Jūsu serveris redz VPN izeju, nevis apmeklētāju

Apmeklētājs izveido savienojumu caur komerciālu VPN, un jūsu lietojumprogramma reģistrē izejas adresi. Tā nav slēpta identitāte: tā ir vienīgā avota adrese, kas TCP savienojumam ir. Viss pārējais, ko cilvēki sauc par noteikšanu, ir secinājums, kas uzlikts virs šī viena fakta.

Ko pieprasījums patiešām nes

Lietojumprogramma redz savienojuma avota adresi un portu, pabeigto rīkošanos un baitus, ko klients izvēlējās sūtīt. Pilna tuneļa gadījumā šis avots ir izeja, kas ir kopīga visiem tā lietotājiem. Sadalīta tuneļa gadījumā pieprasījumi var nākt no tuneļa vai no vietējā savienojuma atkarībā no galamērķa. Ja klients un serveris atrodas vienā VPN, avots ir klienta iekšējā tuneļa adrese, kas norāda galapunktu, nevis atrašanās vietu.

Neviens parasta pieprasījuma lauks nenes adresi, kāda klientam bija pirms tuneļa. Pārsūtīšanas galvene ir klienta vai starpniekservera apgalvojums, un to var izlaist vai viltojums.

Noteikšana ir klasifikācija, un klasifikācija ir minējums

Praktiskās metodes ir zināmu VPN un mitināšanas diapazonu saraksti, latentums, kas neatbilst norādītajam reģionam, traceroute formas un konta uzvedība. Katra no tām dod varbūtību. Uzņēmuma VPN var atrasties adresēs, kas izskatās dzīvojamās, dzīvojamais starpniekserveris var izskatīties kā mājas līnija, un operatora NAT var izskatīties kā mitināšanas diapazons.

Kopīgas izejas bloķēšana bloķē katru nesaistīto lietotāju aiz tās, kas noteikšanas lēmumu pārvērš blakus traucējumā. Uzticības vērtējums nav identitāte, un tam nekad nevajadzētu būt vienīgajai aizlieguma vai atmaksas lēmuma ievadei.

Ja VPN pieder jums, jums ir uzticams signāls, kam nav nekāda sakara ar noteikšanu: piešķiriet atsevišķu fondu un salīdziniet ar to novēroto avotu. Tas darbojas, jo jūs kontrolējat abus galus un varat dokumentēt fondu. Tomēr tas nevispārinās uz apmeklētājiem, kurus jūs nepārvaldāt, un tas pārstāj būt uzticams brīdī, kad fonds tiek kopīgots ar citiem pakalpojumiem.

Vietējie pierādījumi pret servera puses pierādījumiem

Pašā mašīnā tunelis ir redzams: virtuālais adapters, noklusējuma maršruts, kas norāda uz tuneļa ierīci, mainīts risinātājs. Tur darbojošs kods var uzskaitīt saskarnes un meklēt PPP, TAP vai ražotāja draiveri.

Tīmekļa lapa neko no tā nevar nolasīt. Ierastais apiešanas paņēmiens ielādē resursu, kas tiek pasniegts tikai no iekšējā tīkla, un panākumus uzskata par tuneļa lietošanas pierādījumu. Tas faktiski pārbauda sasniedzamību: sadalīts tunelis, novecojis kešatmiņā saglabāts fails vai pārtveršanas starpniekserveris abos stāvokļos dod tādu pašu rezultātu. Vietējie pierādījumi paliek vietēji.

Izvēlieties piekļuves kontroli, kas pārdzīvo neskaidrību

Veidojiet piekļuves kontroli uz verificētu identitāti, ierīces veselību un atļauju katram resursam. Šie predikāti apraksta, kas jautā un ko tas var sasniegt, un tie paliek jēgpilni neatkarīgi no tā, vai tunelis ir iesaistīts. Tas, vai pieprasījums ieradās caur VPN, ir vājš signāls, kas rada gan nepareizus pieņemšanas gadījumus, gan blakus bloķēšanu. Turiet pierādījumu un lēmumu atsevišķos laukos, lai strīdīgai bloķēšanai būtu ko pārskatīt.

IP ģeolokācija ir viena ievade starp vairākām, un pārlūka atrašanās vietas pakalpojumi var izmantot Wi-Fi vai GPS, kas nekad neiet līdzi tunelim. Karte, kas joprojām rāda apmeklētāja pilsētu, ir pierādījums par atrašanās vietas pakalpojumiem, nevis pierādījums, ka tunelis neizdevās.

Pierakstiet, kurš signāls vadīja katru lēmumu. Kad klients apstrīd bloķēšanu, šis ieraksts ir atšķirība starp pārskatīšanu un strīdu.