Proksija IP rotācija bez VPN: ko redz izeja

Proksija rotācija un VPN maina jūsu publisko adresi dažādos slāņos, un tieši šī atšķirība nosaka, kas noplūst. VPN pārvieto katru paketi tunelī, tāpēc avota adrese, ko redz mērķis, ir tuneļa galapunkts. Proksijs atrodas virs tīkla slāņa: no izejas redzami tikai tie pieprasījumi, ko sūtāt caur to, bet viss pārējais mašīnā saglabā īsto adresi. Ja šo sadalījumu izdara pareizi, rotācija no atzīmes lodziņa kļūst par dizaina lēmumu.

No kurienes publiskā adrese patiešām nāk

Adrese, ko redz mērķis, ir tā, no kuras jūsu trafiks pēdējo reizi izgāja, un mājas savienojumā tā ir pakalpojumu sniedzēja adrese jūsu maršrutētājā, nevis kaut kas, kas pieder mašīnai. Maršrutētāja restartēšana var atgriezt to pašu nomu, un tā MAC adreses maiņa dažkārt rada jaunu, bet neviens no tiem nedod jums valsts izvēli. VPN aizstāj avota adresi IP slānī, tāpēc katra pakete no mašīnas, tostarp DNS un fona atjauninājumi, iziet no tuneļa galapunkta. Proksijs strādā vienu slāni augstāk: tas pieņem pieprasījumu, atver savu savienojumu ar mērķi, un tikai šis pieprasījums parādās no izejas. Viss pārējais mašīnā joprojām izmanto īsto adresi.

Šis sadalījums izskaidro lielāko daļu pārsteigumu. Pārlūka paplašinājums, kas vērsts uz proksiju, maina tikai to, ko sūta pārlūks, un neko citu, tāpēc otra lietotne tajā pašā hostā joprojām noplūdina sākotnējo adresi. Sistēmas līmeņa VPN ir pretējs kļūmes režīms: tas pārklāj trafiku, ko gribējāt paturēt lokālu, un aizveras tikai tad, ja klients ir tā konfigurēts. Izvēlēties starp abiem patiešām nozīmē izvēlēties, kuram trafikam jākustas.

Tad rotācija attiecas uz to slāni, kuru izvēlējāties. Ar proksiju rotācija nozīmē, ka nākamais pieprasījums izmanto citu izeju. Ar VPN tas nozīmē tuneli nojaukt un pārbūvēt, kas ir lēnāk un parādās kā redzama atkārtota savienošanās.

Ko HTTP proksijs var nolasīt un ko ne

Vienkāršā HTTP proksijs redz absolūtu URI pieprasījuma rindā, katru galveni un pamattekstu. Tas var to visu reģistrēt un pārrakstīt jebkuru daļu, tāpēc bezmaksas proksijs, kas ievada skriptu atbildēs, dara tieši to, ko atļauj protokols. Autentifikācija izmanto Proxy-Authorization, un trūkstošs vai nepareizs akreditācijas datums rada 407 Proxy Authentication Required savienojuma kļūdas vietā.

HTTPS gadījumā klients sūta CONNECT host:port un proksijs atver neapstrādātu tuneli, pēc tam tas redz šifrētus baitus. Tas joprojām uzzina resursdatora nosaukumu no CONNECT rindas un parasti no SNI lauka TLS rokasspiedienā, tāpēc reģistrēšana resursdatora nosaukuma līmenī izdzīvo, pat ja kravnesība neizdzīvo. Lai nolasītu kravnesību, ir jāpārtrauc TLS ar sertifikātu, kuram klients uzticas, un tas ir cits produkts ar citu risku. Un HTTP semantikas specifikācija definē CONNECT kā tuneļa pieprasījumu, un tas ir pareizais domāšanas modelis tam, ko izeja var un ko nevar redzēt.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Detalizētā izvade parāda CONNECT rindu pirms jebkāda TLS trafika, un tieši tajā brīdī proksijs uzzina jūsu galamērķi. Proksijs, kas atbild ar 407, nekad nav atvēris tuneli, tāpēc atkārtots mēģinājums ar citiem TLS iestatījumiem nepalīdzēs.

Rotācijas granularitāte nosaka, kas salūzt

Rotācija pie katra pieprasījuma ir iestatījums, kas izskatās visdrošākais un salauž visvairāk. Sīkfaili, CSRF marķieri un servera puses sesijas ir saistītas ar identitāti, un identitāte, kas mainās starp pieteikšanos un nākamo izsaukumu, mērķim izskatās kā sesijas nolaupīšana. Daudzi pakalpojumu sniedzēji piedāvā lipīgu sesiju, iekodējot to proksija lietotājvārdā, tāpēc izeja paliek fiksēta izvēlētā loga laikā.

Izvēlieties granularitāti pēc uzdevuma, nevis pēc pakalpojumu sniedzēja noklusējuma. Pārmeklētājs, kas ielādē neatkarīgas lapas, var rotēt pie katra pieprasījuma, bet maksājumu plūsmai vai autentificētam API ir jānotur viena izeja visai plūsmai. Divi izsaukumi zemāk parāda lipīgu lietotājvārdu un vienkāršu rotējošu galapunktu, un socks5h shēma atrisina vārdus proksijā, nevis lokāli.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Vietējais DNS ir klusa noplūde. Ja klients atrisina vārdu pirms savienošanās, atrisinātājs joprojām uzzina katru resursdatoru, kuru apmeklējat, pat ja HTTP pieprasījums iziet citur. Un socks5h forma un risinājums proksija pusē no tā izvairās, un to lietošana neko nemaksā.

Ko mērķis klasificē papildus adresei

Adreses reputācija ir viens no vairākiem ievadiem. Mērķi apvieno ASN un tā datu centra vai dzīvojamā apzīmējumu, klienta TLS pirksta nospiedumu, HTTP/2 iestatījumus, galveņu secību, pieprasījumu biežumu un navigācijas formu. Dzīvojamā izeja, ko vada bezgalvas pārlūks, var neizdoties tur, kur datu centra izeja, ko vada īsta sesija, iztur.

Izejas veids nosaka, ko jūs godīgi varat apgalvot par trafiku, un katram ir cita cena.

Kopīga izeja nav neitrāla. Viss pārējais, kas darbojas no šīs adreses, nonāk tajā pašā reputācijas spainī, un adrese, ko citi nomnieki jau ir sadedzinājuši, neizdodas pirms jūsu pirmā pieprasījuma nolasīšanas.

Izvēlieties izeju, ko varat aprakstīt politikā

Noderīgais jautājums nav, kā paslēpt adresi, bet gan kas atbild par trafiku, kas no tās iziet. Jūsu paša mākoņa izeja katram uzdevumam, līgumiskais pakalpojumu sniedzējs ar datu apstrādes līgumu un publicētu glabāšanu, un pašhostēts VPN ar vienu identitāti katram uzdevumam — to visu var aprakstīt vienā teikumā. Bezmaksas saraksts ne, jo tā operatoram nav nekādu saistību pret jums un ir visas motivācijas reģistrēt.

Turiet savus ātruma ierobežojumus zem tā, ko mērķis pieļauj, un vāciet tikai tos laukus, kas uzdevumam nepieciešami, lai kļūda paliktu maza. Ātrāka rotācija, lai izbēgtu no bloķēšanas, parasti palielina pieprasījumu biežumu, kas to izraisīja.

Ierakstiet izvēlēto izeju, tās rotācijas logu un tās īpašnieku uzdevuma konfigurācijā pirms pirmās palaišanas. Kad nāk bloķēšana, tieši šī piezīme pasaka, vai mainīt izeju vai mainīt uzvedību.