Cara pengesanan VPN dan proksi berfungsi, dan di mana ia gagal
Senarai IP, API reputasi dan cap jari gagal dengan cara berbeza. Tentukan penyalahgunaan mana yang anda hentikan, ukur positif palsu, kemudian kuatkuasakan dengan kod sebab.
Apabila seseorang bertanya bagaimana untuk menyekat pengguna VPN, tiga permintaan berbeza tersembunyi dalam ayat itu: hentikan penipuan, hentikan pengikisan data, atau kuatkuasakan sempadan pelesenan. Setiap satu bertolak ansur dengan kadar ralat berbeza, dan tiada satu pun dijawab dengan mengetahui sama ada sesuatu alamat milik terowong. Apa yang dikembalikan pengelas ialah kebarangkalian tentang infrastruktur, bukan pernyataan tentang orang yang menggunakannya.
Apa yang sebenarnya dikira oleh pengelas IP
Kebanyakan perkhidmatan menggabungkan empat sumber data, dan semuanya menua pada kadar berbeza. Senarai keluar Tor datang daripada konsensus direktori dan hampir lengkap selagi ia bertahan. Senarai proksi terbuka adalah separa dan basi dalam beberapa hari. Senarai keluar komersial ketinggalan daripada pembekal baharu secara reka bentuk, kerana alamat berputar lebih cepat daripada yang boleh dirayau oleh mana-mana penjual. Heuristik julat hosting ialah isyarat paling murah dan paling kasar.
Yang terakhir itulah tempat kebanyakan positif palsu dilahirkan. Keluar korporat, pelayar yang dihoskan di awan, NAT kampus dan get laluan pengendali mudah alih semuanya kelihatan seperti hosting atau infrastruktur dikongsi, dan setiap satunya boleh mengandungi pelanggan biasa.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 menghapuskan semua keselesaan yang tinggal. Pelanggan boleh mempunyai alamat berbeza bagi setiap sambungan, dan pembekal boleh memutar awalan antara permintaan, jadi peraturan yang menganggap alamat sebagai identiti tahan lama akan menyimpang daripada realiti dalam beberapa minggu.
Mengapa cap jari protokol merosot
Perbezaan MSS dan masa boleh mengenal pasti sesetengah OpenVPN konfigurasi, dan teknik itu benar-benar rapuh. Isyarat bergantung pada pilihan yang dikawal pengguna, pada MTU laluan, dan pada kotak tengah yang bukan milik anda. Tukar satu sifer atau satu had MSS dan cap jari bergerak. Pembekal yang mengeluarkan nilai lalai baharu melakukan perkara yang sama kepada peraturan anda dalam sekelip mata.
Kuiri songsang mempunyai masalah lebih teruk daripada kerapuhan: ia bermusuhan. Mengimbas port pelawat adalah lambat, mudah disekat oleh tembok api korporat yang sama tempat pelanggan anda duduk, dan sukar dipertahankan dalam semakan privasi. Ambang kependaman menangkap pengguna jauh sama seperti pengguna terowong, yang bermaksud peraturan anda sebenarnya «sekat orang yang jauh» dengan label berbeza.
Apa pun yang anda pilih, anda mesti boleh menjelaskannya kepada ejen sokongan pada pukul 2 pagi. Isyarat yang tiada siapa dapat menerangkan menjadi sekatan yang tiada siapa dapat membatalkan. Tulis penjelasan sebelum menulis peraturan, bukan selepas aduan pertama.
Identiti dan tingkah laku mengalahkan tekaan tentang tanpa nama
Had kadar, keperluan log masuk, semakan pembayaran dan kuota setiap akaun menangani penyalahgunaan tanpa menghukum pembaca yang mengambil berat tentang privasi. Ia juga terus berfungsi apabila alamat berubah, kerana ia terikat pada sesuatu yang pelanggan tidak boleh putar secara percuma.
Jika sekatan geografi ialah keperluan pelesenan, kuatkuasakannya sebagai dasar berdokumen dengan mesej ralat yang jelas dan semakan berkala. Itu kawalan berbeza daripada meneka tanpa nama, dan ia patut diterangkan secara berbeza dalam teks yang menghadap pelanggan. Menyekat port yang digunakan protokol VPN mungkin mengurangkan penyalahgunaan automatik, tetapi ia juga merosakkan akses jauh yang sah dan sesiapa yang berazam boleh memintasnya dengan mudah.
Lancarkan ia dahulu sebagai ukuran
Jalankan pengelas dalam mod laporan sahaja selama beberapa minggu. Bandingkan populasi yang akan disekatnya dengan pendaftaran, penukaran dan tiket sokongan, kemudian tetapkan bajet positif palsu sebelum menetapkan ambang.
Uji semula terhadap set kecil yang diketahui: sambungan rumah, pengendali mudah alih, keluar korporat dan VPN komersial. Empat kes mendedahkan kebanyakan ralat yang sebaliknya akan sampai kepada pelanggan, dan kosnya satu petang.
Pisahkan isyarat mentah dan keputusan penguatkuasaan. Log skor walaupun ambang tinggi, halakan pertengahan kabur ke baris gilir manusia, dan tandakan setiap sekatan dengan kod sebab supaya semakan dasar seterusnya dapat menyatakan isyarat mana yang berhak mendapat tempatnya.
Laluan rayuan ialah sebahagian daripada kawalan
Setiap sekatan automatik memerlukan laluan manusia: alamat hubungan, masa tindak balas yang dinyatakan dan pemilik semakan yang dinamakan. Tanpanya, positif palsu ialah pelanggan yang hilang secara senyap dan tiket sokongan yang tiada siapa boleh mengambil tindakan.
Nyatakan dengan jelas bahawa akses boleh disekat, mengapa, dan bagaimana untuk meminta semakan. Versikan dasar supaya sokongan boleh menyatakan peraturan mana yang terpakai pada tarikh tertentu. Sekatan yang anda tidak dapat jelaskan, batalkan atau ukur bukan kawalan; ia tekaan dengan satu baris log.