Comment fonctionne la détection VPN et proxy, et où elle échoue
Les listes d'IP, les API de réputation et les empreintes échouent différemment. Décidez quel abus vous arrêtez, mesurez les faux positifs, puis appliquez avec un code de motif.
Quand quelqu'un demande comment bloquer les utilisateurs de VPN, trois demandes différentes se cachent dans la phrase : arrêter la fraude, arrêter le scraping ou faire respecter une frontière de licence. Chacune tolère un taux d'erreur différent, et aucune n'est résolue en sachant si une adresse appartient à un tunnel. Ce qu'un classifieur renvoie est une probabilité sur l'infrastructure, pas une affirmation sur la personne qui l'utilise.
Ce qu'un classifieur d'IP calcule réellement
La plupart des services combinent quatre sources de données, et elles vieillissent à des rythmes différents. Les listes de sortie Tor proviennent du consensus de l'annuaire et sont presque complètes tant qu'il dure. Les listes de proxy ouvert sont partielles et obsolètes en quelques jours. Les listes de sortie commerciales sont en retard sur les nouveaux fournisseurs par conception, car les adresses tournent plus vite que n'importe quel vendeur ne peut les parcourir. L'heuristique des plages d'hébergement est le signal le moins cher et le plus grossier.
C'est là que naissent la plupart des faux positifs. Les sorties d'entreprise, les navigateurs hébergés dans le cloud, le NAT de campus et les passerelles des opérateurs mobiles ressemblent tous à de l'hébergement ou à une infrastructure partagée, et chacun peut contenir des clients ordinaires.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 supprime tout confort restant. Un client peut avoir une adresse différente par connexion, et un fournisseur peut faire tourner un préfixe entre les requêtes, si bien qu'une règle qui traite une adresse comme une identité durable s'écartera de la réalité en quelques semaines.
Pourquoi les empreintes de protocole se dégradent
Les différences de MSS et de timing peuvent identifier certaines configurations OpenVPN, et la technique est vraiment fragile. Le signal dépend d'options que l'utilisateur contrôle, du MTU du chemin et de boîtiers intermédiaires que vous ne possédez pas. Changez un chiffrement ou une limite MSS et l'empreinte bouge. Un fournisseur qui livre un nouveau réglage par défaut fait la même chose à votre règle du jour au lendemain.
Les sondes inverses ont un problème pire que la fragilité : elles sont hostiles. Scanner les ports d'un visiteur est lent, facilement bloqué par le même pare-feu d'entreprise derrière lequel se trouvent vos clients, et difficile à défendre lors d'un audit de confidentialité. Les seuils de latence attrapent les utilisateurs éloignés aussi fiablement que les utilisateurs de tunnel, ce qui signifie que votre règle est en réalité « bloquez les gens loin » avec une autre étiquette.
Quoi que vous choisissiez, vous devez pouvoir l'expliquer à un agent de support à 2 heures du matin. Un signal que personne ne peut décrire devient un blocage que personne ne peut annuler. Écrivez l'explication avant d'écrire la règle, pas après la première plainte.
L'identité et le comportement battent les suppositions sur l'anonymat
Les limitations de débit, les exigences de connexion, les contrôles de paiement et les quotas par compte traitent l'abus sans punir les lecteurs soucieux de leur vie privée. Ils continuent aussi de fonctionner lorsque l'adresse change, car ils s'attachent à quelque chose que le client ne peut pas faire tourner gratuitement.
Si une restriction géographique est une exigence de licence, appliquez-la comme une politique documentée avec un message d'erreur clair et une revue périodique. C'est un contrôle différent de la devinette sur l'anonymat, et il devrait être décrit autrement dans le texte destiné au client. Bloquer les ports qu'utilise un protocole VPN peut réduire l'abus automatisé, mais cela casse aussi l'accès distant légitime et se contourne trivialement par quiconque est déterminé.
Déployez-le d'abord comme une mesure
Faites tourner le classifieur en mode rapport uniquement pendant quelques semaines. Comparez la population qu'il aurait bloquée aux inscriptions, conversions et tickets de support, puis fixez le budget de faux positifs avant de fixer le seuil.
Retestez sur un petit ensemble connu : une connexion domestique, un opérateur mobile, une sortie d'entreprise et un VPN commercial. Quatre cas révèlent la plupart des erreurs qui atteindraient autrement les clients, et ils coûtent un après-midi.
Gardez le signal brut et la décision d'application séparés. Journalisez le score même lorsque le seuil est élevé, acheminez le milieu ambigu vers une file humaine et étiquetez chaque blocage avec un code de motif afin que la prochaine revue de politique puisse dire quel signal a mérité sa place.
Le chemin d'appel fait partie du contrôle
Chaque blocage automatisé a besoin d'une voie humaine : une adresse de contact, un délai de réponse annoncé et un responsable de revue nommé. Sans cela, un faux positif est un client perdu en silence et un ticket de support que personne ne peut traiter.
Dites clairement que l'accès peut être restreint, pourquoi et comment demander une revue. Versionnez la politique pour que le support puisse dire quelle règle s'appliquait à une date donnée. Un blocage que vous ne pouvez pas expliquer, annuler ou mesurer n'est pas un contrôle ; c'est une supposition avec une ligne de journal.