Rrotullimi i IP-ve të proxy-t pa VPN: çfarë sheh dalja
Rrotullo daljet e proxy-t pa VPN: çfarë mund të lexojë një proxy HTTP, si sesionet ngjitëse parandalojnë gjendjen e prishur dhe cilën dalje mund të mbrosh në një politikë.
Rrotullimi i proxy-t dhe një VPN ndryshojnë adresën tuaj publike në shtresa të ndryshme, dhe ai ndryshim vendos çfarë rrjedh. Një VPN lëviz çdo paketë në një tunel, kështu që adresa burimore që sheh objektivi është pika fundore e tunelit. Proxy qëndron mbi shtresën e rrjetit: vetëm kërkesat që dërgoni përmes tij shfaqen nga dalja, ndërsa çdo gjë tjetër në makinë mban adresën e vërtetë. Ta bësh saktë këtë ndarje e kthen rrotullimin nga një kuti zgjedhjeje në një vendim projektimi.
Nga vjen në të vërtetë adresa publike
Adresa që sheh një objektiv është ajo nga e cila doli trafiku juaj për herë të fundit, dhe në një lidhje shtëpiake është adresa e ofruesit në ruterin tuaj, jo diçka që zotëron makina. Rinisja e ruterit mund të kthejë të njëjtën qira, dhe ndryshimi i adresës MAC ndonjëherë prodhon një të re, por asnjëra nuk ju jep një zgjedhës vendi. Një VPN zëvendëson adresën burimore në shtresën IP, kështu që çdo paketë nga makina, përfshirë DNS dhe përditësimet në sfond, del nga pika fundore e tunelit. Proxy punon një shtresë më lart: pranon një kërkesë, hap lidhjen e vet me objektivin, dhe vetëm ajo kërkesë shfaqet nga dalja. Çdo gjë tjetër në makinë vazhdon të përdorë adresën e vërtetë.
Kjo ndarje shpjegon shumicën e surprizave. Një shtojcë e shfletuesit e drejtuar nga një proxy ndryshon vetëm atë që dërgon shfletuesi dhe asgjë tjetër, kështu që një aplikacion i dytë në të njëjtin host ende rrjedh adresën origjinale. Një VPN në nivel sistemi ka mënyrën e kundërt të dështimit: mbulon trafikun që dëshironit ta mbani lokal dhe mbyllet vetëm nëse klienti është konfiguruar kështu. Zgjedhja mes të dyjave është në të vërtetë zgjedhja se cili trafik duhet të lëvizë.
Rrotullimi pastaj zbatohet për shtresën që zgjidhët. Me një proxy, rrotullimi do të thotë që kërkesa tjetër përdor një dalje tjetër. Me një VPN, do të thotë të rrëzosh dhe të rindërtosh tunelin, gjë që është më e ngadaltë dhe shfaqet si një rilidhje e dukshme.
Çfarë mund të lexojë një proxy HTTP, dhe çfarë jo
Në HTTP të thjeshtë proxy sheh një URI absolut në rreshtin e kërkesës, çdo krye dhe trupin. Mund t'i regjistrojë të gjitha dhe të rishkruajë çdo pjesë, prandaj një proxy falas që injekton një skript në përgjigje bën pikërisht atë që lejon protokolli. Vërtetimi përdor Proxy-Authorization, dhe një kredencial që mungon ose është i gabuar prodhon 407 Proxy Authentication Required në vend të një gabimi lidhjeje.
Në HTTPS klienti dërgon CONNECT host:port dhe proxy hap një tunel të papërpunuar, pas së cilës sheh bajt të kriptuar. Ai ende mëson emrin e hostit nga rreshti CONNECT dhe zakonisht nga fusha SNI në shtrëngimin e duarve TLS, kështu që regjistrimi në nivel emri hosti mbijeton edhe kur ngarkesa nuk mbijeton. Leximi i ngarkesës kërkon përfundimin e TLS me një certifikatë që klienti e beson, që është një produkt tjetër me një rrezik tjetër. Dhe specifikimi i semantikës HTTP e përcakton CONNECT si një kërkesë tuneli, që është modeli mendor i saktë për atë që një dalje mund dhe nuk mund të shohë.
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'Dalja e detajuar tregon rreshtin CONNECT përpara çdo trafiku TLS, dhe ai është momenti kur proxy mëson destinacionin tuaj. Një proxy që përgjigjet me 407 nuk e hapi kurrë tunelin, kështu që një provë e re me cilësime të tjera TLS nuk do të ndihmojë.
Granulariteti i rrotullimit vendos çfarë thyhet
Rrotullimi në çdo kërkesë është cilësimi që duket më i sigurt dhe thyen më shumë. Cookies, tokenat CSRF dhe sesionet në anën e serverit janë të lidhura me një identitet, dhe një identitet që ndryshon mes hyrjes dhe thirrjes tjetër i duket objektivit si rrëmbim sesioni. Shumë ofrues ofrojnë një sesion ngjitës duke e koduar në emrin e përdoruesit të proxy-t, kështu që dalja mbetet fikse për një dritare të zgjedhur.
Zgjidhni granularitetin nga detyra, jo nga parazgjedhja e ofruesit. Një zvarritës që sjell faqe të pavarura mund të rrotullohet për çdo kërkesë, ndërsa një rrjedhë pagese ose një API e vërtetuar duhet të mbajë një dalje për të gjithë rrjedhën. Dy thirrjet më poshtë tregojnë një emër përdoruesi ngjitës dhe një pikë fundore rrotulluese të thjeshtë, dhe socks5h skema i zgjidh emrat në proxy në vend të lokalisht.
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meDNS lokal është një rrjedhje e qetë. Nëse klienti e zgjidh emrin përpara se të lidhet, zgjidhësi ende mëson çdo host që vizitoni edhe pse kërkesa HTTP del diku tjetër. Dhe socks5h forma dhe zgjidhja në anën e proxy-t e shmangin këtë, dhe përdorimi i tyre nuk kushton asgjë.
Çfarë klasifikon objektivi përveç adresës
Reputacioni i adresës është një hyrje mes disave. Objektivat kombinojnë ASN-në dhe etiketën e tij qendër të dhënash ose banimi, gjurmën TLS të klientit, cilësimet HTTP/2, rendin e kryeve, shkallën e kërkesave dhe formën e navigimit. Një dalje banimi e drejtuar nga një shfletues pa kokë mund të dështojë aty ku një dalje qendre të dhënash e drejtuar nga një sesion i vërtetë kalon.
Lloji i daljes përcakton çfarë mund të pohonit me ndershmëri për trafikun, dhe secili mbart një kosto tjetër.
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
Një dalje e ndarë nuk është neutrale. Çdo gjë tjetër që punon nga ajo adresë bie në të njëjtën kovë reputacioni, dhe një adresë e djegur tashmë nga qiramarrës të tjerë dështon përpara se kërkesa juaj e parë të lexohet.
Zgjidhni një dalje që mund ta përshkruani në një politikë
Pyetja e dobishme nuk është si ta fshehësh adresën, por kush është përgjegjës për trafikun që del prej saj. Dalja tuaj e cloud-it për çdo detyrë, një ofrues i kontraktuar me një marrëveshje përpunimi të dhënash dhe ruajtje të publikuar, dhe një VPN e vetë-strehuar me një identitet për çdo detyrë janë të gjitha të përshkrueshme në një fjali. Një listë falas nuk është, sepse operatori i saj nuk ka asnjë detyrim ndaj jush dhe ka çdo nxitje për të regjistruar.
Mbani kufijtë tuaj të shpejtësisë nën atë që toleron objektivi, dhe mblidhni vetëm fushat që i nevojiten detyrës, që një gabim të mbetet i vogël. Rrotullimi më i shpejtë për të shpëtuar nga një bllokim zakonisht rrit shkallën e kërkesave që e shkaktoi.
Shkruani daljen e zgjedhur, dritaren e rrotullimit dhe pronarin e saj në konfigurimin e punës përpara ekzekutimit të parë. Kur vjen bllokimi, ai shënim është ai që ju thotë të ndryshoni daljen apo sjelljen.