Jo server sjocht de VPN-útgong, net de besiker

In besiker ferbynt fia in kommersjele VPN en jo applikaasje logt it útgongadres. Dat is gjin ferburgen identiteit: it is it iennige boarneadres dat de TCP-ferbining hat. Al it oare dat minsken deteksje neame, is in ôflieding boppe op dat iene feit.

Wat in fersyk eins draacht

De applikaasje sjocht it boarneadres en de poarte fan ’e ferbining, de hânskuteling dy't foltôge is, en de bytes dy't de klant keas te stjoeren. Under in folsleine tunnel is dy boarne de útgong, dield troch elkenien dy't him brûkt. Under in splitst tunnel kinne fersiken út de tunnel of út ’e lokale ferbining komme, ôfhinklik fan ’e bestimming. As de klant en de server beide yn deselde VPN sitte, is de boarne it ynderlike tunneladres fan ’e klant, dat in einpunt oantsjut en gjin lokaasje.

Gjin fjild yn in gewoan fersyk draacht it adres dat de klant foar de tunnel hie. In trochstjoerheader is de bewearing fan ’e klant of fan in proxy, en dy kin weilitten of ferfalske wurde.

Deteksje is klassifikaasje, en klassifikaasje is in gissing

De praktykmetoaden binne listen fan bekende VPN- en hostingerikken, fertraging dy't net mei in beweard gebiet oerienkomt, traceroute-foarmen en accountgedrach. Elk fan harren jout in wierskynlikheid. In bedriuwVPN kin op adressen sitte dy't residinsjeel lykje, in residinsjele proxy kin der as in thúsline útsjen, en carrier-NAT kin der as in hostingerik útsjen.

It blokkearen fan in dielde útgong blokkeart elke net-relatearre brûker dêrefter, wat in deteksjebeslút yn in kollaterale steuring feroaret. In fertrouwensskoare is gjin identiteit en moat nea de iennige ynfier wêze foar in ferbod of in werombetellingsbeslút.

As jo de VPN besitte, hawwe jo in betrouber sinjaal dat neat mei deteksje te meitsjen hat: wiis in tawijde pool ta en ferlykje de waarnommen boarne dêrmei. Dat wurket om't jo beide einen behearskje en de pool dokumintearje kinne. It generalisearret lykwols net nei besikers dy't jo net beheare, en it hâldt op betrouber te wêzen op it stuit dat de pool mei oare tsjinsten dield wurdt.

Lokale bewiis tsjin bewiis fan ’e serverkant

Op de masine sels is in tunnel sichtber: in firtuele adapter, in standertrûte dy't nei in tunnelapparaat wiist, in resolver dy't feroare is. Koade dy't dêr rint kin ynterfaces opsomme en sykje nei PPP, TAP of in leveransiersdriver.

In webside kin dêr neat fan lêze. De gewoane omgong laded in boarne dy't allinnich fan it ynterne netwurk tsjinne wurdt, en behannelet súkses as bewiis fan tunnelgebrûk. It testet ynstee berikberens: in splitst tunnel, in ferâldere cachet bestân of in ûnderskeppingsproxy jouwe yn beide tastannen itselde resultaat. Lokale bewiis bliuwt lokaal.

Kies tagongskontrôles dy't de ûndúdlikheid oerlibje

Bou tagongskontrôle op ferifiearre identiteit, apparaatssûnens en autorisaasje per boarne. Dy predikaten beskriuwe wa't freget en wat se berikke meie, en se bliuwe betsjuttingsfol oft der no in tunnel by belutsen is of net. Oft in fersyk fia in VPN oankaam, is in swak sinjaal dat sawol falske akseptaasjes as kollaterale blokkades jout. Hâld it bewiis en it beslút yn aparte fjilden, sadat in betwiste blokkade wat hat om te besjen.

IP-geolokaasje is ien ynfier ûnder ferskate, en lokaasjetsjinsten fan ’e browser kinne Wi-Fi of GPS brûke dy't nea de tunnel folgje. In kaart dy't noch de stêd fan ’e besiker sjen lit, is bewiis oer lokaasjetsjinsten, gjin bewiis dat de tunnel mislearre.

Skriuw op hokker sinjaal elk beslút dreaun hat. As in klant in blokkade betwistet, is dat ferslach it ferskil tusken in resinsje en in diskusje.