Ruotare IP proxy senza VPN: cosa vede l'uscita
Ruota le uscite proxy senza VPN: cosa può leggere un proxy HTTP, come le sessioni appiccicose evitano stati rotti e quale uscita puoi difendere in una politica.
La rotazione proxy e una VPN cambiano il tuo indirizzo pubblico a livelli diversi, e quella differenza decide cosa trapela. Una VPN sposta ogni pacchetto in un tunnel, quindi l'indirizzo sorgente che vede il bersaglio è l'endpoint del tunnel. Un proxy si colloca sopra il livello di rete: solo le richieste che invii attraverso di esso compaiono dall'uscita, mentre tutto il resto sulla macchina conserva l'indirizzo reale. Azzeccare questa separazione trasforma la rotazione da una casella di controllo in una decisione di progettazione.
Da dove viene davvero l'indirizzo pubblico
L'indirizzo che vede un bersaglio è quello da cui il tuo traffico è uscito l'ultima volta, e su una connessione domestica è l'indirizzo del fornitore sul tuo router, non qualcosa che la macchina possiede. Riavviare il router può restituire lo stesso lease, e cambiare il suo indirizzo MAC a volte ne produce uno nuovo, ma nessuno dei due ti dà un selettore di paese. Una VPN sostituisce l'indirizzo sorgente a livello IP, quindi ogni pacchetto dalla macchina, inclusi DNS e aggiornamenti in background, esce dall'endpoint del tunnel. Un proxy lavora un livello più su: accetta una richiesta, apre la propria connessione verso il bersaglio, e solo quella richiesta compare dall'uscita. Tutto il resto sulla macchina usa ancora l'indirizzo reale.
Questa separazione spiega la maggior parte delle sorprese. Un'estensione del browser puntata a un proxy cambia ciò che invia il browser e nient'altro, quindi una seconda applicazione sullo stesso host perde ancora l'indirizzo originale. Una VPN a livello di sistema ha la modalità di errore opposta: copre il traffico che volevi mantenere locale e fallisce chiusa solo se il client è configurato per farlo. Scegliere tra le due è davvero scegliere quale traffico deve muoversi.
La rotazione si applica quindi al livello che hai scelto. Con un proxy, rotazione significa che la richiesta successiva usa un'uscita diversa. Con una VPN, significa abbattere e ricostruire il tunnel, cosa più lenta e visibile come riconnessione.
Cosa può leggere un proxy HTTP, e cosa no
Con HTTP semplice il proxy vede un URI assoluto nella riga di richiesta, ogni intestazione e il corpo. Può registrare tutto e riscrivere qualsiasi parte, ed è per questo che un proxy gratuito che inietta uno script nelle risposte fa esattamente ciò che il protocollo consente. L'autenticazione usa Proxy-Authorization, e una credenziale mancante o errata produce 407 Proxy Authentication Required invece di un errore di connessione.
Con HTTPS il client invia CONNECT host:port e il proxy apre un tunnel grezzo, dopodiché vede byte cifrati. Impara comunque il nome host dalla riga CONNECT e di solito dal campo SNI nell'handshake TLS, quindi la registrazione a livello di nome host sopravvive anche se il payload no. Leggere il payload richiede di terminare TLS con un certificato di cui il client si fida, che è un altro prodotto con un altro rischio. La specifica di semantica HTTP definisce CONNECT come richiesta di tunnel, che è il modello mentale giusto per ciò che un'uscita può e non può vedere.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'L'output dettagliato mostra la riga CONNECT prima di qualsiasi traffico TLS, e quello è il momento in cui il proxy impara la tua destinazione. Un proxy che risponde con 407 non ha mai aperto il tunnel, quindi riprovare con altre impostazioni TLS non aiuterà.
La granularità della rotazione decide cosa si rompe
Ruotare a ogni richiesta è l'impostazione che sembra più sicura e rompe più cose. Cookie, token CSRF e sessioni lato server sono legati a un'identità, e un'identità che cambia tra il login e la chiamata successiva appare al bersaglio come dirottamento di sessione. Molti fornitori espongono una sessione appiccicosa codificandola nel nome utente del proxy, così l'uscita resta fissa per una finestra scelta.
Scegli la granularità dal compito, non dal valore predefinito del fornitore. Un crawler che scarica pagine indipendenti può ruotare a ogni richiesta, mentre un flusso di pagamento o un'API autenticata devono tenere un'uscita per l'intero flusso. Le due chiamate sotto mostrano un nome utente appiccicoso e un endpoint rotante semplice, e lo socks5h schema risolve i nomi al proxy invece che localmente.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meIl DNS locale è una fuga silenziosa. Se il client risolve il nome prima di connettersi, il resolver impara comunque ogni host che visiti anche se la richiesta HTTP esce altrove. La socks5h forma e la risoluzione lato proxy evitano questo, e usarle non costa nulla.
Cosa classifica il bersaglio oltre all'indirizzo
La reputazione dell'indirizzo è un input tra vari. I bersagli combinano l'ASN e la sua etichetta data center o residenziale, l'impronta TLS del client, le impostazioni HTTP/2, l'ordine delle intestazioni, la frequenza delle richieste e la forma della navigazione. Un'uscita residenziale guidata da un browser headless può fallire dove un'uscita data center guidata da una sessione reale passa.
Il tipo di uscita stabilisce cosa puoi affermare onestamente sul traffico, e ognuno comporta un costo diverso.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Un'uscita condivisa non è neutrale. Tutto il resto che gira da quell'indirizzo finisce nello stesso secchio di reputazione, e un indirizzo già bruciato da altri inquilini fallisce prima che la tua prima richiesta venga letta.
Scegli un'uscita che sai descrivere in una politica
La domanda utile non è come nascondere l'indirizzo ma chi è responsabile del traffico che ne esce. La tua uscita cloud per attività, un fornitore sotto contratto con un accordo di trattamento dei dati e una conservazione pubblicata, e una VPN auto-ospitata con un'identità per attività sono tutte descrivibili in una frase. Una lista gratuita no, perché il suo operatore non ha alcun obbligo verso di te e ha ogni incentivo a registrare.
Tieni i tuoi limiti di frequenza sotto ciò che il bersaglio tollera, e raccogli solo i campi che il compito richiede, così un errore resta piccolo. Ruotare più in fretta per sfuggire a un blocco di solito alza la frequenza delle richieste che l'ha causato.
Scrivi l'uscita scelta, la sua finestra di rotazione e il suo proprietario nella configurazione del lavoro prima della prima esecuzione. Quando arriva il blocco, quella nota è ciò che ti dice se cambiare l'uscita o cambiare il comportamento.