Rotar IP de proxy sen VPN: que ve a saída
Rota as saídas de proxy sen VPN: que pode ler un proxy HTTP, como as sesións pegañentas evitan estados rotos e que saída podes defender nunha política.
A rotación de proxy e unha VPN cambian o teu enderezo público en capas distintas, e esa diferenza decide que se filtra. Unha VPN move cada paquete a un túnel, así que o enderezo de orixe que ve o obxectivo é o extremo do túnel. Un proxy sitúase por riba da capa de rede: só as peticións que envías a través del aparecen desde a saída, mentres que todo o demais na máquina conserva o enderezo real. Acertar con esa separación converte a rotación dunha casiña nunha decisión de deseño.
De onde vén realmente o enderezo público
O enderezo que ve un obxectivo é o último desde o que saíu o teu tráfico, e nunha conexión doméstica é o enderezo do provedor no teu router, non algo que posúa a máquina. Reiniciar o router pode devolver o mesmo arrendamento, e cambiar o seu enderezo MAC ás veces produce un novo, pero ningunha das dúas cousas che dá un selector de país. Unha VPN substitúe o enderezo de orixe na capa IP, así que cada paquete da máquina, incluídos o DNS e as actualizacións en segundo plano, sae do extremo do túnel. Un proxy traballa unha capa máis arriba: acepta unha petición, abre a súa propia conexión cara ao obxectivo, e só esa petición aparece desde a saída. Todo o demais na máquina segue usando o enderezo real.
Esa separación explica a maioría das sorpresas. Unha extensión do navegador apuntada a un proxy cambia o que envía o navegador e nada máis, así que unha segunda aplicación no mesmo host segue filtrando o enderezo orixinal. Unha VPN de todo o sistema ten o modo de fallo oposto: cobre tráfico que querías manter local e só falla pechada se o cliente está configurado para iso. Elixir entre as dúas é en realidade elixir que tráfico ten que moverse.
A rotación aplícase entón á capa que escolleses. Cun proxy, rotación significa que a seguinte petición usa unha saída distinta. Cunha VPN, significa derrubar e reconstruír o túnel, o que é máis lento e nótase como unha reconexión visible.
Que pode ler un proxy HTTP e que non
Con HTTP simple o proxy ve un URI absoluto na liña de petición, cada cabeceira e o corpo. Pode rexistralo todo e reescribir calquera parte, e por iso un proxy gratuíto que inxecta un script nas respostas fai exactamente o que o protocolo permite. A autenticación usa Proxy-Authorization, e unha credencial ausente ou incorrecta produce 407 Proxy Authentication Required en lugar dun erro de conexión.
Con HTTPS o cliente envía CONNECT host:port e o proxy abre un túnel en bruto, tras o cal ve bytes cifrados. Segue aprendendo o nome de host da liña CONNECT e normalmente do campo SNI do apretón de mans TLS, así que o rexistro a nivel de nome de host sobrevive aínda que a carga útil non. Ler a carga útil esixe terminar TLS cun certificado no que o cliente confíe, que é outro produto con outro risco. A especificación de semántica HTTP define CONNECT como unha petición de túnel, que é o modelo mental correcto para o que unha saída pode e non pode ver.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'A saída detallada mostra a liña CONNECT antes de calquera tráfico TLS, e ese é o momento en que o proxy coñece o teu destino. Un proxy que responde con 407 nunca abriu o túnel, así que reintentar con outros axustes TLS non axudará.
A granularidade da rotación decide que se rompe
Rotar en cada petición é o axuste que parece máis seguro e rompe máis cousas. As cookies, os tokens CSRF e as sesións do servidor están ligados a unha identidade, e unha identidade que cambia entre o inicio de sesión e a seguinte chamada parece ao obxectivo un secuestro de sesión. Moitos provedores ofrecen unha sesión pegañenta codificándoa no nome de usuario do proxy, así que a saída mantense fixa durante unha xanela elixida.
Elixe a granularidade segundo a tarefa, non segundo o valor por defecto do provedor. Un rastrexador que descarga páxinas independentes pode rotar por petición, mentres que un fluxo de pagamento ou unha API autenticada teñen que manter unha saída durante todo o fluxo. As dúas chamadas de abaixo mostran un nome de usuario pegañento e un punto final rotativo simple, e o socks5h esquema resolve nomes no proxy en lugar de localmente.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meO DNS local é unha fuga silenciosa. Se o cliente resolve o nome antes de conectar, o resolutor segue aprendendo cada host que visitas aínda que a petición HTTP saia noutro sitio. A socks5h forma e a resolución do lado do proxy evitan iso, e usalas non custa nada.
Que clasifica o obxectivo ademais do enderezo
A reputación do enderezo é unha entrada entre varias. Os obxectivos combinan o ASN e a súa etiqueta de centro de datos ou residencial, a pegada TLS do cliente, os axustes HTTP/2, a orde das cabeceiras, a taxa de peticións e a forma da navegación. Unha saída residencial movida por un navegador sen interface pode fallar onde unha saída de centro de datos movida por unha sesión real pasa.
O tipo de saída fixa que podes afirmar honestamente sobre o tráfico, e cada un leva un custo distinto.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Unha saída compartida non é neutral. Todo o demais que corre desde ese enderezo cae no mesmo cubo de reputación, e un enderezo xa queimado por outros inquilinos falla antes de que se lea a túa primeira petición.
Elixe unha saída que poidas describir nunha política
A pregunta útil non é como ocultar o enderezo senón quen responde do tráfico que sae del. A túa propia saída de nube por tarefa, un provedor contratado cun acordo de tratamento de datos e unha retención publicada, e unha VPN autoaloxada cunha identidade por tarefa son todas descriptibles nunha frase. Unha lista gratuíta non, porque o seu operador non ten ningunha obrigación contigo e ten todos os incentivos para rexistrar.
Mantén os teus propios límites de taxa por baixo do que tolere o obxectivo, e recolle só os campos que a tarefa necesita, para que un erro siga sendo pequeno. Rotar máis rápido para escapar dun bloqueo adoita subir a taxa de peticións que o causou.
Escribe a saída elixida, a súa xanela de rotación e o seu propietario na configuración do traballo antes da primeira execución. Cando chegue o bloqueo, esa nota é a que che di se cambiar a saída ou cambiar o comportamento.