Hogyan működik a VPN- és proxyfelismerés, és hol vall kudarcot
Az IP-listák, a reputációs API-k és az ujjlenyomatok különböző módon vallanak kudarcot. Döntse el, milyen visszaélést állít meg, mérje a téves riasztásokat, majd okkóddal érvényesítse.
Amikor valaki azt kérdezi, hogyan lehet blokkolni a VPN-felhasználókat, három különböző kérés rejtőzik a mondatban: állítsd meg a csalást, állítsd meg a kaparást, vagy érvényesíts licenchatárt. Mindegyik más hibaszintet tűr, és egyiket sem válaszolja meg annak tudása, hogy egy cím alagúthoz tartozik-e. Amit egy osztályozó visszaad, az valószínűség az infrastruktúráról, nem állítás arról a személyről, aki használja.
Mit számol valójában egy IP-osztályozó
A legtöbb szolgáltatás négy adatforrást kombinál, és ezek eltérő ütemben avulnak. A Tor kilépési listák a könyvtár konszenzusából származnak, és amíg az tart, majdnem teljesek. A nyílt proxy listák részlegesek, és napok alatt elavulnak. A kereskedelmi kilépési listák tervezésüknél fogva lemaradnak az új szolgáltatók mögött, mert a címek gyorsabban forognak, mint ahogy bármely szállító végig tudná járni őket. A hostingtartományok heurisztikája a legolcsóbb és a legdurvább jel.
Az utóbbi az, ahol a legtöbb téves riasztás születik. A vállalati kilépések, a felhőben hosztolt böngészők, a campus NAT és a mobiloperátorok átjárói mind hostingnak vagy megosztott infrastruktúrának tűnnek, és mindegyik tartalmazhat hétköznapi ügyfeleket.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
Az IPv6 megszünteti a maradék kényelmet. Egy kliensnek kapcsolatonként más címe lehet, és a szolgáltató a kérések között forgathat egy előtagot, így a címet tartós identitásként kezelő szabály heteken belül eltávolodik a valóságtól.
Miért mállanak le a protokoll-ujjlenyomatok
Az MSS- és időzítésbeli különbségek azonosíthatnak néhány OpenVPN konfigurációt, és a technika valóban törékeny. A jel a felhasználó által vezérelt opcióktól, az útvonal MTU-jától és az Ön tulajdonában nem lévő köztes eszközöktől függ. Változtasson meg egy titkosítást vagy egy MSS-korlátot, és az ujjlenyomat elmozdul. Egy szolgáltató, amely új alapértelmezést szállít, egy éjszaka alatt ugyanezt teszi a szabályával.
A fordított szondázásnak rosszabb problémája van a törékenységnél: ellenséges. Egy látogató portjainak szkennelése lassú, könnyen blokkolja ugyanaz a vállalati tűzfal, amely mögött az ügyfelei ülnek, és nehéz megvédeni egy adatvédelmi felülvizsgálatban. A késleltetési küszöbök ugyanolyan megbízhatóan kapják el a távoli felhasználókat, mint az alagút-felhasználókat, ami azt jelenti, hogy a szabálya valójában «blokkolja a távoli embereket» egy másik címkével.
Bármit is választ, hajnali 2-kor el kell tudnia magyarázni egy ügyfélszolgálatosnak. Egy jel, amelyet senki sem tud leírni, olyan blokká válik, amelyet senki sem tud visszavonni. Írja meg a magyarázatot, mielőtt megírja a szabályt, ne az első panasz után.
Az identitás és a viselkedés legyőzi az anonimitási találgatásokat
A sebességkorlátok, a bejelentkezési követelmények, a fizetési ellenőrzések és a fiókonkénti kvóták kezelik a visszaélést anélkül, hogy büntetnék az adatvédelemre figyelő olvasókat. Akkor is működnek, amikor a cím megváltozik, mert olyanhoz kapcsolódnak, amit a kliens nem tud ingyen forgatni.
Ha a földrajzi korlátozás licenckövetelmény, dokumentált szabályzatként érvényesítse világos hibaüzenettel és rendszeres felülvizsgálattal. Ez más ellenőrzés, mint az anonimitás találgatása, és az ügyfélnek szóló szövegben másként kell leírni. A VPN-protokoll által használt portok blokkolása csökkentheti az automatizált visszaélést, de a jogszerű távoli hozzáférést is megtöri, és bárki, aki eltökélt, triviálisan megkerüli.
Vezesse be először mérésként
Futtassa az osztályozót néhány hétig csak jelentes módban. Hasonlítsa össze a blokkolt populációt a regisztrációkkal, konverziókkal és támogatási jegyekkel, majd a küszöb beállítása előtt határozza meg a téves riasztások keretét.
Tesztelje újra egy kis ismert halmazon: otthoni kapcsolat, mobiloperátor, vállalati kilépés és kereskedelmi VPN. Négy eset feltárja a legtöbb hibát, amely különben elérné az ügyfeleket, és egy délutánba kerül.
Tartsa külön a nyers jelet és az érvényesítési döntést. Naplózza a pontszámot akkor is, ha a küszöb magas, irányítsa a kétértelmű közepet emberi sorba, és címkézze minden blokkot okkóddal, hogy a következő szabályzatfelülvizsgálat meg tudja mondani, melyik jel érdemelte ki a helyét.
A fellebbezési útvonal az ellenőrzés része
Minden automatikus blokknak emberi útvonalra van szüksége: kapcsolattartási címre, megadott válaszidőre és nevesített felülvizsgálati tulajdonosra. Enélkül a téves riasztás csendesen elvesztett ügyfél és olyan támogatási jegy, amivel senki sem tud mit kezdeni.
Mondja ki egyértelműen, hogy a hozzáférés korlátozható, miért, és hogyan kérhető felülvizsgálat. Verziózza a szabályzatot, hogy az ügyfélszolgálat meg tudja mondani, melyik szabály volt érvényben egy adott napon. Egy blokk, amelyet nem tud megmagyarázni, visszavonni vagy mérni, nem ellenőrzés; találgatás naplósorral.