Jak działa wykrywanie VPN i proxy i gdzie zawodzi
Listy IP, API reputacji i odciski palców zawodzą na różne sposoby. Zdecyduj, które nadużycie zatrzymujesz, zmierz fałszywe trafienia, a potem egzekwuj z kodem przyczyny.
Kiedy ktoś pyta, jak blokować użytkowników VPN, w zdaniu kryją się trzy różne prośby: zatrzymać oszustwa, zatrzymać scraping albo wyegzekwować granicę licencji. Każda toleruje inny odsetek błędów i żadnej nie rozstrzyga wiedza, czy adres należy do tunelu. To, co zwraca klasyfikator, jest prawdopodobieństwem dotyczącym infrastruktury, a nie stwierdzeniem o osobie, która jej używa.
Co faktycznie oblicza klasyfikator IP
Większość usług łączy cztery źródła danych i starzeją się one w różnym tempie. Listy wyjść Tor pochodzą z konsensusu katalogu i są prawie kompletne, dopóki się utrzymuje. Listy otwartych proxy są częściowe i przedawniają się w ciągu dni. Komercyjne listy wyjść z założenia pozostają w tyle za nowymi dostawcami, bo adresy rotują szybciej, niż jakikolwiek sprzedawca zdoła je przejrzeć. Heurystyka zakresów hostingowych to najtańszy i najgrubszy sygnał.
Właśnie ten ostatni jest miejscem, w którym rodzi się większość fałszywych trafień. Wyjścia korporacyjne, przeglądarki hostowane w chmurze, NAT kampusowy i bramy operatorów komórkowych wyglądają jak hosting lub współdzielona infrastruktura, a każde z nich może zawierać zwykłych klientów.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 usuwa resztę wygody. Klient może mieć inny adres dla każdego połączenia, a dostawca może rotować prefiks między żądaniami, więc reguła traktująca adres jako trwałą tożsamość w ciągu tygodni odjedzie od rzeczywistości.
Dlaczego odciski protokołów blakną
Różnice MSS i czasu mogą zidentyfikować niektóre konfiguracje OpenVPN, a technika jest naprawdę krucha. Sygnał zależy od opcji kontrolowanych przez użytkownika, od MTU ścieżki i od urządzeń pośrednich, których nie posiadasz. Zmień jeden szyfr albo jeden limit MSS, a odcisk się przesunie. Dostawca, który wyda nowe ustawienie domyślne, zrobi to samo z twoją regułą w ciągu jednej nocy.
Sondy odwrotne mają gorszy problem niż kruchość: są wrogie. Skanowanie portów odwiedzającego jest wolne, łatwo je blokuje ta sama korporacyjna zapora, za którą siedzą twoi klienci, i trudno je obronić w przeglądzie prywatności. Progi opóźnienia łapią dalekich użytkowników równie niezawodnie jak użytkowników tunelu, co oznacza, że twoja reguła to w rzeczywistości „blokuj ludzi daleko” pod inną etykietą.
Cokolwiek wybierzesz, musisz umieć to wyjaśnić agentowi wsparcia o 2 w nocy. Sygnał, którego nikt nie potrafi opisać, staje się blokadą, której nikt nie potrafi cofnąć. Napisz wyjaśnienie, zanim napiszesz regułę, a nie po pierwszej skardze.
Tożsamość i zachowanie biją domysły o anonimowości
Limity tempa, wymogi logowania, kontrole płatności i kwoty na konto rozwiązują nadużycia bez karania czytelników, którym zależy na prywatności. Działają też dalej, gdy adres się zmienia, bo przywiązują się do czegoś, czego klient nie może obrócić za darmo.
Jeśli ograniczenie geograficzne jest wymogiem licencyjnym, egzekwuj je jako udokumentowaną politykę z jasnym komunikatem o błędzie i okresowym przeglądem. To inna kontrola niż zgadywanie anonimowości i powinna być inaczej opisana w tekście dla klienta. Blokowanie portów używanych przez protokół VPN może ograniczyć zautomatyzowane nadużycia, ale psuje też legalny dostęp zdalny i każdy zdeterminowany łatwo je obejdzie.
Najpierw wdróż to jako pomiar
Uruchom klasyfikator na kilka tygodni w trybie tylko raportu. Porównaj populację, którą by blokował, z rejestracjami, konwersjami i zgłoszeniami do wsparcia, a potem ustal budżet fałszywych trafień, zanim ustalisz próg.
Przetestuj ponownie na małym znanym zbiorze: połączenie domowe, operator komórkowy, wyjście korporacyjne i komercyjny VPN. Cztery przypadki ujawniają większość błędów, które inaczej dotarłyby do klientów, a kosztują jedno popołudnie.
Trzymaj surowy sygnał i decyzję o egzekwowaniu osobno. Zapisuj wynik nawet przy wysokim progu, kieruj niejednoznaczny środek do kolejki ludzkiej i oznacz każdą blokadę kodem przyczyny, żeby następny przegląd polityki mógł powiedzieć, który sygnał zasłużył na swoje miejsce.
Ścieżka odwołania jest częścią kontroli
Każda automatyczna blokada potrzebuje ludzkiej drogi: adresu kontaktowego, zadeklarowanego czasu odpowiedzi i wskazanego właściciela przeglądu. Bez tego fałszywe trafienie to cicho utracony klient i zgłoszenie, z którym nikt nie może nic zrobić.
Powiedz wprost, że dostęp może być ograniczony, dlaczego i jak poprosić o przegląd. Wersjonuj politykę, żeby wsparcie mogło powiedzieć, która reguła obowiązywała w danym dniu. Blokada, której nie umiesz wyjaśnić, cofnąć ani zmierzyć, nie jest kontrolą; to domysł z linią logu.