Ротирање на прокси IP без VPN: што гледа излезот
Ротирајте прокси излези без VPN: што може да прочита HTTP прокси, како лепливите сесии спречуваат скршена состојба и кој излез можете да го одбраните во политика.
Ротирањето на прокси и VPN ја менуваат вашата јавна адреса на различни слоеви, и таа разлика одлучува што истекува. VPN го преместува секој пакет во тунел, така што изворната адреса што ја гледа целта е крајната точка на тунелот. Проксито стои над мрежниот слој: од излезот се гледаат само барањата што ги испраќате преку него, додека сѐ друго на машината ја задржува вистинската адреса. Кога оваа поделба ќе се направи правилно, ротирањето од полиња за штиклирање станува дизајнерска одлука.
Од каде всушност доаѓа јавната адреса
Адресата што ја гледа целта е онаа од која вашиот сообраќај последен пат излегол, а на домашна врска тоа е адресата на провајдерот на вашиот рутер, а не нешто што го поседува машината. Рестартирањето на рутерот може да ја врати истата закупнина, а менувањето на неговата MAC адреса понекогаш создава нова, но ниту едно од двете не ви дава избор на земја. VPN ја заменува изворната адреса на IP слојот, така што секој пакет од машината, вклучително DNS и позадинските ажурирања, излегува од крајната точка на тунелот. Проксито работи еден слој погоре: прифаќа барање, отвора сопствена врска до целта, и само тоа барање се појавува од излезот. Сѐ друго на машината продолжува да ја користи вистинската адреса.
Оваа поделба објаснува повеќето изненадувања. Продолжувањето на прелистувачот насочено кон прокси менува само што испраќа прелистувачот и ништо друго, така што втората апликација на истиот хост сѐ уште ја истекува оригиналната адреса. Системскиот VPN има спротивен режим на откажување: го покрива сообраќајот што сакавте да остане локален и се затвора само ако клиентот е така конфигуриран. Изборот меѓу двете всушност е избор кој сообраќај мора да се движи.
Ротирањето потоа се применува на слојот што сте го избрале. Со прокси, ротирањето значи дека следното барање користи друг излез. Со VPN, тоа значи уривање и повторно градење на тунелот, што е побавно и се гледа како видливо повторно поврзување.
Што може да прочита HTTP прокси и што не
Кај обичен HTTP проксито гледа апсолутен URI во линијата на барањето, секој заглавие и телото. Може сето тоа да го регистрира и да го препише секој дел, затоа бесплатно прокси што внесува скрипта во одговорите го прави точно она што протоколот го дозволува. Автентикацијата користи Proxy-Authorization, а податок за најава што недостасува или е погрешен создава 407 Proxy Authentication Required наместо грешка при поврзување.
Кај HTTPS клиентот испраќа CONNECT host:port и проксито отвора суров тунел, по што гледа шифрирани бајти. Сѐ уште го учи името на хостот од линијата CONNECT и обично од полето SNI во TLS ракувањето, така што регистрирањето на ниво на име на хост преживува дури и кога товарот не преживува. Читањето на товарот бара завршување на TLS со сертификат на кој клиентот му верува, што е друг производ со друг ризик. И спецификацијата на семантиката на HTTP го дефинира CONNECT како барање за тунел, што е правилниот ментален модел за тоа што излезот може и не може да го види.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'Деталниот излез ја покажува линијата CONNECT пред каков било TLS сообраќај, и токму во тој момент проксито ја учи вашата дестинација. Прокси што одговара со 407 никогаш не го отворил тунелот, така што обидот повторно со други TLS поставки нема да помогне.
Грануларноста на ротирањето одлучува што се крши
Ротирањето при секое барање е поставката што изгледа најбезбедна и крши најмногу. Колачињата, CSRF токените и сесиите на страната на серверот се врзани за идентитет, а идентитет што се менува помеѓу најавата и следниот повик изгледа како грабнување на сесија за целта. Многу провајдери нудат леплива сесија со кодирање во корисничкото име на проксито, така што излезот останува фиксен за избран прозорец.
Изберете ја грануларноста според задачата, а не според стандардната поставка на провајдерот. Ползач што презема независни страници може да ротира при секое барање, додека текот на плаќање или автентициран API мора да задржи еден излез за целиот тек. Двете повици подолу покажуваат лепливо корисничко име и обична ротирачка крајна точка, и socks5h шемата решава имиња на проксито, а не локално.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meЛокалниот DNS е тивок истек. Ако клиентот го реши името пред поврзување, решавачот сѐ уште го учи секој хост што го посетувате, дури и ако HTTP барањето излегува на друго место. И socks5h формата и решавањето на страната на проксито го избегнуваат тоа, и нивната употреба не чини ништо.
Што класифицира целта освен адресата
Репутацијата на адресата е еден влез меѓу неколку. Целите ги комбинираат ASN и неговата ознака центар за податоци или станбена, TLS отпечатокот на клиентот, поставките HTTP/2, редот на заглавијата, стапката на барања и формата на навигацијата. Станбен излез управуван од прелистувач без глава може да не успее таму каде излез од центар за податоци управуван од вистинска сесија поминува.
Типот на излез одредува што можете чесно да тврдите за сообраќајот, и секој носи различна цена.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Споделениот излез не е неутрален. Сѐ друго што работи од таа адреса паѓа во истата кофа за репутација, а адреса што други закупци веќе ја изгореле не успева пред да се прочита вашето прво барање.
Изберете излез што можете да го опишете во политика
Корисното прашање не е како да ја сокриете адресата, туку кој е одговорен за сообраќајот што излегува од неа. Сопствениот облачен излез по задача, договорен провајдер со договор за обработка на податоци и објавено задржување, и самостојно хостиран VPN со еден идентитет по задача — сето тоа се опишува во една реченица. Бесплатна листа не, затоа што нејзиниот оператор нема никаква обврска кон вас и има секој поттик да регистрира.
Држете ги сопствените ограничувања на стапка под она што целта го трпи, и собирајте ги само полињата што и се потребни на задачата, за да остане грешката мала. Побрзо ротирање за бегство од блок обично ја зголемува стапката на барања што го предизвикала.
Запишете избраниот излез, неговиот прозорец за ротирање и неговиот сопственик во конфигурацијата на задачата пред првото извршување. Кога ќе дојде блокот, токму таа белешка ви кажува дали да го смените излезот или однесувањето.