Како функционира откривањето на VPN и прокси и каде потфрла
IP листите, API-јата за репутација и отпечатоците потфрлаат на различни начини. Одлучете која злоупотреба ја запирате, измерете лажните позитивни, потоа спроведете со код за причина.
Кога некој прашува како да се блокираат VPN корисници, во реченицата се кријат три различни барања: запрете измама, запрете скрејпинг или спроведете лиценцна граница. Секое поднесува различен степен на грешка и ниту едно не се одговара со знаење дали адресата припаѓа на тунел. Она што го враќа класификаторот е веројатност за инфраструктурата, а не изјава за личноста што ја користи.
Што всушност пресметува IP класификаторот
Повеќето услуги комбинираат четири извори на податоци и тие стареат со различно темпо. Tor излезните листи доаѓаат од консензусот на директориумот и се речиси целосни додека тој трае. Листите на отворени прокси се делумни и стануваат застарени за неколку дена. Комерцијалните излезни листи заостануваат зад новите провајдери по дизајн, бидејќи адресите се вртат побрзо отколку што кој било продавач може да ги прегледа. Хеуристиката на хостинг опсези е најевтиниот и најгрубиот сигнал.
Токму последниот е местото каде се раѓаат повеќето лажни позитивни. Корпоративните излези, прелистувачите хостирани во облак, NAT на кампусот и портите на мобилните оператори изгледаат како хостинг или споделена инфраструктура, и секој од нив може да содржи обични клиенти.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 го отстранува целиот преостанат комфор. Клиентот може да има различна адреса за секоја врска, а провајдерот може да врти префикс меѓу барањата, така што правилото што адресата ја третира како трајен идентитет ќе се оддалечи од реалноста за неколку недели.
Зошто протоколските отпечатоци се распаѓаат
Разликите во MSS и времето можат да идентификуваат некои OpenVPN конфигурации, а техниката е навистина кревка. Сигналот зависи од опциите што ги контролира корисникот, од MTU на патеката и од средни кутии што не се ваши. Сменете една шифра или една MSS граница и отпечатокот се поместува. Провајдер што испорачува ново стандардно поставување го прави истото со вашето правило преку ноќ.
Обратните сонди имаат полош проблем од кревкоста: тие се непријателски. Скенирањето на портите на посетителот е бавно, лесно се блокира од истиот корпоративен огнен ѕид зад кој седат вашите клиенти и тешко се брани во преглед на приватност. Праговите на одложување ги фаќаат далечните корисници исто толку сигурно како корисниците на тунел, што значи дека вашето правило всушност е «блокирај луѓе далеку» со друга етикета.
Што и да изберете, сѐ уште мора да можете да го објасните на агент за поддршка во 2 часот по полноќ. Сигналот што никој не може да го опише станува блок што никој не може да го откаже. Напишете го објаснувањето пред да го напишете правилото, а не по првата жалба.
Идентитетот и однесувањето ги победуваат претпоставките за анонимност
Ограничувањата на брзината, барањата за најава, проверките на плаќање и квотите по сметка се справат со злоупотреба без казнување на читателите на кои приватноста им е важна. Тие исто така продолжуваат да работат кога адресата се менува, бидејќи се прицврстуваат на нешто што клиентот не може бесплатно да го врти.
Ако географското ограничување е лиценцно барање, спроведете го како документирана политика со јасна порака за грешка и периодичен преглед. Тоа е различна контрола од претпоставување за анонимноста и треба поинаку да се опише во текстот за клиентот. Блокирањето на портите што ги користи VPN протокол може да ја намали автоматизираната злоупотреба, но исто така го крши легитимниот далечински пристап и секој решен лесно го заобиколува.
Прво пуштете го како мерење
Стартувајте го класификаторот неколку недели во режим само-извештај. Споредете ја популацијата што би ја блокирал со регистрации, конверзии и билети за поддршка, потоа поставете го буџетот за лажни позитивни пред да го поставите прагот.
Тестирајте повторно на мал познат сет: домашна врска, мобилен оператор, корпоративен излез и комерцијален VPN. Четири случаи откриваат повеќето грешки што инаку би стигнале до клиентите, а чинат една попладневна.
Држете го суровиот сигнал и одлуката за спроведување одделени. Запишете го резултатот и кога прагот е висок, насочете ја двосмислената средина во човечка опашка и означете го секој блок со код за причина за да може следниот преглед на политиката да каже кој сигнал го заслужил своето место.
Патот за жалба е дел од контролата
Секој автоматски блок бара човечки пат: контакт адреса, наведено време за одговор и именуван сопственик на прегледот. Без него, лажниот позитивен е тивко изгубен клиент и билет за поддршка со кој никој не може да постапи.
Кажете јасно дека пристапот може да биде ограничен, зошто и како да побарате преглед. Верзионирајте ја политиката за да може поддршката да каже кое правило важело на даден датум. Блок што не можете да го објасните, откажете или измерите не е контрола; тоа е претпоставка со ред во дневникот.