Откривањето на VPN зависи од тоа од каде гледате

Два детектори можат да го набљудуваат истиот корисник и да се разидуваат, и двата правилно. Набљудувачот покрај пристапната врска ја гледа надворешната разговор на VPN; веб-страницата ја гледа апликациската врска што доаѓа од излезот. Тоа се различни врски со различни отпечатоци, и доказот од едната не се пренесува на другата. Именувањето на точката на набљудување пред да се разговара за кој било TLS или TCP тест е она што го прави тврдењето значајно.

Детектор без наведена точка на набљудување опишува мислење, а не мерење.

Две точки на набљудување, две различни врски

Надворешниот разговор му припаѓа на протоколот на тунелот: сопствени формати на пораки, сопствена состојбена машина, сопствено време. Внатрешната врска е прелистувачот што отвора TLS кон страницата, се носи низ тунелот и потоа се препраќа од излезот. Двете постојат во истиот момент и не се истиот тек. Едното е она што може да го види пристапната мрежа, другото е она што може да го види дестинацијата, а средното устройство што ќе заврши едно од двете ги менува двете слики.

Оваа разлика го објаснува најголемиот дел од конфузијата во дискусиите за откривање. Тестот што известува една работа за тек често одговара на прашање за различен слој од оној што операторот го имал на ум.

Што гледа набљудувачот на пристапната патека

Покрај пристапната врска видливиот материјал е самиот протокол на тунелот: типови контролни и податочни пакети за OpenVPN, фиксните големини на ракување и обрасците на податоци на WireGuard или која било обвивка што ја додава распоредувањето. Дали класификаторот може да ги идентификува зависи од тоа што е видливо, кој транспорт ги носи и дали има дополнително затемнување. Препознатлив образец е доказ за тек, а не доказ за идентитетот или намерата на лицето зад него.

Портата 443 е конвенција за достигнување услуга. Таа не го прави секој тунелски транспорт HTTPS.

Што всушност гледа веб-страницата

Со рутиран тунел прелистувачот сѐ уште ја води сопствената TLS сесија со страницата. Преводот на излезот не го претвора VPN порталот во TLS крајна точка на прелистувачот, затоа ClientHello што го прима страницата го опишува прелистувачот или неговата TLS библиотека. Отпечаток во стил на JA3 затоа го карактеризира апликациското поврзување, а не VPN софтверот што го носи. Само прокси што намерно завршува ја менува таа поставеност, и тоа мора да се идентификува одделно.

TCP набљудувањата бараат исто внимание. Препраќањето, преводот и проксито што отвора нова врска се три различни дизајни, и само еден од нив го препишува транспортниот стек. Една необична карактеристика не имплицира уникатно тунел.

Држете го тврдењето во границите на доказите

Мрежната класификација, набљудувањето на протоколот, апликациските отпечатоци и сигналите од сметката се влезови за одлука за ризик, секој со лажни позитивни, лажни негативни и недостигачки докази. Адреса во хостинг опсег не докажува ништо за комерцијален VPN, а вообичаен отпечаток на прелистувач не докажува ништо за директен. Кога оценувате детектор, користете овластен сет на податоци со познати патеки и запишете кое набљудување го дало секој резултат.

Држете ја класификацијата на протоколот одделно од одлука за пристап со последици. Прилагоден одговор или трик со деформиран пакет не го валидира заклучокот зад него; тој само врши притисок врз претпоставка.

Корисен извештај ги именува набљудувањето, точката на набљудување и довербата. Голиот ред «VPN откриен» го крие токму делот што би му овозможил на некој да го провери.