VPN այցելուների ստուգումներ. հեղինակության և ուշացման անվտանգ գնահատում

Խարդախության վահանակը այցելուին նշում է որպես VPN, վերլուծաբանը պահանջում է արգելափակում, և հարցումը հասնում է հարթակի թիմին միայն մատակարարի բուլյան արժեքով։ Այդ բուլյան արժեքը գնահատական է, և այն ձախողվում է ուշացման չափումից տարբեր ուղղությամբ։ Գործելուց առաջ առանձնացրեք, թե ինչ է ապացուցում հարցումն ինքը, ինչ է պնդում հեղինակության ծառայությունը, և ինչ է միայն ակնարկում ժամանակը։ Այնուհետև ընտրեք պատասխան, որը կարող եք հետ շրջել, երբ գնահատականը սխալ պարզվի։

Հավաքեք հարցումային փաստերը, որոնք կարող եք պաշտպանել

Միակ հասցեն, որը ձեր սերվերը հաստատ գիտի, այն TCP գործընկերն է, որը լրացրել է կապը։ Երբ CDN-ն կամ հակադարձ պրոքսին ավարտում է այդ կապը, գործընկերը եզրն է, և հաճախորդի հասցեն անցնում է փոխանցման վերնագրով, որին կարելի է վստահել միայն այն ժամանակ, երբ ձեր սեփական եզրն է այն ավելացրել։ Կարդացեք այն գրառումը, որը գրել է ձեր պրոքսին, երբեք ոչ ամենաձախ տողը, որովհետև հաճախորդը կարող է այդ դիրքում ուղարկել ցանկացած արժեք։ Ամեն ինչ ներքևում պետք է պահպանի այդ տարբերությունը։

Երկու էժան հարստացում հասցեն դարձնում են վերանայելի. այն ինքնավար համակարգը, որը հայտարարում է այն, և PTR գրառումը, որը ցույց է տալիս դեպի այն։ Երկուսն էլ նկարագրում են գրանցում, ոչ վարք, և երկուսն էլ հետագայում վերարտադրելի են։

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

Հոսթինգի ASN-ը ուժեղ ակնարկ է, ոչ դատավճիռ։ Կորպորատիվ VPN կենտրոնները, ամպային ելքերը և որոշ համալսարանական ցանցեր նույնպես գտնվում են տվյալների կենտրոններում, այնպես որ նույն ազդանշանը, որը բռնում է առևտրային ելքը, բռնում է նաև օրինական գրասենյակ։ Պահեք հասցեն միայն այնքան, որքան վերանայումը դրա կարիքն ունի, որովհետև IP-ն անձնական տվյալ է գաղտնիության ռեժիմների մեծ մասում։ Ջնջեք այն ըստ ժամանակացույցի՝ անժամկետ պահելու փոխարեն։

Գնահատեք այցելուին նախքան նրան սահմանափակելը

Ցանկացած նոր ազդանշան սկզբում գործարկեք դիտարկման ռեժիմում։ Գրանցեք մուտքերը և պատճառի կոդը, թույլ տվեք բոլոր հարցումներին անցնել, և համեմատեք միավորների բաշխումը ձեր հայտնի օրինական հաշիվների հետ։ Սա տալիս է կեղծ դրական գնահատական նախքան ինչ-որ մեկը կկորցնի հասանելիությունը, և հենց այդ թիվն է որոշում, թե արդյոք կանոնն անվտանգ է միացնելու համար։

Ընդհանուրը քարտեզագրեք երեք գործողության, ոչ երկուսի. թույլատրել, բարձրացված մարտահրավեր, ձեռքով վերանայում։ Մշտական արգելափակումը պետք է պահանջի մարդու կողմից հաստատված կրկնվող չարաշահում, որովհետև կորպորատիվ ճանապարհորդի վրա կեղծ դրականը արժե աջակցության տոմս և կորցրած նստաշրջան, մինչդեռ մեկ հարցման վրա կեղծ բացասականը գրեթե ոչինչ չարժե։

Պահեք հեղինակության հարցումը սերվերի կողմում և սահմանափակ

Կանչեք հեղինակության ծառայությանը backend-ից կարճ ժամկետով, պահեք դատավճիռը քեշում ֆիքսված ժամանակահատվածով, և ժամկետի ավարտը դիտարկեք որպես անհայտ, ոչ որպես մաքուր։ Երբեք մի դրեք API բանալին հաճախորդի կողմի կոդում, և երբեք թույլ մի տվեք, որ հարցումն արգելափակի էջի մատուցումը. դանդաղ երրորդ կողմը պետք է վատացնի միավորը, ոչ կայքը։

Պահեք քեշը ըստ հասցեի, ոչ ըստ տիրույթի։ Ամբողջ /24-ի դասակարգումը մեկ հարցումից տարածում է սխալ դատավճիռ այն հարևանների վրա, որոնց երբեք չեք չափել։ Գրանցեք մատակարարին, պատասխանի ամսաթիվը և դասակարգման արժեքը պատճառի կոդի կողքին, որպեսզի ավելի ուշ վերանայումը կարողանա ասել, թե որ դատողությունն էր գործում։

Երկու մատակարար կարող են մեկ հասցեն մեկ օրվա ընթացքում տարբեր կերպ դասակարգել, դրա համար էլ դատավճիռը պատկանում է ապացույցների սյունակին, ոչ ինքնության սյունակին։ Սա նաև մշակման հարաբերություն է. յուրաքանչյուր այցելուի հասցեն երրորդ կողմ ուղարկելը պահանջում է օրինական հիմք, պահպանման կանոն և տող գաղտնիության ծանուցման մեջ։

Չափեք ուշացումը մեդիանայով, ոչ մեկ նմուշով

Ետադարձ ժամանակը նկարագրում է ուղին այն պահին, երբ չափել եք այն։ Մոտակա anycast եզրը կարող է սպասարկել հեռավոր օգտատիրոջ, բջջային ցանցը ավելացնում է ուշացում, որը ոչ մի կապ չունի աշխարհագրության հետ, և այցելուի սեփական երկրում VPN ելքը տեղական է թվում։ Քաղաքի մակարդակի աշխարհագրական դիրքը հաճախ հաղորդում է տվյալների կենտրոնի, ոչ մարդու մասին։

Վերցրեք մի քանի նմուշ և օգտագործեք մեդիանան, որպեսզի մեկ դանդաղ հարցումը չտեղափոխի արդյունքը։ Ներքևի ցիկլը տպում է հինգի մեդիանան։

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Համեմատեք թիվը հայտնի լավ օգտատերերի բաշխման հետ, ոչ բացարձակ շեմի, և միացրեք այն ASN-ի հետ։ Երկու թույլ ազդանշան, որոնք համաձայն են, ուժեղ են յուրաքանչյուրից առանձին, բայց եզրակացությունը դեռ ուղու մասին է, ոչ մտադրության, այնպես որ այն պատկանում է միավորին, ոչ արգելքին։

Որոշեք, գրանցեք և հետ շրջեք

Նախքան կանոնը միացնելը, դիտարկման ռեժիմում վերարտադրեք մեկ օրվա հոսքը և հաշվեք, թե ինչ կլիներ։ Պահեք միավորի մուտքերը, պատճառի կոդը և կանոնի տարբերակը, բայց հում հասցեները պահեք միայն վերանայման պատուհանի համար։ Եթե կանոնը գործարկվում է օրինական հաշվի վրա, գրառումը պետք է առանց երկրորդ հետաքննության բացատրի, թե ինչու։

Տվեք յուրաքանչյուր կանոնի իր անջատիչը։ Երբ բարձրացված ստուգման ավարտը նվազում է կամ աջակցության տոմսերը ցատկում են, անջատեք այդ կանոնը և թողեք խողովակաշարի մնացած մասը աշխատի. մեկ գլոբալ վթարային անջատիչը կարգավորման խնդիրը դարձնում է ընդհատում։ Փոփոխությունից հետո հետևեք մարտահրավերների ավարտի ցուցանիշին և բողոքարկումների հերթին, ոչ միայն արգելափակումների թվին։

Վերջում, պատասխանը պահեք համաչափ այն վնասին, որը կանխում եք։ Գովազդային խարդախության դեպքում VPN կարգավիճակը կեղծ սեղմման թույլ ցուցիչ է, և վարքային ազդանշանները, ինչպիսիք են փոխակերպման օրինաչափությունները և սարքի հետևողականությունը, անդրադառնում են իրական վնասին։ Շրջելի մարտահրավերը պաշտպանում է և՛ եկամուտը, և՛ իրական օգտատիրոջը միաժամանակ։