Sinu server näeb VPN-i väljumit, mitte külastajat

Külastaja ühendub kommerts-VPN-i kaudu ja sinu rakendus logib väljumisaadressi. See ei ole peidetud identiteet: see on ainus lähteaadress, mis TCP-ühendusel on. Kõik muu, mida inimesed tuvastamiseks nimetavad, on sellele ühele faktile ehitatud järeldus.

Mida päring tegelikult kannab

Rakendus näeb ühenduse lähteaadressi ja porti, lõpetatud kätlust ning baite, mille klient otsustas saata. Täistunneli korral on see lähteaadress väljum, mida jagavad kõik selle kasutajad. Jaotatud tunneli korral võivad päringud olenevalt sihtkohast saabuda tunnelist või kohalikust ühendusest. Kui klient ja server on mõlemad samas VPN-is, on lähteaadress kliendi sisemine tunneli aadress, mis tähistab lõpp-punkti, mitte asukohta.

Ükski tavalise päringu väli ei kanna aadressi, mis kliendil enne tunnelit oli. Edastuspäis on kliendi või puhverserveri väide ning selle võib ära jätta või võltsida.

Tuvastamine on klassifitseerimine ja klassifitseerimine on oletus

Praktilised meetodid on teadaolevate VPN-i ja hostimise vahemike loendid, latentsus, mis ei vasta väidetud piirkonnale, traceroute'i kujud ja konto käitumine. Igaüks neist annab tõenäosuse. Ettevõtte VPN võib asuda aadressidel, mis näivad elukondlikena, elukondlik puhverserver võib näida koduliinina ja operaatori NAT võib näida hostimisvahemikuna.

Jagatud väljumi blokeerimine blokeerib iga selle taga oleva mitteseotud kasutaja, mis muudab tuvastusotsuse kõrvalmõjuga katkestuseks. Usalduspunktisumma ei ole identiteet ja see ei tohiks kunagi olla ainus sisend keelu või tagasimakse otsuses.

Kui VPN kuulub sulle, on sul usaldusväärne signaal, millel pole tuvastamisega midagi pistmist: määra sihtotstarbeline kogum ja sobita vaadeldud lähteaadress sellega. See toimib, sest kontrollid mõlemat otsa ja saad kogumit dokumenteerida. Kuid see ei üldistu külastajatele, keda sa ei halda, ja lakkab olemast usaldusväärne hetkest, mil kogumit jagatakse teiste teenustega.

Kohalikud tõendid versus serveripoolsed tõendid

Masinas endas on tunnel nähtav: virtuaalne adapter, tunneliseadmele osutav vaikimisi marsruut, muutunud resolver. Seal töötav kood saab liidesed loetleda ja otsida PPP-d, TAP-i või tootja draiverit.

Veebileht ei saa sellest midagi lugeda. Tavaline mööravi laadib ressursi, mida serveeritakse ainult sisevõrgust, ja peab õnnestumist tunnelikasutuse tõendiks. See testib hoopis kättesaadavust: jaotatud tunnel, vananenud vahemällu salvestatud fail või vahendav puhverserver annavad mõlemas olekus sama tulemuse. Kohalikud tõendid jäävad kohalikuks.

Vali juurdepääsukontrollid, mis peavad ebamäärasusele vastu

Ehita juurdepääsukontroll kinnitatud identiteedile, seadme tervisele ja ressursipõhisele volitusele. Need predikaadid kirjeldavad, kes küsib ja mida ta võib saavutada, ning jäävad mõtestatuks olenemata sellest, kas tunnel on mängus. See, kas päring saabus VPN-i kaudu, on nõrk signaal, mis tekitab nii valesid lubamisi kui ka kõrvalmõjuga blokeeringuid. Hoia tõend ja otsus eraldi väljadel, et vaidlustatud blokeeringul oleks midagi üle vaadata.

IP geolokatsioon on üks sisend paljude seas ja brauseri asukohateenused võivad kasutada Wi-Fi-t või GPS-i, mis ei järgi kunagi tunnelit. Kaart, mis näitab endiselt külastaja linna, on tõend asukohateenuste kohta, mitte tõend selle kohta, et tunnel ebaõnnestus.

Kirjuta üles, milline signaal juhtis iga otsust. Kui klient blokeeringu vaidlustab, on see kirje vahe ülevaatamise ja vaidluse vahel.