Обнаружение VPN зависит от того, откуда вы наблюдаете

Два детектора могут наблюдать одного и того же пользователя и расходиться, и оба при этом правы. Наблюдатель у линии доступа видит внешний разговор VPN; сайт видит прикладное соединение, приходящее из выхода. Это разные соединения с разными отпечатками, и доказательство одного не переносится на другое. Назвать точку наблюдения до обсуждения любого теста TLS или TCP — это то, что делает утверждение осмысленным.

Детектор без указанной точки наблюдения описывает мнение, а не измерение.

Две точки наблюдения, два разных соединения

Внешний разговор принадлежит протоколу туннеля: собственные форматы сообщений, собственная машина состояний, собственный тайминг. Внутреннее соединение — это браузер, открывающий TLS к сайту, переносится через туннель и затем пересылается из выхода. Оба существуют в один и тот же момент, и это не один и тот же поток. Одно — то, что может видеть сеть доступа, другое — то, что может видеть назначение, а промежуточное устройство, завершающее любое из них, меняет обе картины.

Это различие объясняет большую часть путаницы в обсуждениях обнаружения. Тест, сообщающий одну вещь о потоке, часто отвечает на вопрос о другом уровне, чем тот, который имел в виду оператор.

Что видит наблюдатель на пути доступа

У линии доступа видимый материал — это сам протокол туннеля: типы управляющих и информационных пакетов для OpenVPN, фиксированные шаблоны рукопожатия и данных WireGuard или любая обёртка, которую добавляет развёртывание. Сможет ли классификатор их опознать, зависит от того, что видно, какой транспорт их несёт и есть ли дополнительная маскировка. Узнаваемый шаблон — это доказательство о потоке, а не доказательство о личности или намерении человека за ним.

Порт 443 — это соглашение для доступа к службе. Он не превращает любой туннельный транспорт в HTTPS.

Что сайт действительно видит

При маршрутизируемом туннеле браузер по-прежнему ведёт собственный сеанс TLS с сайтом. Трансляция на выходе не превращает VPN-шлюз в конечную точку TLS браузера, поэтому ClientHello, который получает сайт, описывает браузер или его библиотеку TLS. Отпечаток в стиле JA3 поэтому характеризует прикладное соединение, а не VPN-программу, которая его несёт. Только намеренно завершающий прокси меняет эту схему, и его нужно определять отдельно.

Наблюдения TCP требуют такой же аккуратности. Пересылка, трансляция и прокси, открывающий новое соединение, — это три разные схемы, и только одна из них перезаписывает транспортный стек. Одна необычная характеристика не означает однозначно туннель.

Держите утверждение в пределах доказательств

Сетевая классификация, наблюдение за протоколом, отпечатки приложений и сигналы учётной записи — это входные данные для решения о риске, у каждого есть ложные срабатывания, пропуски и недостающие доказательства. Адрес в диапазоне хостинга ничего не доказывает о коммерческом VPN, а обычный отпечаток браузера ничего не доказывает о прямом. Оценивая детектор, используйте разрешённый набор данных с известными путями и записывайте, какое наблюдение дало каждый результат.

Держите классификацию протокола отдельно от решения о доступе с последствиями. Нестандартный ответ или трюк с искажённым пакетом не подтверждает вывод за ним; он лишь оказывает давление на догадку.

Полезный отчёт называет наблюдение, точку наблюдения и уверенность. Голая строка «VPN обнаружен» скрывает именно ту часть, которая позволила бы кому-то это проверить.