تشخیص VPN و پروکسی چگونه کار می‌کند و کجا شکست می‌خورد
فهرست‌های IP، APIهای اعتبار و اثر انگشت‌ها به شکل‌های مختلف شکست می‌خورند. تصمیم بگیرید کدام سوءاستفاده را متوقف می‌کنید، مثبت‌های کاذب را اندازه بگیرید و سپس با کد دلیل اعمال کنید.
وقتی کسی می‌پرسد چگونه کاربران VPN را مسدود کنیم، سه درخواست متفاوت در جمله پنهان است: توقف تقلب، توقف خراش‌برداری، یا اعمال یک مرز مجوز. هر یک نرخ خطای متفاوتی را تحمل می‌کند و هیچ‌کدام با دانستن اینکه آیا یک نشانی به تونل تعلق دارد پاسخ داده نمی‌شود. آنچه یک طبقه‌بند برمی‌گرداند احتمالی درباره زیرساخت است، نه بیانیه‌ای درباره شخصی که از آن استفاده می‌کند.
یک طبقه‌بند IP در واقع چه چیزی محاسبه می‌کند
بیشتر سرویس‌ها چهار منبع داده را ترکیب می‌کنند و این منابع با نرخ‌های متفاوت کهنه می‌شوند. فهرست‌های خروجی Tor از اجماع دایرکتوری می‌آیند و تا زمانی که دوام دارد تقریباً کامل‌اند. فهرست‌های پروکسی باز جزئی‌اند و در چند روز کهنه می‌شوند. فهرست‌های خروجی تجاری به‌طور طراحی از ارائه‌دهندگان جدید عقب می‌مانند، زیرا نشانی‌ها سریع‌تر از آنچه هر فروشنده‌ای بتواند آن‌ها را بخزد می‌چرخند. اکتشافی بازه‌های میزبانی ارزان‌ترین و خشن‌ترین سیگنال است.
همان آخری جایی است که بیشتر مثبت‌های کاذب زاده می‌شوند. خروجی‌های شرکتی، مرورگرهای میزبانی‌شده در ابر، NAT دانشگاه و درگاه‌های اپراتور موبایل همه مانند میزبانی یا زیرساخت مشترک به نظر می‌رسند و هر یک از آن‌ها می‌تواند مشتریان عادی داشته باشد.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 هر آسایش باقی‌مانده را حذف می‌کند. یک کلاینت می‌تواند برای هر اتصال نشانی متفاوتی داشته باشد و یک ارائه‌دهنده می‌تواند پیشوندی را بین درخواست‌ها بچرخاند، بنابراین قاعده‌ای که نشانی را هویت پایدار می‌داند ظرف چند هفته از واقعیت فاصله می‌گیرد.
چرا اثر انگشت پروتکل‌ها فرسوده می‌شوند
تفاوت‌های MSS و زمان‌بندی می‌توانند برخی پیکربندی‌های OpenVPN را شناسایی کنند و این تکنیک واقعاً شکننده است. سیگنال به گزینه‌هایی که کاربر کنترل می‌کند، به MTU مسیر و به جعبه‌های میانی که مالک آن‌ها نیستید بستگی دارد. یک رمز یا یک محدودیت MSS را تغییر دهید و اثر انگشت جابه‌جا می‌شود. ارائه‌دهنده‌ای که یک پیش‌فرض جدید عرضه می‌کند همان کار را یک‌شبه با قاعده شما می‌کند.
کاوش‌های معکوس مشکلی بدتر از شکنندگی دارند: خصمانه‌اند. اسکن درگاه‌های یک بازدیدکننده کند است، به‌راحتی توسط همان دیوار آتش شرکتی که مشتریان شما پشت آن نشسته‌اند مسدود می‌شود، و دفاع از آن در یک بازبینی حریم خصوصی دشوار است. آستانه‌های تأخیر کاربران دور را به همان اندازه قابل‌اعتماد می‌گیرند که کاربران تونل را، یعنی قاعده شما در واقع «افراد دور را مسدود کن» با برچسبی متفاوت است.
هر چه انتخاب کنید، باید بتوانید آن را ساعت 2 بامداد برای یک کارشناس پشتیبانی توضیح دهید. سیگنالی که هیچ‌کس نمی‌تواند توصیفش کند به مسدودسازی‌ای تبدیل می‌شود که هیچ‌کس نمی‌تواند لغوش کند. توضیح را قبل از نوشتن قاعده بنویسید، نه بعد از اولین شکایت.
هویت و رفتار بر گمانه‌زنی‌های ناشناس بودن پیروز می‌شوند
محدودیت نرخ، الزامات ورود، بررسی پرداخت و سهمیه هر حساب به سوءاستفاده می‌پردازند بدون تنبیه خوانندگانی که به حریم خصوصی اهمیت می‌دهند. آن‌ها همچنین هنگام تغییر نشانی کار می‌کنند، زیرا به چیزی متصل‌اند که کلاینت نمی‌تواند رایگان بچرخاند.
اگر محدودیت جغرافیایی یک الزام مجوز است، آن را به‌عنوان سیاست مستندی با پیام خطای روشن و بازبینی دوره‌ای اعمال کنید. این کنترلی متفاوت از گمانه‌زنی درباره ناشناس بودن است و باید در متن رو به مشتری به شکل دیگری توصیف شود. مسدود کردن درگاه‌هایی که یک پروتکل VPN استفاده می‌کند ممکن است سوءاستفاده خودکار را کاهش دهد، اما دسترسی از راه دور مشروع را هم می‌شکند و هر فرد مصممی به‌سادگی از آن عبور می‌کند.
ابتدا آن را به‌عنوان یک اندازه‌گیری عرضه کنید
طبقه‌بند را چند هفته در حالت فقط-گزارش اجرا کنید. جمعیتی را که مسدود می‌کرد با ثبت‌نام‌ها، تبدیل‌ها و بلیت‌های پشتیبانی مقایسه کنید، سپس بودجه مثبت‌های کاذب را قبل از تعیین آستانه مشخص کنید.
روی یک مجموعه کوچک شناخته‌شده دوباره آزمایش کنید: یک اتصال خانگی، یک اپراتور موبایل، یک خروجی شرکتی و یک VPN تجاری. چهار مورد بیشتر خطاهایی را که در غیر این صورت به مشتریان می‌رسید آشکار می‌کند و هزینه‌شان یک بعدازظهر است.
سیگنال خام و تصمیم اجرا را جدا نگه دارید. امتیاز را حتی وقتی آستانه بالاست ثبت کنید، میانه مبهم را به صف انسانی بفرستید و هر مسدودسازی را با کد دلیل برچسب بزنید تا بازبینی سیاست بعدی بتواند بگوید کدام سیگنال جای خود را به دست آورده است.
مسیر تجدیدنظر بخشی از کنترل است
هر مسدودسازی خودکار به یک مسیر انسانی نیاز دارد: نشانی تماس، زمان پاسخ اعلام‌شده و مالک بازبینی با نام. بدون آن، یک مثبت کاذب مشتری خاموش‌ازدست‌رفته و بلیت پشتیبانی‌ای است که هیچ‌کس نمی‌تواند کاری با آن بکند.
روشن بگویید که دسترسی ممکن است محدود شود، چرا و چگونه درخواست بازبینی کنید. سیاست را نسخه‌بندی کنید تا پشتیبانی بتواند بگوید کدام قاعده در یک تاریخ مشخص اعمال شده است. مسدودسازی‌ای که نمی‌توانید توضیح دهید، لغو کنید یا اندازه بگیرید کنترل نیست؛ گمانه‌ای با یک خط گزارش است.