Proxy IPak VPN gabe biratzea: irteerak zer ikusten duen
Biratu proxy irteerak VPN gabe: zer irakur dezakeen HTTP proxy batek, nola saihesten duten sesio itsaskiek egoera hautsia eta zein irteera defenda dezakezun politika batean.
Proxyaren biraketa eta VPN batek zure helbide publikoa maila desberdinetan aldatzen dute, eta desberdintasun horrek erabakitzen du zer filtratzen den. VPN batek pakete bakoitza tunel batera eramaten du, beraz helburuak ikusten duen jatorrizko helbidea tunelaren amaiera-puntua da. Proxy bat sare-mailaren gainean dago: haren bidez bidaltzen dituzun eskaerak baino ez dira agertzen irteeratik, eta makinako gainerako guztiak benetako helbidea gordetzen du. Bereizketa hori ondo lortzeak biraketa lauki batetik diseinu-erabaki batera eramaten du.
Nondik dator benetan helbide publikoa
Helburu batek ikusten duen helbidea zure trafikoak azken aldiz utzi zuen hura da, eta etxeko konexio batean zure routerreko hornitzailearen helbidea da, ez makina batek duen ezer. Routerra berrabiarazteak errenta bera itzul dezake, eta haren MAC helbidea aldatzeak batzuetan berri bat sortzen du, baina batek ere ez dizu herrialde-hautatzailerik ematen. VPN batek jatorrizko helbidea IP mailan ordezkatzen du, beraz makinatik ateratzen den pakete bakoitzak, DNSa eta atzeko planoko eguneraketak barne, tunelaren amaiera-puntutik irteten du. Proxy batek maila bat gorago lan egiten du: eskaera bat onartzen du, helbururako bere konexioa irekitzen du, eta eskaera hori baino ez da agertzen irteeratik. Makinako gainerako guztiak benetako helbidea erabiltzen du oraindik.
Bereizketa horrek azaltzen ditu ezusteko gehienak. Proxy batera zuzendutako nabigatzaile-luzapenak nabigatzaileak bidaltzen duena aldatzen du eta beste ezer ez, beraz ostalari bereko bigarren aplikazio batek jatorrizko helbidea filtratzen du oraindik. Sistema osoko VPN batek kontrako hutsegite-modua du: lokal mantendu nahi zenuen trafikoa estaltzen du eta itxita huts egiten du soilik bezeroa horretarako konfiguratuta badago. Bien artean aukeratzea benetan zein trafikok mugitu behar duen aukeratzea da.
Biraketa, orduan, aukeratu duzun mailari aplikatzen zaio. Proxy batekin, biraketak hurrengo eskaerak beste irteera bat erabiltzea esan nahi du. VPN batekin, tunela eraitsi eta berreraikitzea esan nahi du, eta hori geldoagoa da eta berriz konektatze ikusgai gisa agertzen da.
Zer irakur dezakeen HTTP proxy batek, eta zer ez
HTTP hutsean proxyak URI absolutua ikusten du eskaera-lerroan, goiburu guztiak eta gorputza. Hori guztia erregistra dezake eta edozein zati berridatz, eta horregatik erantzunetan script bat injektatzen duen doako proxy batek protokoloak baimendutakoa egiten du zehazki. Autentifikazioak Proxy-Authorization erabiltzen du, eta falta den edo okerreko kredentzial batek 407 Proxy Authentication Required sortzen du konexio-errore bat beharrean.
HTTPSan bezeroak CONNECT host:port bidaltzen du eta proxyak tunel gordina irekitzen du, ondoren byte zifratuak ikusten ditu. Oraindik ostalari-izena CONNECT lerrotik ikasten du eta normalean TLS eskuko SNI eremutik, beraz ostalari-izenaren mailako erregistroa bizirik dago karga erabilgarria ez bada ere. Karga erabilgarria irakurtzeak TLS bezeroak fidatzen duen ziurtagiri batekin amaitzea eskatzen du, eta hori beste produktu bat da, beste arrisku batekin. Eta HTTP semantikaren zehaztapena CONNECT tunel-eskaera gisa definitzen du, eta hori da irteera batek zer ikus dezakeen eta zer ez jakiteko eredu mental egokia.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'Irteera zehatzak CONNECT lerroa erakusten du edozein TLS trafiko baino lehen, eta hori da proxyak zure helmuga ikasten duen unea. 407rekin erantzuten duen proxy batek ez zuen inoiz tunela ireki, beraz alferrik da TLS ezarpen ezberdinekin berriro saiatzea.
Biraketaren granularitateak erabakitzen du zer hausten den
Eskaera bakoitzean biratzea da ezarpenik seguruena dirudiena eta gehien hausten duena. Cookieak, CSRF tokenak eta zerbitzariaren aldeko sesioak identitate bati lotuta daude, eta saioa hastearen eta hurrengo deiaren artean aldatzen den identitate bat saio-hijacking gisa ikusten du helburuak. Hornitzaile askok sesio itsaskorra eskaintzen dute proxyaren erabiltzaile-izenean kodeatuta, beraz irteera finko mantentzen da aukeratutako leiho batean.
Aukeratu granularitatea zereginetik, ez hornitzailearen lehenespenetik. Orrialde independenteak ekartzen dituen crawler batek eskaera bakoitzean biratu dezake, ordainketa-fluxu batek edo API autentifikatu batek irteera bat mantendu behar du fluxu osoan. Beheko bi deiek erabiltzaile-izen itsaskor bat eta amaiera-puntu birakari arrunt bat erakusten dituzte, eta socks5h eskemak izenak proxyean ebazten ditu, ez lokal.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meDNS lokalak isilpeko ihes bat da. Bezeroak izena konektatu aurretik ebazten badu, ebazleak bisitatzen duzun ostalari bakoitza ezagutzen du oraindik, HTTP eskaera beste nonbaitetik atera arren. Eta socks5h formak eta proxy aldeko ebazpenak hori saihesten dute, eta horiek erabiltzeak ez du ezer kostatzen.
Zer sailkatzen duen helburuak helbideaz gain
Helbidearen ospeak hainbat sarreretatik bat da. Helburuek ASNa eta haren datu-zentro edo bizitoki etiketa, bezeroaren TLS aztarna, HTTP/2 ezarpenak, goiburu-ordena, eskaeren tasa eta nabigazioaren forma konbinatzen dituzte. Bururik gabeko nabigatzaile batek gidatutako bizitoki-irteera batek huts egin dezake benetako sesio batek gidatutako datu-zentro irteera batek gainditzen duen tokian.
Irteera motak zehazten du zer esan dezakezun zintzo trafikoari buruz, eta bakoitzak kostu desberdina dakar.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Partekatutako irteera ez da neutroa. Helbide horretatik exekutatzen den beste edozer ospe-ontzi berean erortzen da, eta beste maizter batzuek dagoeneko erreta dagoen helbide bat zure lehen eskaera irakurri aurretik huts egiten du.
Aukeratu politika batean deskriba dezakezun irteera bat
Galdera erabilgarria ez da helbidea nola ezkutatu, baizik eta nork erantzuten duen handik irteten den trafikoaren erantzule. Zure cloud irteera propioa zeregin bakoitzeko, datu-prozesamendu hitzarmen bat eta argitaratutako atxikipen bat dituen hornitzaile kontratatu bat, eta zeregin bakoitzeko identitate bakarreko VPN autohostatua, denak esaldi bakarrean deskriba daitezke. Doako zerrenda batek ez, haren operadoreak ez baitu zurekiko inolako betebeharririk eta erregistratzeko pizgarri guztiak ditu.
Mantendu zure tasa-mugak helburuak onartzen duenaren azpitik, eta bildu zereginak behar dituen eremuak soilik, akats bat txiki mantentzeko. Blokeo batetik ihes egiteko azkarrago biratzeak, normalean, eragin zuen eskaeren tasa igotzen du.
Idatzi aukeratutako irteera, haren biraketa-leihoa eta haren jabea lanaren konfigurazioan lehen exekuzioa baino lehen. Blokeoa iristen denean, ohar horrek esaten dizu irteera aldatu edo portaera aldatu.