تشخیص VPN به اینکه از کجا نگاه می‌کنید بستگی دارد
ناظر شبکه تونل را می‌بیند؛ وب‌سایت نشست TLS مرورگر را می‌بیند. شواهد یک نقطه مشاهده به نقطه دیگر منتقل نمی‌شود.
دو آشکارساز می‌توانند یک کاربر را ببینند و اختلاف داشته باشند، و هر دو درست باشند. ناظر کنار پیوند دسترسی گفت‌وگوی بیرونی VPN را می‌بیند؛ وب‌سایت اتصال برنامه را می‌بیند که از خروجی می‌آید. این‌ها اتصال‌های متفاوت با اثر انگشت‌های متفاوت هستند و شواهد یکی به دیگری منتقل نمی‌شود. نام بردن نقطه مشاهده پیش از بحث درباره هر آزمون TLS یا TCP همان چیزی است که ادعا را معنادار می‌کند.
آشکارسازی که نقطه مشاهده را اعلام نمی‌کند، عقیده را توصیف می‌کند نه اندازه‌گیری را.
دو نقطه مشاهده، دو اتصال متفاوت
گفت‌وگوی بیرونی به پروتکل تونل تعلق دارد: قالب‌های پیام خودش، ماشین حالت خودش، زمان‌بندی خودش. اتصال درونی مرورگری است که TLS را به وب‌سایت باز می‌کند، از تونل عبور می‌کند و سپس از خروجی ارسال می‌شود. هر دو در یک لحظه وجود دارند و یک جریان نیستند. یکی آن چیزی است که شبکه دسترسی می‌بیند، دیگری آن چیزی است که مقصد می‌بیند، و جعبه میانی‌ای که هر یک را پایان دهد هر دو تصویر را تغییر می‌دهد.
این تفاوت بیشتر سردرگمی در بحث‌های تشخیص را توضیح می‌دهد. آزمونی که یک چیز درباره یک جریان گزارش می‌کند، اغلب به پرسشی درباره لایه‌ای متفاوت از آنچه اپراتور در ذهن داشت پاسخ می‌دهد.
ناظر مسیر دسترسی چه می‌بیند
کنار پیوند دسترسی، ماده مرئی خود پروتکل تونل است: انواع بسته کنترل و داده برای OpenVPN، الگوهای دست‌دهی و داده با اندازه ثابت WireGuard، یا هر پوششی که استقرار اضافه کند. اینکه یک طبقه‌بند بتواند آن‌ها را شناسایی کند به آنچه دیده می‌شود، به اینکه کدام حامل آن را می‌برد و به وجود مبهم‌سازی بیشتر بستگی دارد. الگوی قابل‌تشخیص شاهد درباره یک جریان است، نه شاهد درباره هویت یا قصد شخص پشت آن.
پورت 443 یک قرارداد برای رسیدن به یک سرویس است. این پورت هر حامل تونل‌سازی را HTTPS نمی‌کند.
وب‌سایت واقعاً چه می‌بیند
با تونل مسیریابی‌شده، مرورگر همچنان نشست TLS خود را با سایت اجرا می‌کند. ترجمه در خروجی، دروازه VPN را به نقطه پایانی TLS مرورگر تبدیل نمی‌کند، بنابراین ClientHello که سایت دریافت می‌کند مرورگر یا کتابخانه TLS آن را توصیف می‌کند. اثر انگشت به سبک JA3 بنابراین اتصال برنامه را مشخص می‌کند، نه نرم‌افزار VPN که آن را حمل می‌کند. تنها پروکسی‌ای که عامدانه اتصال را پایان می‌دهد این چیدمان را تغییر می‌دهد و باید جداگانه شناسایی شود.
مشاهدات TCP به همان دقت نیاز دارند. ارسال، ترجمه و پروکسی‌ای که اتصال تازه‌ای آغاز می‌کند سه طراحی متفاوت‌اند و تنها یکی از آن‌ها پشته انتقال را بازنویسی می‌کند. یک ویژگی غیرعادی به‌تنهایی تونل را یکتا نتیجه نمی‌دهد.
ادعا را درون شواهد نگه دارید
طبقه‌بندی شبکه، مشاهده پروتکل، اثر انگشت برنامه و سیگنال‌های حساب ورودی‌های یک تصمیم ریسک‌اند و هر یک مثبت کاذب، منفی کاذب و شواهد ناقص دارد. نشانی در یک محدوده میزبانی چیزی درباره یک VPN تجاری ثابت نمی‌کند و اثر انگشت مرورگر رایج چیزی درباره یک VPN مستقیم ثابت نمی‌کند. هنگام ارزیابی یک آشکارساز، از مجموعه داده مجاز با مسیرهای شناخته‌شده استفاده کنید و ثبت کنید کدام مشاهده هر نتیجه را تولید کرد.
طبقه‌بندی پروتکل را از تصمیم دسترسی پیامددار جدا نگه دارید. پاسخ سفارشی یا ترفند بسته بدشکل استنتاج پشت آن را تأیید نمی‌کند؛ فقط به یک گمان فشار می‌آورد.
گزارش سودمند مشاهده، نقطه مشاهده و میزان اطمینان را نام می‌برد. یک خط خالی «VPN شناسایی شد» دقیقاً همان بخشی را پنهان می‌کند که به کسی اجازه بررسی می‌داد.