Þjónninn þinn sér VPN-útganginn, ekki gestinn

Gestur tengist í gegnum verslunar-VPN og forritið þitt skráir útgangsfangið. Það er ekki falið auðkenni: það er eina upprunafangið sem TCP-tengingin hefur. Allt annað sem fólk kallar greiningu er ályktun lögð ofan á þá eina staðreynd.

Hvað beiðni ber í raun

Forritið sér upprunafang og port tengingarinnar, handabandið sem lauk og þau bæti sem biðlarinn valdi að senda. Undir heilli göngum er þessi uppruni útgangurinn, sameiginlegur öllum sem nota hann. Undir klofnum göngum geta beiðnir borist frá göngunum eða frá staðbundnu tengingunni eftir áfangastað. Ef biðlarinn og þjónninn eru báðir inni í sama VPN er uppruninn innra gangafang biðlarans, sem auðkennir endapunkt en ekki staðsetningu.

Ekkert svið í venjulegri beiðni ber fangið sem biðlarinn hafði fyrir göngin. Áframsendingarhaus er fullyrðing biðlarans eða milliþjóns, og hægt er að sleppa honum eða falsa hann.

Greining er flokkun, og flokkun er ágiskun

Hagnýtu aðferðirnar eru listar yfir þekkt VPN- og hýsingarbil, seinkun sem stangast á við tilgreint svæði, traceroute-form og hegðun reiknings. Hver þeirra gefur líkindi. Fyrirtækja-VPN getur verið á föngum sem líta út fyrir að vera íbúðarhúsnæði, íbúðarhúsnæðis-milliþjónn getur litið út eins og heimalína, og NAT flutningsaðila getur litið út eins og hýsingarbil.

Að loka sameiginlegum útgangi lokar á hvern ótengdan notanda fyrir aftan hann, sem gerir greiningarákvörðun að aukaverkuðu útfalli. Trauststig er ekki auðkenni og ætti aldrei að vera eina inntak ákvörðunar um bann eða endurgreiðslu.

Ef þú átt VPN-ið hefurðu áreiðanlegt merki sem hefur ekkert með greiningu að gera: úthlutaðu sérstöku safni og berðu saman við upprunann sem sést. Það virkar vegna þess að þú stýrir báðum endum og getur skjalfest safnið. En það alhæfist ekki yfir gesti sem þú stýrir ekki, og það hættir að vera áreiðanlegt um leið og safnið er deilt með öðrum þjónustum.

Staðbundnar sannanir gegn sönnunum á þjónshlið

Á vélinni sjálfri er göng sýnileg: sýndarmillistykki, sjálfgefin leið sem bendir á gangatæki, leysir sem breyttist. Kóði sem keyrir þar getur talið upp tengi og leitað að PPP, TAP eða reklum framleiðanda.

Vefsíða getur ekki lesið neitt af þessu. Algenga lausnin hleður auðlind sem aðeins er þjónuð úr innra neti og lítur á árangur sem sönnun um ganganotkun. Hún prófar í raun aðgengi: klofin göng, gömul skyndiminnið skrá eða milligönguþjónn sem grípur inn gefa sama niðurstöðu í báðum stöðum. Staðbundnar sannanir verða áfram staðbundnar.

Veldu aðgangsstýringar sem standast óvissuna

Byggðu aðgangsstýringu á staðfestu auðkenni, heilsu tækis og heimild fyrir hverja auðlind. Þessar forsendur lýsa því hver spyr og hvað hann má ná, og þær halda gildi sínu hvort sem göng koma við sögu eða ekki. Hvort beiðni barst um VPN er veikt merki sem gefur bæði röng samþykki og aukaverkuð lokanir. Haltu sönnuninni og ákvörðuninni á aðskildum sviðum, svo umdeild lokun hafi eitthvað til að fara yfir.

IP-landfræðistaðsetning er eitt inntak meðal fleiri, og staðsetningarþjónustur vafrans geta notað Wi-Fi eða GPS sem fylgja aldrei göngunum. Kort sem enn sýnir borg gestins er sönnun um staðsetningarþjónustur, ekki sönnun þess að göngin hafi brugðist.

Skrifaðu niður hvaða merki stýrði hverri ákvörðun. Þegar viðskiptavinur mótmælir lokun er sú skráning munurinn á yfirferð og rifrildi.