Palvelimesi näkee VPN:n ulostulon, ei vierailijaa

Vierailija yhdistää kaupallisen VPN:n kautta ja sovelluksesi kirjaa ulostulo-osoitteen. Se ei ole kätketty henkilöllisyys: se on ainoa lähdeosoite, joka TCP-yhteydellä on. Kaikki muu, mitä ihmiset kutsuvat tunnistamiseksi, on tämän yhden tosiasian päälle rakennettu päättely.

Mitä pyyntö todella kuljettaa

Sovellus näkee yhteyden lähdeosoitteen ja portin, suoritetun kättelyn ja tavut, jotka asiakas valitsi lähettää. Täydessä tunnelissa tuo lähde on ulostulo, jonka kaikki käyttäjät jakavat. Jaetussa tunnelissa pyynnöt voivat saapua tunnelista tai paikallisesta yhteydestä kohteen mukaan. Jos asiakas ja palvelin ovat saman VPN:n sisällä, lähde on asiakkaan sisempi tunneliosoite, joka yksilöi päätepisteen eikä sijaintia.

Mikään tavallisen pyynnön kenttä ei kanna osoitetta, joka asiakkaalla oli ennen tunnelia. Edelleenlähetysotsake on asiakkaan tai välityspalvelimen väite, ja se voidaan jättää pois tai väärentää.

Tunnistaminen on luokittelua, ja luokittelu on arvaus

Käytännön menetelmiä ovat luettelot tunnetuista VPN- ja hosting-alueista, väitetyn alueen kanssa ristiriidassa oleva viive, traceroute-muodot ja tilin käyttäytyminen. Jokainen niistä tuottaa todennäköisyyden. Yrityksen VPN voi sijaita osoitteissa, jotka näyttävät asuinalueilta, asuinalueen välityspalvelin voi näyttää kotiliittymältä ja operaattorin NAT voi näyttää hosting-alueelta.

Jaetun ulostulon estäminen estää jokaisen siihen liittymättömän käyttäjän sen takana, mikä muuttaa tunnistamispäätöksen oheisvaikutukseksi. Luottamuspisteet eivät ole henkilöllisyys eikä niiden pitäisi koskaan olla ainoa syöte estämis- tai hyvityspäätöksessä.

Jos VPN on sinun, sinulla on luotettava signaali, jolla ei ole mitään tekemistä tunnistamisen kanssa: varaa erillinen pooli ja sovita havaittu lähde siihen. Se toimii, koska hallitset molemmat päät ja voit dokumentoida poolin. Se ei kuitenkaan yleisty vierailijoihin, joita et hallitse, ja se lakkaa olemasta luotettava heti, kun pooli jaetaan muiden palvelujen kanssa.

Paikalliset todisteet vastaan palvelinpuolen todisteet

Itse koneella tunneli on näkyvissä: virtuaalinen sovitin, oletusreitti, joka osoittaa tunnelilaitteeseen, muuttunut resolveri. Siellä ajettava koodi voi luetella liittymät ja etsiä PPP:tä, TAP:ia tai valmistajan ajuria.

Verkkosivu ei voi lukea mitään siitä. Tavallinen kiertotie lataa resurssin, jota tarjoillaan vain sisäverkosta, ja pitää onnistumista todisteena tunnelin käytöstä. Se testaa saavutettavuutta: jaettu tunneli, vanhentunut välimuistiin tallennettu tiedosto tai sieppaava välityspalvelin antavat saman tuloksen kummassakin tilassa. Paikalliset todisteet pysyvät paikallisina.

Valitse käyttöoikeuden valvonta, joka kestää epäselvyyden

Rakenna käyttöoikeuden valvonta vahvistetulle henkilöllisyydelle, laitteen terveydelle ja resurssikohtaiselle valtuutukselle. Nämä predikaatit kuvaavat, kuka kysyy ja mitä hän voi saavuttaa, ja ne pysyvät merkityksellisinä riippumatta siitä, onko tunneli mukana. Se, saapuiko pyyntö VPN:n kautta, on heikko signaali, joka tuottaa sekä vääriä hyväksyntöjä että oheisvaikutuksia. Pidä todiste ja päätös erillisissä kentissä, jotta kiistellyllä estolla on jotain tarkistettavaa.

IP-paikannus on yksi syöte monien joukossa, ja selaimen sijaintipalvelut voivat käyttää Wi-Fiä tai GPS:ää, jotka eivät koskaan seuraa tunnelia. Kartta, joka näyttää yhä vierailijan kaupungin, on todiste sijaintipalveluista, ei todiste siitä, että tunneli epäonnistui.

Kirjoita muistiin, mikä signaali ohjasi kutakin päätöstä. Kun asiakas kiistää eston, tuo kirjaus on ero tarkistuksen ja väittelyn välillä.