Como funciona a detección de VPN e proxy, e onde falla
As listas de IP, as API de reputación e as pegadas fallan de xeitos distintos. Decida que abuso detén, mida os falsos positivos e despois aplíqueo cun código de motivo.
Cando alguén pregunta como bloquear os usuarios de VPN, na frase escóndense tres peticións distintas: deter a fraude, deter o scraping ou impor unha fronteira de licenza. Cada unha tolera unha taxa de erro distinta, e ningunha se responde sabendo se un enderezo pertence a un túnel. O que devolve un clasificador é unha probabilidade sobre a infraestrutura, non unha afirmación sobre a persoa que a usa.
Que calcula realmente un clasificador de IP
A maioría dos servizos combinan catro fontes de datos, e envellecen a ritmos distintos. As listas de saída de Tor proveñen do consenso do directorio e son case completas mentres dura. As listas de proxy aberto son parciais e quedan obsoletas en poucos días. As listas de saída comerciais van por detrás dos provedores novos por deseño, porque os enderezos rotan máis rápido do que calquera vendedor pode rastalos. A heurística de rangos de aloxamento é o sinal máis barato e o máis groso.
Alí é onde nacen a maioría dos falsos positivos. As saídas corporativas, os navegadores aloxados na nube, o NAT do campus e as pasarelas de operadores móbiles parécense todos a aloxamento ou infraestrutura compartida, e cada un pode conter clientes normais.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 elimina calquera comodidade restante. Un cliente pode ter un enderezo distinto por conexión, e un provedor pode rotar un prefixo entre peticións, así que unha regra que trate un enderezo como identidade duradeira afastarase da realidade en poucas semanas.
Por que decaen as pegadas de protocolo
As diferenzas de MSS e de tempo poden identificar algunhas configuracións de OpenVPN, e a técnica é realmente fráxil. O sinal depende de opcións que controla o usuario, do MTU da ruta e de caixas intermedias que vostede non posúe. Cambie un cifrado ou un límite de MSS e a pegada móvese. Un provedor que publica un novo valor por defecto fai o mesmo coa súa regra da noite para a mañá.
As sondas inversas teñen un problema peor ca a fraxilidade: son hostís. Escanear os portos dun visitante é lento, bloquéao facilmente o mesmo cortalumes corporativo detrás do que están os seus clientes, e é difícil de defender nunha revisión de privacidade. Os limiares de latencia atrapan usuarios afastados coa mesma fiabilidade ca os usuarios de túnel, o que significa que a súa regra en realidade é «bloquear a xente afastada» con outra etiqueta.
Escolla o que escolla, ten que poder explicarllo a un axente de soporte ás 2 da madrugada. Un sinal que ninguén pode describir convértese nun bloqueo que ninguén pode reverter. Escriba a explicación antes de escribir a regra, non despois da primeira queixa.
A identidade e o comportamento superan as conxecturas sobre o anonimato
Os límites de taxa, os requisitos de inicio de sesión, as comprobacións de pagamento e as cotas por conta abordan o abuso sen castigar os lectores aos que lles importa a privacidade. Tamén seguen funcionando cando cambia o enderezo, porque se enganchan a algo que o cliente non pode rotar de balde.
Se unha restrición xeográfica é un requisito de licenza, aplíquea como unha política documentada cunha mensaxe de erro clara e unha revisión periódica. É un control distinto de adiviñar o anonimato, e debería describirse doutro xeito no texto dirixido ao cliente. Bloquear os portos que usa un protocolo VPN pode reducir o abuso automatizado, pero tamén rompe o acceso remoto lexítimo e calquera persoa decidida evítao de forma trivial.
Póñao en marcha primeiro como medición
Execute o clasificador en modo de só informe durante un par de semanas. Compare a poboación que tería bloqueado cos rexistros, as conversións e os tíckets de soporte, e despois fixe o orzamento de falsos positivos antes de fixar o limiar.
Volva probar cun conxunto pequeno e coñecido: unha conexión doméstica, un operador móbil, unha saída corporativa e unha VPN comercial. Catro casos expoñen a maioría dos erros que doutro xeito chegarían aos clientes, e custan unha tarde.
Manteña separados o sinal bruto e a decisión de aplicación. Rexistre a puntuación mesmo cando o limiar sexa alto, encamiñe o medio ambiguo a unha cola humana e etiquete cada bloqueo cun código de motivo para que a próxima revisión de políticas poida dicir que sinal se gañou o seu lugar.
A vía de apelación forma parte do control
Todo bloqueo automatizado necesita unha ruta humana: un enderezo de contacto, un tempo de resposta declarado e un responsable de revisión con nome. Sen ela, un falso positivo é un cliente perdido en silencio e un tícket de soporte que ninguén pode atender.
Diga con claridade que o acceso pode restrinxirse, por que e como pedir unha revisión. Versione a política para que o soporte poida dicir que regra se aplicou nunha data concreta. Un bloqueo que non pode explicar, reverter ou medir non é un control; é unha conxectura cunha liña de rexistro.