Vrtenje proxy IP brez VPN: kaj vidi izhod

Vrtenje proxyja in VPN spreminjata vaš javni naslov na različnih plasteh, in ta razlika odloča, kaj uhaja. VPN premakne vsak paket v tunel, zato je izvorni naslov, ki ga vidi cilj, končna točka tunela. Proxy sedi nad omrežno plastjo: z izhoda se pojavijo le zahteve, ki jih pošljete skozenj, medtem ko vse ostalo na stroju ohrani pravi naslov. Če to delitev nastavite prav, vrtenje iz potrditvenega polja postane oblikovalska odločitev.

Od kod javni naslov v resnici pride

Naslov, ki ga vidi cilj, je tisti, s katerega je vaš promet nazadnje odšel, in pri domači povezavi je to naslov ponudnika na vašem usmerjevalniku, ne kaj, kar bi imel stroj. Ponovni zagon usmerjevalnika lahko vrne isto najemnino, sprememba njegovega naslova MAC pa včasih ustvari novega, a nobeno od tega vam ne da izbire države. VPN zamenja izvorni naslov na plasti IP, zato vsak paket s stroja, vključno z DNS in posodobitvami v ozadju, odide s končne točke tunela. Proxy dela plast višje: sprejme zahtevo, odpre svojo povezavo do cilja, in le ta zahteva se pojavi z izhoda. Vse ostalo na stroju še vedno uporablja pravi naslov.

Ta delitev pojasni večino presenečenj. Razširitev brskalnika, usmerjena na proxy, spremeni le, kar brskalnik pošlje, in nič drugega, zato druga aplikacija na istem gostitelju še vedno razkrije izvirni naslov. Sistemski VPN ima nasprotni način odpovedi: pokrije promet, ki ste ga želeli obdržati lokalno, in se zapre le, če je odjemalec tako nastavljen. Izbrati med njima v resnici pomeni izbrati, kateri promet se mora premakniti.

Vrtenje se nato uporabi za plast, ki ste jo izbrali. S proxyjem vrtenje pomeni, da naslednja zahteva uporabi drug izhod. Z VPN pomeni porušiti in znova zgraditi tunel, kar je počasneje in se pokaže kot vidna ponovna povezava.

Kaj lahko HTTP proxy prebere in česa ne

Pri navadnem HTTP proxy vidi absolutni URI v vrstici zahteve, vsako glavo in telo. Vse to lahko zabeleži in prepiše kateri koli del, zato brezplačni proxy, ki v odgovore vbrizga skript, počne natanko to, kar protokol dovoljuje. Preverjanje pristnosti uporablja Proxy-Authorization, in manjkajoče ali napačno poverilo ustvari 407 Proxy Authentication Required namesto napake povezave.

Pri HTTPS odjemalec pošlje CONNECT host:port in proxy odpre surov tunel, nato pa vidi šifrirane bajte. Še vedno se nauči imena gostitelja iz vrstice CONNECT in običajno iz polja SNI v rokovanju TLS, zato beleženje na ravni imena gostitelja preživi, tudi ko koristni tovor ne. Branje koristnega tovora zahteva zaključek TLS s potrdilom, ki mu odjemalec zaupa, kar je drug izdelek z drugim tveganjem. In specifikacija semantike HTTP opredeljuje CONNECT kot zahtevo za tunel, kar je pravi miselni model tega, kaj izhod lahko in česa ne more videti.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Podroben izpis pokaže vrstico CONNECT pred kakršnim koli prometom TLS, in to je trenutek, ko proxy izve vaš cilj. Proxy, ki odgovori s 407, tunela ni nikoli odprl, zato ponoven poskus z drugimi nastavitvami TLS ne bo pomagal.

Granularnost vrtenja odloča, kaj se pokvari

Vrtenje pri vsaki zahtevi je nastavitev, ki je videti najvarnejša in pokvari največ. Piškotki, žetoni CSRF in seje na strani strežnika so vezani na identiteto, in identiteta, ki se med prijavo in naslednjim klicem spremeni, je za cilj videti kot ugrabitev seje. Mnogi ponudniki ponujajo lepljivo sejo tako, da jo kodirajo v uporabniško ime proxyja, zato izhod za izbrano okno ostane nespremenjen.

Granularnost izberite po nalogi, ne po privzetih nastavitvah ponudnika. Crawler, ki prinaša neodvisne strani, lahko vrti pri vsaki zahtevi, medtem ko mora plačilni tok ali overjen API obdržati en izhod za celoten tok. Dva spodnja klica prikazujeta lepljivo uporabniško ime in običajno vrtečo končno točko, in socks5h shema razrešuje imena na proxyju, ne lokalno.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Lokalni DNS je tih uhajanje. Če odjemalec ime razreši pred povezavo, se razreševalnik še vedno nauči vsakega gostitelja, ki ga obiščete, tudi če zahteva HTTP odide drugam. In socks5h oblika in razreševanje na strani proxyja se temu izogneta, in njuna uporaba ne stane nič.

Kaj cilj razvršča poleg naslova

Ugled naslova je eden od več vhodov. Cilji združujejo ASN in njegovo oznako podatkovno središče ali stanovanjsko, odtis TLS odjemalca, nastavitve HTTP/2, vrstni red glav, stopnjo zahtev in obliko krmarjenja. Stanovanjski izhod, ki ga vodi brskalnik brez glave, lahko spodleti tam, kjer izhod iz podatkovnega središča, ki ga vodi resnična seja, uspe.

Vrsta izhoda določa, kaj lahko o prometu pošteno trdite, in vsak prinaša drugačno ceno.

Deljen izhod ni nevtralen. Vse drugo, kar teče s tega naslova, pristane v istem vedru ugleda, in naslov, ki so ga drugi najemniki že zažgali, spodleti, preden se prebere vaša prva zahteva.

Izberite izhod, ki ga lahko opišete v politiki

Koristno vprašanje ni, kako naslov skriti, ampak kdo je odgovoren za promet, ki odhaja z njega. Vaš lastni oblačni izhod na nalogo, pogodbeni ponudnik s sporazumom o obdelavi podatkov in objavljenim hrambo ter samostojno gostovan VPN z eno identiteto na nalogo so vsi opisani v enem stavku. Brezplačni seznam ne, ker njegov upravljavec nima nobene obveznosti do vas in ima vsak motiv za beleženje.

Držite lastne omejitve hitrosti pod tistim, kar cilj prenese, in zbirajte le polja, ki jih naloga potrebuje, da napaka ostane majhna. Hitrejše vrtenje za pobeg pred blokom običajno poveča stopnjo zahtev, ki ga je povzročila.

Zapišite izbrani izhod, njegovo okno vrtenja in njegovega lastnika v konfiguracijo opravila pred prvim zagonom. Ko pride blok, je prav ta zapisek tisti, ki vam pove, ali spremeniti izhod ali vedenje.