Korleis VPN- og proxyoppdaging fungerer, og kvar ho sviktar
IP-lister, omdøme-API-ar og fingeravtrykk sviktar på ulike måtar. Avgjer kva misbruk du stoppar, mål falske positive, og handhev deretter med ein årsakskode.
Når nokon spør korleis ein blokkerer VPN-brukarar, skjuler det seg tre ulike ønske i setninga: stopp svindel, stopp skraping, eller handhev ei lisensgrense. Kvar toler ein annan feilrate, og ingen av dei blir svara på ved å vite om ei adresse høyrer til ein tunnel. Det ein klassifiserar returnerer, er ein sannsyn om infrastruktur, ikkje ei utsegn om personen som brukar han.
Kva ein IP-klassifiserar faktisk reknar ut
Dei fleste tenester kombinerer fire datakjelder, og dei eldast i ulikt tempo. Tor-utgangslister kjem frå katalogens konsensus og er nesten komplette så lenge han held. Opne proxylister er delvise og forelda innan dagar. Kommersielle utgangslister ligg etter nye leverandørar av design, fordi adresser roterer snøggare enn nokon leverandør kan gå gjennom dei. Heuristikk for hostingområde er det billegaste og grovaste signalet.
Det siste er der dei fleste falske positive blir fødde. Bedriftsutgangar, skylagra nettlesarar, campus-NAT og gatewayar til mobiloperatørar ser alle ut som hosting eller delt infrastruktur, og kvar av dei kan innehalde vanlege kundar.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 fjernar all gjenverande komfort. Ein klient kan ha ei anna adresse per tilkopling, og ein leverandør kan rotere eit prefiks mellom førespurnader, så ein regel som behandlar ei adresse som varig identitet vil drifte bort frå røynda innan veker.
Kvifor protokollfingeravtrykk forfell
MSS- og tidskilnader kan identifisere nokre OpenVPN-konfigurasjonar, og teknikken er verkeleg skjør. Signalet avheng av val brukaren styrer, av MTU på vegen og av mellomledd du ikkje eig. Endre éin chiffer eller éi MSS-grense, og fingeravtrykket flyttar seg. Ein leverandør som sender ut ein ny standard gjer det same med regelen din over natta.
Omvende sonderingar har eit verre problem enn skjørleik: dei er fiendtlege. Å skanne portane til ein besøkande er tregt, lett blokkert av den same bedriftsbrannmuren som kundane dine sit bak, og vanskeleg å forsvare i ein personvernrevisjon. Latensgrenser fangar fjerne brukarar like påliteleg som tunnelbrukarar, noko som tyder at regelen din eigentleg er «blokker folk langt borte» med ei anna etikett.
Uansett kva du vel, må du kunne forklare det for ein støtteagent klokka 2 om natta. Eit signal ingen kan skildre blir ei blokkering ingen kan oppheve. Skriv forklaringa før du skriv regelen, ikkje etter den første klaga.
Identitet og åtferd slår gissingar om anonymitet
Fartsgrenser, påloggingskrav, betalingskontrollar og kvoter per konto handterer misbruk utan å straffe lesarar som bryr seg om personvern. Dei held òg fram med å verke når adressa blir endra, fordi dei heng på noko klienten ikkje kan rotere gratis.
Viss ei geografisk avgrensing er eit lisenskrav, handhev ho som ein dokumentert policy med ei klar feilmelding og ein jamleg gjennomgang. Det er ein annan kontroll enn å gisse på anonymitet, og han bør skildrast annleis i teksten til kunden. Å blokkere portane ein VPN-protokoll brukar kan redusere automatisert misbruk, men det øydelegg òg legitim fjernåtgang og blir trivielt omgått av kven som helst som er bestemt.
Rull det ut som ei måling først
Køyr klassifiseraren i berre-rapport-modus i eit par veker. Samanlikn populasjonen han ville ha blokkert med påmeldingar, konverteringar og støttebillettar, og set deretter budsjettet for falske positive før du set terskelen.
Test på nytt mot eit lite kjent sett: ei heimetilkopling, ein mobiloperatør, ein bedriftsutgang og ein kommersiell VPN. Fire tilfelle avdekkjer dei fleste feila som elles ville nå kundane, og dei kostar ein ettermiddag.
Hald det rå signalet og handhevingsavgjerda åtskilde. Logg poengsummen sjølv når terskelen er høg, send den tvitydige midten til ein menneskeleg kø, og merk kvar blokkering med ein årsakskode slik at neste policygjennomgang kan seie kva signal som fortente plassen sin.
Klagevegen er ein del av kontrollen
Kvar automatisk blokkering treng ein menneskeleg veg: ei kontaktadresse, ei oppgjeven svartid og ein namngjeven eigar av gjennomgangen. Utan ein er ein falsk positiv ein stille tapt kunde og ein støttebillett ingen kan gjere noko med.
Sei klart at åtgang kan avgrensast, kvifor, og korleis ein ber om ein gjennomgang. Versjoner policyen slik at støtta kan seie kva regel som galdt på ein gitt dato. Ei blokkering du ikkje kan forklare, oppheve eller måle er ikkje ein kontroll; det er ei gissing med ei logglinje.