Snúningur á proxy-IP-tölum án VPN: hvað útgáfan sér

Snúningur proxys og VPN breyta opinberu vistfangi þínu á mismunandi lögum, og sá munur ræður því hvað lekur. VPN færir hvert pakka inn í göng, svo upprunavistfangið sem skotmarkið sér er endapunktur gangsins. Proxy situr yfir netlaginu: aðeins beiðnirnar sem þú sendir í gegnum það birtast frá útganginum, á meðan allt annað á vélinni heldur raunverulega vistfanginu. Að ná þessari skiptingu rétt gerir snúninginn úr hakreit í hönnunarákvörðun.

Hvaðan opinbera vistfangið kemur í raun

Vistfangið sem skotmark sér er það sem umferðin þín fór síðast frá, og á heimaneti er það vistfang veitandans á beininum þínum, ekki eitthvað sem vélin á. Endurræsing beinisins getur skilað sama leigusamningi, og að breyta MAC-vistfangi þess býr stundum til nýtt, en hvorugt gefur þér landavalið. VPN kemur í stað upprunavistfangsins á IP-laginu, svo hvert pakki frá vélinni, þar á meðal DNS og bakgrunnsuppfærslur, fer frá endapunkti gangsins. Proxy vinnur einu lagi ofar: það tekur við beiðni, opnar sína eigin tengingu við skotmarkið, og aðeins sú beiðni birtist frá útganginum. Allt annað á vélinni notar enn raunverulega vistfangið.

Þessi skipting skýrir flestar óvæntar uppákomur. Viðbót í vafra sem beint er að proxy breytir aðeins því sem vafrinn sendir og engu öðru, svo annað forrit á sama hýsli lekur enn upprunalega vistfanginu. VPN fyrir allt kerfið hefur andstæða bilanatilraun: það hylur umferð sem þú vildir halda staðbundinni og lokar sér aðeins ef biðlarinn er stilltur þannig. Að velja á milli þeirra er í raun að velja hvaða umferð verður að hreyfast.

Snúningurinn gildir þá um það lag sem þú valdir. Með proxy þýðir snúningur að næsta beiðni notar annan útgang. Með VPN þýðir það að rífa niður og byggja ganginn upp aftur, sem er hægara og birtist sem sýnileg endurtenging.

Hvað HTTP-proxy getur lesið, og hvað ekki

Í venjulegu HTTP sér proxy algilt URI í beiðnilínunni, hvern haus og líkamann. Það getur skráð allt þetta og endurskrifað hvaða hluta sem er, og þess vegna gerir ókeypis proxy sem sprautar skriftu inn í svör nákvæmlega það sem prótókollinn leyfir. Auðkenning notar Proxy-Authorization, og vantað eða rangt auðkenni framleiðir 407 Proxy Authentication Required í stað tengivillu.

Í HTTPS sendir biðlarinn CONNECT host:port og proxy opnar hrátt göng, eftir það sér það dulkóðuð bæti. Það lærir enn hýsilsnafnið úr CONNECT-línunni og venjulega úr SNI-reitnum í TLS-handtaki, svo skráning á hýsilsnafnsstigi lifir af þótt hleðslan geri það ekki. Að lesa hleðsluna krefst þess að ljúka TLS með skírteini sem biðlarinn treystir, sem er önnur vara með aðra áhættu. HTTP-merkingarforskriftin skilgreinir CONNECT sem gangabeiðni, sem er rétta hugmyndalíkanið fyrir hvað útgangur getur og getur ekki séð.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Ítarleg úttak sýnir CONNECT-línuna fyrir hvaða TLS-umferð sem er, og það er augnablikið þegar proxy lærir áfangastaðinn þinn. Proxy sem svarar með 407 opnaði aldrei ganginn, svo að reyna aftur með öðrum TLS-stillingum mun ekki hjálpa.

Kornóttleiki snúningsins ræður því hvað brotnar

Að snúa við hverri beiðni er stillingin sem virðist öruggust og brýtur mest. Vafrakökur, CSRF-tákn og setur á þjónustuhlið eru bundin við auðkenni, og auðkenni sem breytist milli innskráningar og næsta kalls virðist skotmarkinu vera setuáras. Margir veitendur bjóða upp á límt setu með því að kóða hana í notandanafn proxysins, svo útgangurinn helst fastur í valinn glugga.

Veldu kornóttleikann út frá verkefninu, ekki sjálfgefnum stillingum veitandans. Skriðdreki sem sækir sjálfstæðar síður getur snúið við hverri beiðni, en greiðsluferli eða auðkennt API verður að halda einum útgangi fyrir allt ferlið. Tvö köllin hér að neðan sýna límt notandanafn og venjulegan snúningsendapunkt, og socks5h skemað leysir nöfn hjá proxynu í staðinn fyrir staðbundið.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Staðbundið DNS er hljóðlát leki. Ef biðlarinn leysir nafnið áður en hann tengist lærir leysirinn enn hvern hýsil sem þú heimsækir þótt HTTP-beiðnin fari annað. socks5h formið og lausn á hlið proxysins forðast það, og notkun þeirra kostar ekkert.

Hvað skotmarkið flokkar fyrir utan vistfangið

Orðspor vistfangsins er eitt inntak meðal margra. Skotmörk sameina ASN og merkingu þess sem gagnaver eða íbúðarhverfi, TLS-fingrafar biðlarans, HTTP/2-stillingar, röð hausa, tíðni beiðna og lögun leiðsögunnar. Íbúðarútgangur sem stýrt er af hauslausum vafra getur mistekist þar sem gagnaverútgangur sem stýrt er af raunverulegri setu fer í gegn.

Tegund útgangsins ákvarðar hvað þú getur sagt heiðarlega um umferðina, og hver þeirra hefur annan kostnað.

Sameiginlegur útgangur er ekki hlutlaus. Allt annað sem keyrir frá því vistfangi lendir í sama orðsporskörfunni, og vistfang sem aðrir leigjendur hafa þegar brennt mistekst áður en fyrsta beiðnin þín er lesin.

Veldu útgang sem þú getur lýst í stefnu

Gagnlega spurningin er ekki hvernig á að fela vistfangið heldur hver ber ábyrgð á umferðinni sem fer frá því. Eigin skýjaútgangur þinn fyrir hvert verk, samningsbundinn veitandi með samningi um vinnslu gagna og birtri varðveislu, og sjálfshýst VPN með einu auðkenni fyrir hvert verk eru öll lýsanleg í einni setningu. Ókeypis listi er það ekki, því rekstraraðili hans hefur enga skyldu gagnvart þér og hefur alla hvata til að skrá.

Haltu eigin hraðamörkum undir því sem skotmarkið þolir, og safnaðu aðeins þeim sviðum sem verkefnið þarf, svo mistök verði lítil. Hraðari snúningur til að komast fram hjá blokkun hækkar venjulega beiðnatíðnina sem olli henni.

Skrifaðu valinn útgang, snúningsglugga hans og eiganda hans í stillingar verksins fyrir fyrstu keyrslu. Þegar blokkin kemur er það minnisblaðið sem segir þér hvort þú eigir að skipta um útgang eða breyta hegðuninni.