Váš server vidí výstup VPN, nie návštevníka

Návštevník sa pripája cez komerčnú VPN a vaša aplikácia zaznamená výstupnú adresu. To nie je skrytá identita: je to jediná zdrojová adresa, ktorú TCP spojenie má. Všetko ostatné, čo ľudia nazývajú detekciou, je odvodenina vrstvená na ten jediný fakt.

Čo požiadavka skutočne nesie

Aplikácia vidí zdrojovú adresu a port spojenia, dokončený handshake a bajty, ktoré sa klient rozhodol odoslať. Pod plným tunelom je tým zdrojom výstup, zdieľaný všetkými, ktorí ho používajú. Pod rozdeleným tunelom môžu požiadavky prichádzať z tunela alebo z miestneho pripojenia podľa cieľa. Ak sú klient aj server v tej istej VPN, zdrojom je vnútorná adresa tunela klienta, ktorá identifikuje koncový bod, nie polohu.

Žiadne pole bežnej požiadavky nenesie adresu, ktorú klient mal pred tunelom. Hlavička preposielania je tvrdenie klienta alebo proxy a možno ju vynechať alebo sfalšovať.

Detekcia je klasifikácia a klasifikácia je odhad

Praktickými metódami sú zoznamy známych rozsahov VPN a hostingu, latencia, ktorá nezodpovedá uvádzanému regiónu, tvary traceroute a správanie účtu. Každá z nich dáva pravdepodobnosť. Firemná VPN môže sídliť na adresách, ktoré vyzerajú rezidenčne, rezidenčná proxy môže vyzerať ako domáca linka a NAT operátora môže vyzerať ako hostingový rozsah.

Blokovanie zdieľaného výstupu zablokuje každého nesúvisiaceho používateľa za ním, čo mení rozhodnutie o detekcii na vedľajší výpadok. Skóre dôveryhodnosti nie je identita a nikdy by nemalo byť jediným vstupom rozhodnutia o zákaze alebo vrátení peňazí.

Ak VPN vlastníte, máte spoľahlivý signál, ktorý s detekciou nemá nič spoločné: pridelte vyhradený fond a porovnajte s ním pozorovaný zdroj. Funguje to, pretože ovládate oba konce a môžete fond zdokumentovať. Nezovšeobecňuje sa to však na návštevníkov, ktorých nespravujete, a prestáva byť spoľahlivé v okamihu, keď sa fond zdieľa s inými službami.

Miestne dôkazy verzus dôkazy na strane servera

Na samotnom stroji je tunel viditeľný: virtuálny adaptér, predvolená trasa ukazujúca na tunelové zariadenie, zmenený resolver. Kód, ktorý tam beží, môže vymenovať rozhrania a hľadať PPP, TAP alebo ovládač výrobcu.

Webová stránka nič z toho prečítať nedokáže. Bežná obchádzka načíta prostriedok poskytovaný iba z vnútornej siete a úspech považuje za dôkaz používania tunela. V skutočnosti testuje dostupnosť: rozdelený tunel, zastaraný súbor v medzipamäti alebo proxy na odpočúvanie dajú rovnaký výsledok v oboch stavoch. Miestne dôkazy zostávajú miestnymi.

Vyberte riadenie prístupu, ktoré vydrží nejednoznačnosť

Stavajte riadenie prístupu na overenej identite, zdraví zariadenia a autorizácii pre každý prostriedok. Tieto predikáty opisujú, kto sa pýta a kam smie dosiahnuť, a zostávajú zmysluplné bez ohľadu na to, či je zapojený tunel. Či požiadavka prišla cez VPN, je slabý signál, ktorý dáva falošné povolenia aj vedľajšie blokovania. Držte dôkaz a rozhodnutie v oddelených poliach, aby sporné blokovanie malo čo preskúmať.

IP geolokácia je jeden vstup medzi viacerými a služby polohy prehliadača môžu používať Wi-Fi alebo GPS, ktoré tunel nikdy nenasledujú. Mapa, ktorá stále ukazuje mesto návštevníka, je dôkazom o službách polohy, nie dôkazom, že tunel zlyhal.

Zapíšte, ktorý signál viedol každé rozhodnutie. Keď zákazník napadne zablokovanie, tento záznam je rozdiel medzi preskúmaním a hádkou.