Pelayan anda melihat keluar VPN, bukan pelawat

Seorang pelawat menyambung melalui VPN komersial dan aplikasi anda merekodkan alamat keluar. Itu bukan identiti tersembunyi: itulah satu-satunya alamat sumber yang dimiliki sambungan TCP. Segala-galanya yang orang panggil pengesanan ialah inferens yang dilapisi di atas satu fakta itu.

Apa yang sebenarnya dibawa sesuatu permintaan

Aplikasi melihat alamat dan port sumber sambungan, jabat tangan yang diselesaikan, dan bait yang dipilih klien untuk dihantar. Di bawah terowong penuh, sumber itu ialah keluar, dikongsi oleh semua yang menggunakannya. Di bawah terowong berpecah, permintaan mungkin tiba dari terowong atau dari sambungan tempatan bergantung pada destinasi. Jika klien dan pelayan kedua-duanya berada dalam VPN yang sama, sumbernya ialah alamat terowong dalaman klien, yang menandakan titik hujung dan bukan lokasi.

Tiada medan dalam permintaan biasa membawa alamat yang dimiliki klien sebelum terowong. Pengepala penghantaran ialah dakwaan klien atau proksi, dan ia boleh ditinggalkan atau dipalsukan.

Pengesanan ialah pengelasan, dan pengelasan ialah tekaan

Kaedah praktikalnya ialah senarai julat VPN dan pengehosan yang diketahui, kependaman yang tidak sepadan dengan wilayah yang didakwa, bentuk traceroute, dan tingkah laku akaun. Setiap satu menghasilkan kebarangkalian. VPN korporat boleh berada pada alamat yang kelihatan kediaman, proksi kediaman boleh kelihatan seperti talian rumah, dan NAT pembawa boleh kelihatan seperti julat pengehosan.

Menyekat keluar yang dikongsi menyekat setiap pengguna tidak berkaitan di belakangnya, yang mengubah keputusan pengesanan menjadi gangguan sampingan. Skor keyakinan bukan identiti dan tidak sepatutnya menjadi satu-satunya input kepada keputusan larangan atau bayaran balik.

Jika VPN itu milik anda, anda mempunyai isyarat boleh dipercayai yang tiada kaitan dengan pengesanan: tetapkan kumpulan khusus dan padankan sumber yang diperhatikan dengannya. Ia berkesan kerana anda mengawal kedua-dua hujung dan boleh mendokumenkan kumpulan itu. Tetapi ia tidak umum kepada pelawat yang anda tidak uruskan, dan ia berhenti boleh dipercayai pada saat kumpulan itu dikongsi dengan perkhidmatan lain.

Bukti tempatan berbanding bukti sebelah pelayan

Pada mesin itu sendiri terowong kelihatan: penyesuai maya, laluan lalai yang menunjuk ke peranti terowong, penyelesai yang berubah. Kod yang berjalan di sana boleh menyenaraikan antara muka dan mencari PPP, TAP atau pemacu vendor.

Halaman web tidak boleh membaca apa-apa daripada itu. Jalan pintas biasa memuatkan aset yang hanya disajikan dari rangkaian dalaman dan menganggap kejayaan sebagai bukti penggunaan terowong. Ia sebenarnya menguji kebolehsampaian: terowong berpecah, fail cache yang lapuk atau proksi pintasan memberikan hasil yang sama dalam kedua-dua keadaan. Bukti tempatan kekal tempatan.

Pilih kawalan akses yang bertahan terhadap kekaburan

Bina kawalan akses atas identiti disahkan, kesihatan peranti dan kebenaran bagi setiap sumber. Predikat itu menerangkan siapa yang bertanya dan apa yang boleh dicapainya, dan ia kekal bermakna sama ada terowong terlibat atau tidak. Sama ada permintaan tiba melalui VPN ialah isyarat lemah yang menghasilkan penerimaan palsu dan sekatan sampingan. Simpan bukti dan keputusan dalam medan berasingan, supaya sekatan yang dipertikaikan mempunyai sesuatu untuk disemak.

Geolokasi IP ialah satu input antara beberapa, dan perkhidmatan lokasi pelayar mungkin menggunakan Wi-Fi atau GPS yang tidak pernah mengikut terowong. Peta yang masih menunjukkan bandar pelawat ialah bukti tentang perkhidmatan lokasi, bukan bukti bahawa terowong gagal.

Catat isyarat mana yang memandu setiap keputusan. Apabila pelanggan mempertikaikan sekatan, rekod itu ialah perbezaan antara semakan dan perdebatan.