Проверки на посетители на VPN: безбедно оценување на репутацијата и доцнењето

Контролна табла за измами означува посетител како VPN, аналитичарот бара блокада, и барањето пристигнува до тимот на платформата со ништо друго освен булова вредност од добавувач. Таа булова вредност е проценка, и таа греши во друга насока од мерењето на доцнењето. Пред да дејствувате, одделете што докажува самото барање, што тврди услугата за репутација и што само навестува времето. Потоа изберете одговор што можете да го вратите кога проценката ќе се покаже погрешна.

Соберете ги фактите за барањето што можете да ги одбраните

Единствената адреса што вашиот сервер сигурно ја знае е TCP партнерот што ја завршил врската. Кога CDN или обратен прокси ја прекинува таа врска, партнерот е работ, и адресата на клиентот патува во заглавие за препраќање на кое може да се верува само кога вашиот сопствен работ го додал. Читајте го записот што го напишал вашиот прокси, никогаш не најлевата низа, бидејќи клиентот може да испрати која било вредност на таа позиција. Се понатаму мора да ја сочува таа разлика.

Две евтини збогатувања ја прават адресата прегледна: автономниот систем што ја објавува и записот PTR што покажува назад кон неа. Двете опишуваат регистрација, а не однесување, и двете можат подоцна да се репродуцираат.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

ASN за хостинг е силна поука, а не пресуда. Корпоративните VPN концентратори, облачните излези и некои универзитетски мрежи исто така се наоѓаат во дата центри, така што истиот сигнал што фаќа комерцијален излез фаќа и легитимна канцеларија. Чувајте ја адресата само колку што и е потребно на проверката, бидејќи IP е личен податок во повеќето режими на приватност. Бришете ја по распоред наместо да ја чувате неограничено.

Оценете го посетителот пред да го ограничите

Пуштете го секој нов сигнал прво во режим на набљудување. Запишете ги влезовите и кодот на причина, пропуштете го секое барање и споредете ја распределбата на поени со сметки за кои знаете дека се легитимни. Тоа дава проценка на лажни позитивни пред некој да го загуби пристапот, и токму тој број одлучува дали правилото е безбедно да се вклучи.

Мапирајте го вкупниот збир во три дејства наместо две: дозвола, скалест предизвик, рачна проверка. Трајната блокада треба да бара повторена злоупотреба потврдена од личност, бидејќи лажен позитивен на корпоративен патник чини билет за поддршка и изгубена сесија, додека лажен негативен на едно барање не чини речиси ништо.

Држете го барањето за репутација на страната на серверот и ограничено

Повикајте ја услугата за репутација од backend со кратко време на чекање, кеширајте ја пресудата за фиксен период и третирајте го истекот на времето како непознат, а не како чист. Никогаш не ставајте го API клучот во код на клиентска страна и никогаш не дозволувајте барањето да го блокира рендерирањето на страницата; бавен трет дел треба да го влоши резултатот, а не сајтот.

Кеширајте по адреса, а не по опсег. Класифицирањето на цел /24 од едно барање шири погрешна пресуда на соседи што никогаш не сте ги измериле. Запишете го добавувачот, датумот на одговор и вредноста на класификацијата покрај кодот на причина, за подоцнежна проверка да знае кој суд бил на сила.

Два добавувачи можат различно да класифицираат една адреса во текот на еден ден, затоа пресудата и припаѓа на колоната со докази, а не на колоната со идентитет. Тоа е и однос на обработка: испраќање на адресата на секој посетител до трет дел бара правен основ, правило за чување и ред во известувањето за приватност.

Мерете го доцнењето со медијана, а не со еден примерок

Времето на одење и враќање ја опишува патеката во моментот кога сте ја измериле. Близок anycast раб може да опслужува далечен корисник, мобилната мрежа додава доцнење што нема никаква врска со географијата, а VPN излез во сопствената земја на посетителот изгледа локално. Геолокацијата на ниво на град често го пријавува дата центарот, а не личноста.

Земете неколку примероци и користете медијана за да не го помести резултатот едно бавно барање. Јамката подолу ја печати медијаната од пет.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Споредете го бројот со распределбата за познати добри корисници наместо со апсолутен праг, и комбинирајте го со ASN. Два слаби сигнали што се согласуваат се посилни од секој сам, но заклучокот се уште е за патека, а не за намера, затоа припаѓа во оценка, а не во забрана.

Одлучете, запишете и вратете

Пред да вклучите правило, преиграјте еден ден сообраќај во режим на набљудување и избројте што би се случило. Чувајте ги влезовите за оценката, кодот на причина и верзијата на правилото, но чувајте ги суровите адреси само за прозорецот на проверка. Ако правилото се активира на легитимна сметка, записот треба да објасни зошто без втора истрага.

Дајте му на секое правило свој прекинувач. Кога завршувањето на скалестиот предизвик паѓа или билетите за поддршка скокаат, исклучете го тоа правило и оставете го остатокот од текот да работи; еден глобален прекинувач за итни случаи претвора проблем со подесување во прекин. По промената, следете ја стапката на завршување на предизвиците и редот за жалби, не само бројот на блокади.

На крајот, држете го одговорот пропорционален на загубата што ја спречувате. Во рекламна измама, статусот VPN е слаб показател за лажен клик, а сигналите на однесување како моделите на конверзија и конзистентноста на уредот се занимаваат со вистинската штета. Повратен предизвик ги штити приходите и вистинскиот корисник истовремено.