VPN 및 프록시 탐지는 어떻게 작동하고 어디서 실패하는가
IP 목록, 평판 API, 지문은 각각 다른 방식으로 실패합니다. 어떤 남용을 막을지 정하고, 오탐을 측정한 뒤, 사유 코드와 함께 적용하세요.
누군가 VPN 사용자를 차단하는 방법을 묻는다면, 그 문장에는 세 가지 다른 요청이 숨어 있습니다: 사기를 막는 것, 스크래핑을 막는 것, 라이선스 경계를 강제하는 것입니다. 각각은 서로 다른 오류율을 감수하며, 주소가 터널에 속하는지 아는 것으로는 어느 것도 답이 되지 않습니다. 분류기가 돌려주는 것은 인프라에 대한 확률이지, 그것을 사용하는 사람에 대한 진술이 아닙니다.
IP 분류기가 실제로 계산하는 것
대부분의 서비스는 네 가지 데이터 소스를 결합하며, 각각 다른 속도로 낡습니다. Tor 출구 목록은 디렉터리 합의에서 나오며 그것이 유지되는 동안 거의 완전합니다. 공개 프록시 목록은 부분적이며 며칠 안에 낡습니다. 상업용 출구 목록은 주소가 어떤 판매자가 훑을 수 있는 것보다 빠르게 회전하기 때문에 설계상 새 공급자보다 뒤처집니다. 호스팅 대역 휴리스틱은 가장 싸고 가장 거친 신호입니다.
대부분의 오탐은 바로 마지막 신호에서 태어납니다. 기업 출구, 클라우드에서 호스팅되는 브라우저, 캠퍼스 NAT, 이동통신사 게이트웨이는 모두 호스팅이나 공유 인프라처럼 보이며, 그 각각에는 평범한 고객이 들어 있을 수 있습니다.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6은 남은 안락함을 없앱니다. 클라이언트는 연결마다 다른 주소를 가질 수 있고, 공급자는 요청 사이에 접두사를 회전할 수 있으므로 주소를 영구적 정체성으로 취급하는 규칙은 몇 주 안에 현실에서 벗어납니다.
프로토콜 지문은 왜 쇠퇴하는가
MSS와 타이밍 차이는 일부 OpenVPN 구성을 식별할 수 있지만, 이 기법은 정말로 취약합니다. 신호는 사용자가 제어하는 옵션, 경로 MTU, 그리고 당신이 소유하지 않은 중간 장비에 달려 있습니다. 암호 하나나 MSS 한도를 바꾸면 지문이 움직입니다. 새 기본값을 내놓는 공급자는 하룻밤 사이에 당신의 규칙에 같은 일을 합니다.
역방향 탐사에는 취약성보다 나쁜 문제가 있는데, 적대적이라는 점입니다. 방문자의 포트를 스캔하는 것은 느리고, 고객이 뒤에 앉은 바로 그 기업 방화벽에 쉽게 차단되며, 개인정보 검토에서 변호하기 어렵습니다. 지연 임계값은 먼 사용자를 터널 사용자만큼 확실하게 잡으므로, 당신의 규칙은 다른 라벨을 붙인 «먼 사람을 차단하라»일 뿐입니다.
무엇을 고르든 새벽 2시에 지원 담당자에게 설명할 수 있어야 합니다. 아무도 설명할 수 없는 신호는 아무도 해제할 수 없는 차단이 됩니다. 규칙을 쓰기 전에 설명을 쓰세요, 첫 불만 이후가 아니라.
정체성과 행동은 익명성 추측을 이긴다
속도 제한, 로그인 요구, 결제 확인, 계정별 할당량은 개인정보를 신경 쓰는 독자를 벌하지 않으면서 남용을 다룹니다. 주소가 바뀌어도 고객이 무료로 회전할 수 없는 무언가에 붙어 있기 때문에 계속 작동합니다.
지리적 제한이 라이선스 요구라면, 명확한 오류 메시지와 정기 검토를 갖춘 문서화된 정책으로 강제하세요. 그것은 익명성을 추측하는 것과 다른 통제이며, 고객에게 향하는 글에서는 다르게 설명해야 합니다. VPN 프로토콜이 쓰는 포트를 막으면 자동화된 남용이 줄 수 있지만, 정당한 원격 접근도 깨뜨리고 결심한 사람은 누구나 쉽게 우회합니다.
먼저 측정으로 출시하라
분류기를 몇 주 동안 보고 전용 모드로 실행하세요. 차단했을 집단을 가입, 전환, 지원 티켓과 비교한 뒤, 임계값을 정하기 전에 오탐 예산을 정하세요.
작고 알려진 집합, 즉 가정 연결, 이동통신사, 기업 출구, 상업용 VPN으로 다시 시험하세요. 네 가지 사례가 고객에게 도달했을 대부분의 오류를 드러내며, 비용은 반나절입니다.
원시 신호와 적용 결정을 분리하세요. 임계값이 높아도 점수를 기록하고, 모호한 중간은 사람 검토 대기열로 보내고, 모든 차단에 사유 코드를 붙이면 다음 정책 검토에서 어느 신호가 제자리를 얻었는지 알 수 있습니다.
이의 제기 경로는 통제의 일부입니다
모든 자동 차단에는 연락처 주소, 명시된 응답 시간, 이름이 있는 검토 책임자라는 사람 경로가 필요합니다. 그것이 없으면 오탐은 조용히 잃은 고객이고 아무도 조치할 수 없는 지원 티켓입니다.
접근이 제한될 수 있다는 점, 그 이유, 검토를 요청하는 방법을 분명히 말하세요. 정책을 버전 관리하면 지원이 특정 날짜에 어떤 규칙이 적용되었는지 말할 수 있습니다. 설명도 취소도 측정도 할 수 없는 차단은 통제가 아니라 로그 한 줄이 붙은 추측입니다.