taasühendusena.

Mida HTTP-puhverserver saab lugeda ja mida mitte

Lihtsa HTTP puhul näeb puhverserver päringureal absoluutset URI-d, iga päist ja keha. See saab kõike logida ja ükskõik millist osa ümber kirjutada, mistõttu tasuta puhverserver, mis süstib vastustesse skripti, teeb täpselt seda, mida protokoll lubab. Autentimine kasutab Proxy-Authorization, ja puuduv või vale volitus annab 407 Proxy Authentication Required ühenduse vea asemel.

HTTPS-i puhul saadab klient CONNECT host:port ja puhverserver avab töötlemata tunneli, mille järel näeb see krüpteeritud baite. See õpib endiselt hostinime CONNECT-realilt ja tavaliselt TLS-i käepigistuse SNI-väljalt, nii et hostinime tasemel logimine jääb püsima ka siis, kui kasulik koormus ei jää. Kasuliku koormuse lugemine nõuab TLS-i lõpetamist sertifikaadiga, mida klient usaldab, mis on teine toode teise riskiga. HTTP semantika spetsifikatsioon määratleb CONNECT-i tunnelipäringuna, mis on õige mõttemudel selle kohta, mida väljund saab ja ei saa näha.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Üksikasjalik väljund näitab CONNECT-rida enne igasugust TLS-liiklust ja just sel hetkel saab puhverserver sinu sihtkoha teada. Puhverserver, mis vastab 407-ga, ei ava kunagi tunnelit, nii et teiste TLS-seadetega uuesti proovimine ei aita.

Pööramise granulaarsus otsustab, mis katki läheb

Iga päringu juures pööramine on seade, mis tundub kõige turvalisem ja lõhub kõige rohkem. Küpsised, CSRF-tokenid ja serveripoolsed sessioonid on seotud identiteediga ning identiteet, mis muutub sisselogimise ja järgmise kutse vahel, tundub sihtmärgile sessiooni kaaperdamisena. Paljud pakkujad pakuvad kleepuvat sessiooni, kodeerides selle puhverserveri kasutajanime, nii et väljund püsib valitud akna jooksul fikseerituna.

Vali granulaarsus ülesande, mitte pakkuja vaikeväärtuse järgi. Iseseisvaid lehti toov roomaja saab pöörata iga päringu juures, samas kui maksevoog või autenditud API peab hoidma ühte väljundit kogu voo jooksul. Kaks allolevat kutset näitavad kleepuvat kasutajanime ja tavalist pöörlevat lõpp-punkti ning socks5h skeem lahendab nimed puhverserveris, mitte kohapeal.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Kohalik DNS on vaikne leke. Kui klient lahendab nime enne ühendamist, saab resolver endiselt teada iga hosti, mida külastad, kuigi HTTP-päring lahkub mujalt. socks5h vorm ning puhverserveripoolne lahendamine väldivad seda ja nende kasutamine ei maksa midagi.

Mida sihtmärk lisaks aadressile klassifitseerib

Aadressi maine on üks sisend paljude seas. Sihtmärgid ühendavad ASN-i ja selle datakeskuse või elamupiirkonna sildi, kliendi TLS-i sõrmejälje, HTTP/2 seaded, päiste järjekorra, päringute sageduse ja navigeerimise kuju. Elamupiirkonna väljund, mida juhib peakta brauser, võib ebaõnnestuda seal, kus päris sessiooniga juhitud datakeskuse väljund läbib.

Väljundi tüüp määrab, mida saad liikluse kohta ausalt väita, ja igaüks toob kaasa erineva kulu.

Jagatud väljund ei ole neutraalne. Kõik muu, mis sellelt aadressilt jookseb, maandub samasse maineämbrisse, ja aadress, mille teised üürnikud on juba ära põletanud, ebaõnnestub enne, kui sinu esimest päringut loetakse.

Vali väljund, mida saad poliitikas kirjeldada

Kasulik küsimus ei ole, kuidas aadressi peita, vaid kes vastutab liikluse eest, mis sealt lahkub. Sinu enda pilveväljund iga ülesande kohta, lepinguline pakkuja andmetöötluslepingu ja avaldatud säilitusajaga ning isemajutatud VPN ühe identiteediga ülesande kohta on kõik ühe lausega kirjeldatavad. Tasuta nimekiri ei ole, sest selle operaatoril ei ole sinu ees mingit kohustust ja tal on igasugune stiimul logida.

Hoia oma sageduspiirid allpool seda, mida sihtmärk talub, ja kogu ainult väljad, mida ülesanne vajab, et viga jääks väikeseks. Kiirem pööramine blokeeringust pääsemiseks tõstab tavaliselt päringute sagedust, mis selle põhjustas.

Kirjuta valitud väljundi, selle pööramisakna ja selle omaniku töö konfiguratsiooni enne esimest käivitust. Kui blokeering saabub, ütleb see märkus sulle, kas muuta väljundit või muuta käitumist.