Vaš poslužitelj vidi izlaz VPN-a, a ne posjetitelja

Posjetitelj se povezuje preko komercijalnog VPN-a i vaša aplikacija bilježi adresu izlaza. To nije skriveni identitet: to je jedina izvorna adresa koju TCP veza ima. Sve ostalo što ljudi nazivaju otkrivanjem zaključak je složen na tu jednu činjenicu.

Šta zahtjev zapravo nosi

Aplikacija vidi izvornu adresu i port veze, dovršeno rukovanje i bajtove koje je klijent odlučio poslati. Pod punim tunelom taj izvor je izlaz, koji dijele svi koji ga koriste. Pod podijeljenim tunelom zahtjevi mogu stizati iz tunela ili iz lokalne veze, zavisno od odredišta. Ako su klijent i poslužitelj unutar istog VPN-a, izvor je klijentova unutrašnja adresa tunela, koja označava krajnju točku, a ne lokaciju.

Nijedno polje običnog zahtjeva ne nosi adresu koju je klijent imao prije tunela. Zaglavlje prosljeđivanja je tvrdnja klijenta ili proxyja i može se izostaviti ili krivotvoriti.

Otkrivanje je klasifikacija, a klasifikacija je nagađanje

Praktične metode su popisi poznatih raspona VPN-a i hostinga, kašnjenje koje se ne slaže s tvrđenom regijom, oblici traceroutea i ponašanje računa. Svaka daje vjerojatnost. Korporativni VPN može biti na adresama koje izgledaju stambeno, stambeni proxy može izgledati kao kućna linija, a NAT operatera može izgledati kao hosting raspon.

Blokiranje dijeljenog izlaza blokira svakog nepovezanog korisnika iza njega, što odluku o otkrivanju pretvara u kolateralni prekid. Ocjena pouzdanosti nije identitet i nikada ne bi smjela biti jedini ulaz u odluku o zabrani ili povratu.

Ako posjedujete VPN, imate pouzdan signal koji nema veze s otkrivanjem: dodijelite namjenski bazen i uporedite opaženi izvor s njim. To funkcionira jer kontrolirate oba kraja i možete dokumentirati bazen. Ali ne generalizira se na posjetitelje kojima ne upravljate i prestaje biti pouzdano onog trenutka kad se bazen dijeli s drugim uslugama.

Lokalni dokazi nasuprot dokazima na strani poslužitelja

Na samom stroju tunel je vidljiv: virtualni adapter, zadana ruta koja pokazuje na tunelski uređaj, promijenjeni resolver. Kod koji tamo radi može nabrojati sučelja i tražiti PPP, TAP ili pogonski program proizvođača.

Web stranica ne može pročitati ništa od toga. Uobičajeni zaobilazni put učitava resurs koji se poslužuje samo s interne mreže i uspjeh smatra dokazom korištenja tunela. On zapravo testira dostupnost: podijeljeni tunel, zastarjela keširana datoteka ili proxy za presretanje daju isti rezultat u oba stanja. Lokalni dokazi ostaju lokalni.

Odaberite kontrole pristupa koje prežive neodređenost

Gradite kontrolu pristupa na potvrđenom identitetu, zdravlju uređaja i autorizaciji po resursu. Ti predikati opisuju ko pita i do čega smije doći, i ostaju smisleni bez obzira na to je li tunel uključen. Je li zahtjev stigao preko VPN-a slab je signal koji daje i lažna prihvaćanja i kolateralne blokade. Držite dokaz i odluku u odvojenim poljima, da sporna blokada ima što pregledati.

IP geolokacija je jedan ulaz među nekoliko, a usluge lokacije u pregledniku mogu koristiti Wi-Fi ili GPS koji nikada ne slijede tunel. Karta koja još pokazuje grad posjetitelja dokaz je o uslugama lokacije, a ne dokaz da je tunel zakazao.

Zapišite koji je signal vodio svaku odluku. Kad kupac ospori blokadu, taj zapis je razlika između pregleda i svađe.