Proxy IP-k forgatása VPN nélkül: mit lát a kimenet
Forgassa a proxy kimeneteket VPN nélkül: mit olvashat egy HTTP-proxy, hogyan akadályozzák meg a ragadós munkamenetek a törött állapotot, és melyik kimenetet tudja megvédeni egy irányelvben.
A proxyforgatás és a VPN különböző rétegekben változtatja meg a nyilvános címét, és ez a különbség dönti el, mi szivárog. A VPN minden csomagot alagútba visz, így a forráscím, amelyet a célpont lát, az alagút végpontja. A proxy a hálózati réteg felett helyezkedik el: csak a rajta keresztül küldött kérések jelennek meg a kimeneten, míg a gépen minden más megtartja a valódi címet. Ha ezt a felosztást jól csinálja, a forgatás jelölőnégyzetből tervezési döntéssé válik.
Honnan jön valójában a nyilvános cím
A cím, amelyet a célpont lát, az, ahonnan a forgalma utoljára elment, otthoni kapcsolatnál pedig ez a szolgáltató címe a routerén, nem valami, ami a gépé. A router újraindítása ugyanazt a bérletet adhatja vissza, a MAC-címének megváltoztatása néha újat hoz létre, de egyik sem ad országválasztót. A VPN a forráscímet az IP-rétegben cseréli le, így a gép minden csomagja, beleértve a DNS-t és a háttérfrissítéseket is, az alagút végpontjáról indul. A proxy egy réteggel feljebb dolgozik: elfogad egy kérést, megnyitja a saját kapcsolatát a célpont felé, és csak ez a kérés jelenik meg a kimeneten. A gépen minden más továbbra is a valódi címet használja.
Ez a felosztás magyarázza a legtöbb meglepetést. A proxyra irányított bővítmény csak azt változtatja meg, amit a böngésző küld, és semmi mást, így az ugyanazon a hoszton futó második alkalmazás továbbra is kiszivárogtatja az eredeti címet. A rendszerszintű VPN hibaállapota ellentétes: lefedi a forgalmat, amelyet helyben akart tartani, és csak akkor zár be, ha az ügyfél így van beállítva. A kettő közötti választás valójában annak a választása, melyik forgalomnak kell mozognia.
A forgatás ezután arra a rétegre vonatkozik, amelyet választott. Proxynál a forgatás azt jelenti, hogy a következő kérés másik kimenetet használ. VPN-nél azt jelenti, hogy lebontja és újraépíti az alagutat, ami lassabb, és látható újracsatlakozásként jelenik meg.
Mit olvashat egy HTTP-proxy, és mit nem
Egyszerű HTTP-nél a proxy a kérés sorában egy abszolút URI-t, minden fejlécet és a törzset látja. Mindezt naplózhatja, és bármelyik részét átírhatja, ezért egy ingyenes proxy, amely szkriptet injektál a válaszokba, pontosan azt teszi, amit a protokoll enged. A hitelesítés a Proxy-Authorization fejlécet használja, és egy hiányzó vagy hibás hitelesítő adat 407 Proxy Authentication Required kapcsolódási hiba helyett ad.
HTTPS-nél az ügyfél CONNECT host:port küldi, és a proxy nyers alagutat nyit, utána titkosított bájtokat lát. Továbbra is megtanulja a hosztnevet a CONNECT sorból és általában a TLS-kézfogás SNI mezőjéből, így a hosztnév szintű naplózás túléli, még ha a hasznos teher nem is. A hasznos teher olvasása a TLS lezárását igényli egy olyan tanúsítvánnyal, amelyben az ügyfél megbízik, ez pedig egy másik termék másik kockázattal. A HTTP szemantikai specifikációja a CONNECT-et alagútkérésként definiálja, ami a helyes gondolati modell ahhoz, mit láthat és mit nem láthat egy kimenet.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'A részletes kimenet a CONNECT sort bármilyen TLS-forgalom előtt mutatja, és ez az a pillanat, amikor a proxy megtanulja az úti célját. Egy proxy, amely 407-tel válaszol, soha nem nyitotta meg az alagutat, így a más TLS-beállításokkal való újrapróbálkozás nem segít.
A forgatás granularitása dönti el, mi törik el
A minden kérésnél való forgatás az a beállítás, amely a legbiztonságosabbnak látszik, és a legtöbbet töri. A cookie-k, a CSRF-tokenek és a kiszolgálóoldali munkamenetek egy identitáshoz kötődnek, és az az identitás, amely a bejelentkezés és a következő hívás között megváltozik, a célpont számára munkamenet-eltérítésnek tűnik. Sok szolgáltató ragadós munkamenetet kínál azzal, hogy a proxy felhasználónevébe kódolja, így a kimenet egy kiválasztott ablakon át rögzített marad.
A granularitást a feladatból válassza, ne a szolgáltató alapértelmezéséből. Egy önálló oldalakat letöltő feltérképező minden kérésnél forgathat, míg egy fizetési folyamatnak vagy egy hitelesített API-nak egy kimenetet kell tartania a teljes folyamat alatt. Az alábbi két hívás egy ragadós felhasználónevet és egy egyszerű forgó végpontot mutat, és a socks5h séma a neveket a proxynál oldja fel, nem helyben.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meA helyi DNS csendes szivárgás. Ha az ügyfél a csatlakozás előtt feloldja a nevet, a feloldó továbbra is megtanul minden hosztot, amelyet meglátogat, még akkor is, ha a HTTP-kérés máshonnan megy ki. A socks5h forma és a proxyoldali feloldás elkerüli ezt, és használatuk semmibe sem kerül.
Mit osztályoz a célpont a címen kívül
A cím hírneve egy bemenet a több közül. A célpontok egyesítik az ASN-t és annak adatközpont vagy lakóövezet címkéjét, az ügyfél TLS-ujjlenyomatát, a HTTP/2 beállításokat, a fejlécek sorrendjét, a kérések gyakoriságát és a navigáció formáját. Egy fej nélküli böngésző által vezérelt lakóövezeti kimenet elbukhat ott, ahol egy valódi munkamenet által vezérelt adatközponti kimenet átmegy.
A kimenet típusa határozza meg, mit állíthat őszintén a forgalomról, és mindegyik más költséggel jár.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
A megosztott kimenet nem semleges. Minden más, ami arról a címről fut, ugyanabba a hírnévgyűjtőbe kerül, és egy más bérlők által már elégetett cím meghibásodik, mielőtt az első kérését elolvassák.
Válasszon olyan kimenetet, amelyet le tud írni egy irányelvben
A hasznos kérdés nem az, hogyan rejtse el a címet, hanem hogy ki felelős az onnan kimenő forgalomért. A saját felhőbeli kimenete feladatonként, egy szerződéses szolgáltató adatfeldolgozási megállapodással és közzétett megőrzéssel, valamint egy saját üzemeltetésű VPN feladatonként egy identitással mind leírható egy mondatban. Egy ingyenes lista nem, mert üzemeltetőjének nincs semmilyen kötelezettsége Ön felé, és minden ösztönzése megvan a naplózáshoz.
Tartsa saját sebességkorlátait az alatt, amit a célpont elvisel, és csak azokat a mezőket gyűjtse, amelyekre a feladatnak szüksége van, hogy egy hiba kicsi maradjon. A gyorsabb forgatás a blokk elkerülésére általában megemeli a kérések gyakoriságát, amely okozta.
Írja be a kiválasztott kimenetet, annak forgatási ablakát és tulajdonosát a feladat konfigurációjába az első futás előtt. Amikor jön a blokk, ez a megjegyzés mondja meg, hogy a kimenetet vagy a viselkedést kell-e megváltoztatni.