Vaš strežnik vidi izhod VPN, ne obiskovalca

Obiskovalec se poveže prek komercialnega VPN in vaša aplikacija zabeleži izhodni naslov. To ni skrita identiteta: to je edini izvorni naslov, ki ga ima povezava TCP. Vse ostalo, kar ljudje imenujejo zaznavanje, je sklep, položen na to eno dejstvo.

Kaj zahteva v resnici nosi

Aplikacija vidi izvorni naslov in vrata povezave, dokončano rokovanje in bajte, ki jih je stranka izbrala za pošiljanje. Pri polnem tunelu je ta vir izhod, ki si ga delijo vsi uporabniki. Pri razdeljenem tunelu lahko zahteve prihajajo iz tunela ali iz lokalne povezave, odvisno od cilja. Če sta odjemalec in strežnik v istem VPN, je vir notranji naslov tunela odjemalca, ki označuje končno točko in ne lokacije.

Nobeno polje običajne zahteve ne nosi naslova, ki ga je imel odjemalec pred tunelom. Glava za posredovanje je trditev odjemalca ali posrednika in jo je mogoče izpustiti ali ponarediti.

Zaznavanje je klasifikacija, klasifikacija pa je ugibanje

Praktične metode so seznami znanih razponov VPN in gostovanja, zakasnitev, ki se ne ujema z navedeno regijo, oblike traceroute in vedenje računa. Vsaka daje verjetnost. Podjetniški VPN je lahko na naslovih, ki izgledajo stanovanjsko, stanovanjski posrednik je lahko videti kot domača linija, NAT operaterja pa je lahko videti kot razpon gostovanja.

Blokiranje skupnega izhoda blokira vsakega nepovezanega uporabnika za njim, kar odločitev o zaznavanju spremeni v stransko motnjo. Ocena zaupanja ni identiteta in nikoli ne bi smela biti edini vhod odločitve o prepovedi ali povračilu.

Če je VPN vaš, imate zanesljiv signal, ki nima nič skupnega z zaznavanjem: dodelite namenski nabor in z njim primerjajte opaženi vir. To deluje, ker nadzorujete oba konca in lahko nabor dokumentirate. Vendar se ne posploši na obiskovalce, ki jih ne upravljate, in preneha biti zanesljiv v trenutku, ko si nabor delijo druge storitve.

Lokalni dokazi proti dokazom na strani strežnika

Na samem stroju je tunel viden: navidezni adapter, privzeta pot, ki kaže na tunelsko napravo, spremenjen razreševalnik. Koda, ki teče tam, lahko našteje vmesnike in poišče PPP, TAP ali gonilnik ponudnika.

Spletna stran ne more prebrati nič od tega. Običajna rešitev naloži vir, ki se streže le iz notranjega omrežja, in uspeh šteje kot dokaz uporabe tunela. V resnici preizkuša dosegljivost: razdeljen tunel, zastarela predpomnjena datoteka ali prestrezni posrednik dajo enak rezultat v obeh stanjih. Lokalni dokazi ostanejo lokalni.

Izberite nadzor dostopa, ki prestane negotovost

Gradite nadzor dostopa na preverjeni identiteti, zdravju naprave in pooblastilu za vsak vir. Ti predikati opisujejo, kdo sprašuje in do česa lahko pride, in ostanejo smiselni ne glede na to, ali je vpleten tunel. Ali je zahteva prišla prek VPN, je šibek signal, ki daje tako napačne odobritve kot stranske blokade. Hranite dokaz in odločitev v ločenih poljih, da ima sporna blokada kaj pregledati.

IP geolokacija je en vhod med več, storitve lokacije brskalnika pa lahko uporabljajo Wi-Fi ali GPS, ki tunelu nikoli ne sledita. Zemljevid, ki še vedno prikazuje mesto obiskovalca, je dokaz o storitvah lokacije, ne dokaz, da je tunel odpovedal.

Zapišite, kateri signal je vodil vsako odločitev. Ko stranka izpodbija blokado, je ta zapis razlika med pregledom in prepirom.