Jūsų serveris mato VPN išėjimą, o ne lankytoją

Lankytojas jungiasi per komercinį VPN, o jūsų programa registruoja išėjimo adresą. Tai nėra paslėpta tapatybė: tai vienintelis šaltinio adresas, kurį turi TCP ryšys. Visa kita, ką žmonės vadina aptikimu, yra spėjimas, uždėtas ant to vieno fakto.

Ką užklausa iš tikrųjų neša

Programa mato ryšio šaltinio adresą ir prievadą, užbaigtą rankos paspaudimą ir baitus, kuriuos klientas pasirinko siųsti. Viso tunelio atveju tas šaltinis yra išėjimas, bendras visiems jį naudojantiems. Suskaidyto tunelio atveju užklausos gali ateiti iš tunelio arba iš vietinio ryšio, priklausomai nuo paskirties. Jei klientas ir serveris yra tame pačiame VPN, šaltinis yra vidinis kliento tunelio adresas, žymintis galinį tašką, o ne vietą.

Nė vienas įprastos užklausos laukas neneša adreso, kurį klientas turėjo prieš tunelį. Persiuntimo antraštė yra kliento arba tarpinio serverio teiginys, ir jos galima praleisti arba suklastoti.

Aptikimas yra klasifikacija, o klasifikacija yra spėjimas

Praktiniai metodai yra žinomų VPN ir prieglobos intervalų sąrašai, delsa, kuri neatitinka deklaruoto regiono, traceroute formos ir paskyros elgsena. Kiekvienas jų duoda tikimybę. Įmonės VPN gali būti adresuose, kurie atrodo gyvenamieji, gyvenamasis tarpinis serveris gali atrodyti kaip namų linija, o operatoriaus NAT gali atrodyti kaip prieglobos intervalas.

Bendro išėjimo blokavimas blokuoja kiekvieną nesusijusį vartotoją už jo, o tai aptikimo sprendimą paverčia šalutiniu sutrikimu. Pasitikėjimo balas nėra tapatybė ir niekada neturėtų būti vienintelė draudimo ar grąžinimo sprendimo įvestis.

Jei VPN priklauso jums, turite patikimą signalą, neturintį nieko bendra su aptikimu: skirkite atskirą baseiną ir palyginkite su juo stebimą šaltinį. Tai veikia, nes valdote abu galus ir galite dokumentuoti baseiną. Tačiau tai neapibendrinama lankytojams, kurių nevaldote, ir nustoja būti patikima tą akimirką, kai baseinas bendrinamas su kitomis paslaugomis.

Vietiniai įrodymai prieš serverio pusės įrodymus

Pačioje mašinoje tunelis matomas: virtualus adapteris, numatytasis maršrutas, nukreiptas į tunelio įrenginį, pasikeitęs resolveris. Ten veikiantis kodas gali išvardyti sąsajas ir ieškoti PPP, TAP arba tiekėjo tvarkyklės.

Tinklalapis negali perskaityti nieko iš to. Įprastas apeities būdas įkelia išteklių, teikiamą tik iš vidinio tinklo, ir sėkmę laiko tunelio naudojimo įrodymu. Iš tikrųjų jis tikrina pasiekiamumą: suskaidytas tunelis, pasenęs podėlyje esantis failas arba perėmimo tarpinis serveris duoda tą patį rezultatą abiem atvejais. Vietiniai įrodymai lieka vietiniai.

Rinkitės prieigos kontrolę, kuri atlaiko neapibrėžtumą

Kurkite prieigos kontrolę patvirtintos tapatybės, įrenginio būklės ir leidimo kiekvienam ištekliui pagrindu. Šie predikatai apibūdina, kas klausia ir ką jis gali pasiekti, ir jie išlieka prasmingi nepriklausomai nuo to, ar tunelis dalyvauja. Ar užklausa atėjo per VPN, yra silpnas signalas, sukeliantis ir klaidingus priėmimus, ir šalutinius blokavimus. Laikykite įrodymą ir sprendimą atskiruose laukuose, kad ginčijamas blokavimas turėtų ką peržiūrėti.

IP geolokacija yra viena iš kelių įvesčių, o naršyklės vietos paslaugos gali naudoti Wi-Fi arba GPS, kurie niekada neseka tuneliu. Žemėlapis, kuriame vis dar rodomas lankytojo miestas, yra įrodymas apie vietos paslaugas, o ne įrodymas, kad tunelis nepavyko.

Užrašykite, kuris signalas lėmė kiekvieną sprendimą. Kai klientas ginčija blokavimą, tas įrašas yra skirtumas tarp peržiūros ir ginčo.