A detección de VPN depende de onde esteas mirando

Dous detectores poden vixiar o mesmo usuario e discrepar, ambos correctamente. O observador xunto á ligazón de acceso ve a conversa exterior da VPN; o sitio web ve a conexión de aplicación que chega desde a saída. Son conexións distintas con pegadas distintas, e a evidencia dunha non se traslada á outra. Nomear o punto de observación antes de discutir calquera proba TLS ou TCP é o que fai significativa a afirmación.

Un detector sen un punto de observación declarado describe unha opinión, non unha medición.

Dous puntos de observación, dúas conexións distintas

A conversa exterior pertence ao protocolo do túnel: os seus propios formatos de mensaxe, a súa propia máquina de estados, a súa propia temporización. A conexión interior é o navegador abrindo TLS ao sitio web, transportada polo túnel e despois reenviada desde a saída. Ambas existen no mesmo momento e non son o mesmo fluxo. Unha é o que pode ver unha rede de acceso, a outra é o que pode ver o destino, e un equipo intermedio que remate calquera das dúas cambia ambas as imaxes.

Esa diferenza explica a maior parte da confusión nas discusións sobre detección. Unha proba que informa dunha cousa sobre un fluxo a miúdo responde a unha pregunta sobre unha capa distinta da que o operador tiña en mente.

Que ve o observador do camiño de acceso

Xunto á ligazón de acceso, o material visible é o propio protocolo do túnel: tipos de paquetes de control e de datos para OpenVPN, os patróns fixos de aperta de mans e de datos de WireGuard, ou calquera envoltorio que engada o despregamento. Que un clasificador poida identificalos depende do que sexa visible, do transporte que os leve e de se hai ofuscación adicional. Un patrón recoñecible é evidencia sobre un fluxo, e non evidencia sobre a identidade ou a intención da persoa que está detrás.

O porto 443 é unha convención para chegar a un servizo. Non converte todo transporte de túnel en HTTPS.

Que ve realmente o sitio web

Cun túnel encamiñado, o navegador segue executando a súa propia sesión TLS co sitio. A tradución na saída non converte a pasarela VPN no extremo TLS do navegador, así que o ClientHello que recibe o sitio describe o navegador ou a súa biblioteca TLS. Unha pegada ao estilo JA3 caracteriza, por tanto, a conexión de aplicación, non o software VPN que a transporta. Só un proxy que remata deliberadamente cambia esa disposición, e hai que identificalo por separado.

As observacións TCP necesitan o mesmo coidado. O reenvío, a tradución e un proxy que orixina unha conexión nova son tres deseños distintos, e só un deles reescribe a pila de transporte. Unha soa característica inusual non implica de forma única un túnel.

Manteña a afirmación dentro da evidencia

A clasificación de rede, a observación de protocolos, as pegadas de aplicación e os sinais de conta son entradas para unha decisión de risco, cada unha con falsos positivos, falsos negativos e evidencia ausente. Un enderezo nun rango de aloxamento non demostra nada sobre unha VPN comercial, e unha pegada de navegador común non demostra nada sobre unha directa. Cando avalíes un detector, usa un conxunto de datos autorizado con camiños coñecidos e rexistra que observación produciu cada resultado.

Manteña a clasificación de protocolo separada dunha decisión de acceso con consecuencias. Unha resposta personalizada ou un truco de paquete malformado non valida a inferencia que hai detrás; só presiona unha conjetura.

Un informe útil nomea a observación, o punto de observación e a confianza. Unha liña escueta de «VPN detectada» oculta xustamente a parte que permitiría a alguén comprobalo.