השרת שלך רואה את יציאת ה-VPN, לא את המבקר

מבקר מתחבר דרך VPN מסחרי והאפליקציה שלך רושמת את כתובת היציאה. זו אינה זהות מוסתרת: זו כתובת המקור היחידה שיש לחיבור ה-TCP. כל השאר שאנשים מכנים זיהוי הוא הסקה שנבנתה על העובדה האחת הזו.

מה בקשה באמת נושאת

האפליקציה רואה את כתובת המקור והפורט של החיבור, את לחיצת היד שהושלמה ואת הבתים שהלקוח בחר לשלוח. במנהרה מלאה, המקור הזה הוא היציאה, המשותפת לכל מי שמשתמש בה. במנהרה מפוצלת, בקשות עשויות להגיע מהמנהרה או מהחיבור המקומי בהתאם ליעד. אם הלקוח והשרת נמצאים שניהם באותו VPN, המקור הוא כתובת המנהרה הפנימית של הלקוח, שמזהה נקודת קצה ולא מיקום.

שום שדה בבקשה רגילה אינו נושא את הכתובת שהייתה ללקוח לפני המנהרה. כותרת העברה היא הצהרה של הלקוח או של פרוקסי, וניתן להשמיט אותה או לזייף אותה.

זיהוי הוא סיווג, וסיווג הוא ניחוש

השיטות המעשיות הן רשימות של טווחי VPN ואחסון מוכרים, השהיה שאינה מתיישבת עם אזור מוצהר, צורות traceroute והתנהגות חשבון. כל אחת מהן מפיקה הסתברות. VPN ארגוני יכול לשבת על כתובות שנראות מגורים, פרוקסי מגורים יכול להיראות כמו קו ביתי, ו-NAT של ספק יכול להיראות כמו טווח אחסון.

חסימת יציאה משותפת חוסמת כל משתמש לא קשור שמאחוריה, מה שהופך החלטת זיהוי להפרעה נלווית. ציון ביטחון אינו זהות ולעולם לא אמור להיות הקלט היחיד להחלטת חסימה או החזר.

אם ה-VPN שלך, יש לך אות אמין שאין לו שום קשר לזיהוי: הקצה מאגר ייעודי והתאם אליו את המקור הנצפה. זה עובד כי אתה שולט בשני הקצוות ויכול לתעד את המאגר. אבל זה לא מכליל למבקרים שאינך מנהל, וזה מפסיק להיות אמין ברגע שהמאגר משותף עם שירותים אחרים.

ראיות מקומיות מול הוכחה בצד השרת

על המכונה עצמה מנהרה נראית: מתאם וירטואלי, נתיב ברירת מחדל שמצביע על התקן מנהרה, פותר שהשתנה. קוד שרץ שם יכול למנות ממשקים ולחפש PPP, TAP או דרייבר של ספק.

דף אינטרנט לא יכול לקרוא שום דבר מזה. הפתרון הנפוץ טוען משאב שמוגש רק מהרשת הפנימית ומתייחס להצלחה כהוכחה לשימוש במנהרה. הוא בודק נגישות במקום: מנהרה מפוצלת, קובץ מטמן ישן או פרוקסי יירוט נותנים אותה תוצאה בשני המצבים. ראיות מקומיות נשארות מקומיות.

בחר בקרות גישה ששורדות את העמימות

בנה בקרת גישה על זהות מאומתת, בריאות התקן והרשאה לכל משאב. הפרדיקטים האלה מתארים מי שואל ומה הוא עשוי להגיע אליו, והם נשארים משמעותיים בין אם מנהרה מעורבת ובין אם לא. האם בקשה הגיעה דרך VPN הוא אות חלש שמייצר גם אישורים שגויים וגם חסימות נלוות. שמור את הראיה ואת ההחלטה בשדות נפרדים, כדי שלחסימה שנויה במחלוקת יהיה מה לבדוק.

מיקום גיאוגרפי לפי IP הוא קלט אחד מבין כמה, ושירותי מיקום של הדפדפן עשויים להשתמש ב-Wi-Fi או ב-GPS שלעולם לא הולכים אחרי המנהרה. מפה שעדיין מציגה את עיר המבקר היא ראיה על שירותי מיקום, לא הוכחה שהמנהרה נכשלה.

רשום איזה אות הנחה כל החלטה. כשקוח חולק על חסימה, הרשומה הזו היא ההבדל בין בדיקה לוויכוח.