Вашиот сервер го гледа излезот на VPN, а не посетителот

Посетител се поврзува преку комерцијален VPN и вашата апликација ја запишува излезната адреса. Тоа не е скриен идентитет: тоа е единствената изворна адреса што ја има TCP-врската. Сѐ друго што луѓето го нарекуваат откривање е заклучок нареден врз тој единствен факт.

Што всушност носи едно барање

Апликацијата ги гледа изворната адреса и портата на врската, завршеното ракување и бајтите што клиентот избрал да ги испрати. При целосен тунел, тој извор е излезот, споделен од сите што го користат. При поделен тунел, барањата може да пристигнуваат од тунелот или од локалната врска, зависно од одредиштето. Ако клиентот и серверот се и во истиот VPN, изворот е внатрешната тунелска адреса на клиентот, која означува крајна точка, а не локација.

Ниту едно поле во обично барање не ја носи адресата што клиентот ја имал пред тунелот. Заглавието за препраќање е тврдење на клиентот или на прокси, и може да се изостави или фалсификува.

Откривањето е класификација, а класификацијата е претпоставка

Практичните методи се списоци на познати опсези на VPN и хостинг, доцнење што не се совпаѓа со наведен регион, форми на traceroute и однесување на сметката. Секој од нив дава веројатност. Корпоративен VPN може да биде на адреси што изгледаат станбени, станбен прокси може да изгледа како домашна линија, а NAT на операторот може да изгледа како хостинг опсег.

Блокирањето на споделен излез го блокира секој неврзан корисник зад него, што одлуката за откривање ја претвора во спореден прекин. Оценката за доверба не е идентитет и никогаш не треба да биде единствениот влез за одлука за забрана или враќање на средства.

Ако VPN-от е ваш, имате сигурен сигнал што нема никаква врска со откривањето: доделете посебен базен и споредете го набљудуваниот извор со него. Тоа функционира затоа што ги контролирате двата краја и можете да го документирате базенот. Но тоа не се генерализира на посетители што не ги управувате и престанува да биде сигурно во моментот кога базенот се дели со други услуги.

Локални докази наспроти доказ од страната на серверот

На самата машина тунелот е видлив: виртуелен адаптер, стандардна рута што покажува на тунелски уред, сменет резолвер. Кодот што работи таму може да ги наброи интерфејсите и да бара PPP, TAP или драјвер на производителот.

Веб-страница не може да прочита ништо од тоа. Вообичаениот заобиколен начин вчитува ресурс што се служи само од внатрешната мрежа и успехот го смета за доказ за користење тунел. Всушност ја проверува достапноста: поделен тунел, застарена кеширана датотека или прокси за пресретнување даваат ист резултат во двете состојби. Локалните докази остануваат локални.

Изберете контроли за пристап што ја преживуваат нејаснотијата

Градете контрола на пристап врз проверен идентитет, здравје на уредот и овластување по ресурс. Овие предикати опишуваат кој прашува и до што може да стигне, и остануваат значајни без оглед на тоа дали е вклучен тунел. Дали барањето пристигнало преку VPN е слаб сигнал што дава и лажни прифаќања и споредни блокирања. Држете го доказот и одлуката во одделни полиња, за да има спорното блокирање што да се разгледа.

IP геолокацијата е еден влез меѓу неколку, а услугите за локација на прелистувачот може да користат Wi-Fi или GPS што никогаш не го следат тунелот. Карта што сѐ уште го покажува градот на посетителот е доказ за услугите за локација, а не доказ дека тунелот не успеал.

Запишете кој сигнал ја водеше секоја одлука. Кога клиент ја оспорува блокадата, тој запис е разликата меѓу преглед и расправа.