سرور شما خروجی VPN را می‌بیند، نه بازدیدکننده را

بازدیدکننده‌ای از طریق یک VPN تجاری متصل می‌شود و برنامهٔ شما نشانی خروجی را ثبت می‌کند. این یک هویت پنهان نیست: این تنها نشانی مبدأ اتصال TCP است. هر چیز دیگری که مردم آن را شناسایی می‌نامند استنباطی است که روی همین یک واقعیت بنا شده است.

یک درخواست در واقع چه چیزی حمل می‌کند

برنامه نشانی و درگاه مبدأ اتصال، دست‌دادنی که کامل شده و بایت‌هایی را که کلاینت برای فرستادن انتخاب کرده می‌بیند. در تونل کامل، آن مبدأ همان خروجی است که همهٔ کاربرانش آن را شریک‌اند. در تونل تفکیک‌شده، بسته به مقصد ممکن است درخواست‌ها از تونل یا از اتصال محلی برسند. اگر کلاینت و سرور هر دو درون یک VPN باشند، مبدأ نشانی درونی تونل کلاینت است که یک نقطهٔ پایانی را مشخص می‌کند، نه یک موقعیت مکانی.

هیچ فیلدی در یک درخواست معمولی نشانی‌ای را که کلاینت پیش از تونل داشت حمل نمی‌کند. سرآیند ارسال، ادعای کلاینت یا یک پروکسی است و می‌تواند حذف یا جعل شود.

شناسایی همان دسته‌بندی است، و دسته‌بندی همان حدس

روش‌های عملی عبارت‌اند از فهرست‌های بازه‌های شناخته‌شدهٔ VPN و میزبانی، تأخیری که با منطقهٔ ادعاشده نمی‌خواند، شکل‌های traceroute و رفتار حساب. هر یک احتمالی تولید می‌کند. یک VPN شرکتی می‌تواند روی نشانی‌هایی باشد که مسکونی به نظر می‌رسند، یک پروکسی مسکونی می‌تواند شبیه یک خط خانگی باشد، و NAT اپراتور می‌تواند شبیه یک بازهٔ میزبانی باشد.

مسدود کردن یک خروجی مشترک هر کاربر بی‌ربطی را که پشت آن است مسدود می‌کند و بدین‌گونه تصمیم شناسایی را به یک قطعی جانبی تبدیل می‌کند. امتیاز اطمینان هویت نیست و هرگز نباید تنها ورودی تصمیم مسدودسازی یا بازپرداخت باشد.

اگر VPN مال شماست، سیگنال مطمئنی دارید که هیچ ربطی به شناسایی ندارد: یک استخر اختصاصی تعیین کنید و مبدأ مشاهده‌شده را با آن تطبیق دهید. این کار جواب می‌دهد چون هر دو سر را کنترل می‌کنید و می‌توانید استخر را مستند کنید. اما به بازدیدکنندگانی که مدیریتشان نمی‌کنید تعمیم نمی‌یابد و از لحظه‌ای که استخر با سرویس‌های دیگر شریک شود دیگر مطمئن نیست.

شواهد محلی در برابر اثبات سمت سرور

روی خود ماشین، تونل قابل مشاهده است: یک آداپتور مجازی، یک مسیر پیش‌فرض که به دستگاه تونل اشاره می‌کند، یک resolver که تغییر کرده است. کدی که آنجا اجرا می‌شود می‌تواند واسط‌ها را برشمرد و به دنبال PPP، TAP یا درایور سازنده بگردد.

یک صفحهٔ وب نمی‌تواند هیچ‌یک از این‌ها را بخواند. راه‌حل رایج، منبعی را بارگذاری می‌کند که فقط از شبکهٔ داخلی ارائه می‌شود و موفقیت را مدرک استفاده از تونل می‌داند. در واقع دسترس‌پذیری را می‌آزماید: تونل تفکیک‌شده، یک فایل کهنه در حافظهٔ نهان، یا یک پروکسی رهگیری در هر دو حالت همان نتیجه را می‌دهند. شواهد محلی محلی می‌مانند.

کنترل‌های دسترسی‌ای برگزینید که در برابر ابهام دوام بیاورند

کنترل دسترسی را بر هویت تأییدشده، سلامت دستگاه و مجوزدهی برای هر منبع بنا کنید. این محمول‌ها توصیف می‌کنند چه کسی می‌پرسد و به چه چیزی می‌تواند برسد، و صرف‌نظر از اینکه تونلی در کار باشد یا نه معنادار می‌مانند. اینکه درخواستی از طریق VPN رسیده باشد سیگنال ضعیفی است که هم پذیرش‌های نادرست و هم مسدودسازی‌های جانبی تولید می‌کند. شواهد و تصمیم را در فیلدهای جدا نگه دارید تا مسدودسازی مورد اختلاف چیزی برای بازبینی داشته باشد.

زمین‌مکانی‌یابی IP یکی از چندین ورودی است، و سرویس‌های مکان مرورگر ممکن است از Wi-Fi یا GPS استفاده کنند که هرگز از تونل پیروی نمی‌کنند. نقشه‌ای که هنوز شهر بازدیدکننده را نشان می‌دهد شاهدی دربارهٔ سرویس‌های مکان است، نه مدرکی بر شکست تونل.

بنویسید هر تصمیم را کدام سیگنال هدایت کرد. وقتی مشتری‌ای مسدودسازی را به چالش می‌کشد، آن سابقه تفاوت میان بازبینی و جدال است.