서버가 보는 것은 VPN 출구이지 방문자가 아니다

방문자가 상용 VPN을 통해 접속하고 애플리케이션은 출구 주소를 기록한다. 그것은 숨겨진 신원이 아니다. TCP 연결이 가진 유일한 출발지 주소일 뿐이다. 사람들이 탐지라고 부르는 나머지 대부분은 그 하나의 사실 위에 쌓인 추론이다.

요청이 실제로 지니는 것

애플리케이션은 연결의 출발지 주소와 포트, 완료된 핸드셰이크, 클라이언트가 보내기로 선택한 바이트를 본다. 전체 터널에서는 그 출발지가 출구이며 이를 사용하는 모든 사람이 공유한다. 분할 터널에서는 목적지에 따라 요청이 터널에서 오거나 로컬 연결에서 올 수 있다. 클라이언트와 서버가 같은 VPN 안에 있으면 출발지는 클라이언트의 내부 터널 주소이며 이는 위치가 아니라 종단점을 나타낸다.

일반적인 요청의 어떤 필드도 터널 이전에 클라이언트가 가졌던 주소를 지니지 않는다. 전달 헤더는 클라이언트나 프록시의 주장이며 생략되거나 위조될 수 있다.

탐지는 분류이고, 분류는 추측이다

실용적인 방법은 알려진 VPN 및 호스팅 대역 목록, 주장된 지역과 맞지 않는 지연 시간, traceroute 형태, 계정 행동이다. 각각은 확률을 낳는다. 기업 VPN이 주거용처럼 보이는 주소에 있을 수 있고, 주거용 프록시가 가정용 회선처럼 보일 수 있으며, 통신사 NAT가 호스팅 대역처럼 보일 수 있다.

공유 출구를 차단하면 그 뒤의 무관한 사용자 모두가 차단되어 탐지 결정이 부수적 장애로 바뀐다. 신뢰 점수는 신원이 아니며 금지나 환불 결정의 유일한 입력이 되어서는 안 된다.

VPN을 직접 운영한다면 탐지와 무관한 신뢰할 수 있는 신호가 있다. 전용 풀을 지정하고 관찰된 출발지를 그것과 대조하라. 양쪽 끝을 통제하고 풀을 문서화할 수 있기 때문에 작동한다. 그러나 관리하지 않는 방문자에게는 일반화되지 않으며, 풀이 다른 서비스와 공유되는 순간 신뢰할 수 없게 된다.

로컬 증거와 서버 측 증명

머신 자체에서는 터널이 보인다. 가상 어댑터, 터널 장치를 가리키는 기본 경로, 변경된 리졸버다. 그곳에서 실행되는 코드는 인터페이스를 열거하고 PPP, TAP 또는 공급업체 드라이버를 찾을 수 있다.

웹 페이지는 그중 아무것도 읽을 수 없다. 흔한 우회 방법은 내부 네트워크에서만 제공되는 자산을 불러오고 성공을 터널 사용의 증거로 간주한다. 실제로는 도달 가능성을 시험할 뿐이며, 분할 터널, 오래된 캐시 파일, 가로채기 프록시 모두 두 상태에서 같은 결과를 낸다. 로컬 증거는 로컬에 머문다.

모호함을 견디는 접근 제어를 선택하라

접근 제어는 검증된 신원, 장치 상태, 리소스별 권한 위에 세워라. 그 술어들은 누가 묻고 무엇에 도달할 수 있는지를 설명하며 터널이 관여하든 아니든 의미를 지닌다. 요청이 VPN을 통해 왔는지는 잘못된 수용과 부수적 차단을 모두 낳는 약한 신호다. 증거와 결정을 별도 필드에 두어 분쟁이 된 차단에 검토할 거리를 남겨라.

IP 지오로케이션은 여러 입력 중 하나이며 브라우저 위치 서비스는 터널을 결코 따르지 않는 Wi-Fi나 GPS를 사용할 수 있다. 방문자의 도시를 여전히 보여 주는 지도는 위치 서비스에 대한 증거이지 터널이 실패했다는 증명이 아니다.

어떤 신호가 각 결정을 이끌었는지 적어 두라. 고객이 차단에 이의를 제기할 때 그 기록이 검토와 논쟁의 차이다.