Како функционише откривање VPN-а и проксија и где подбацује
IP листе, API-ји за репутацију и отисци подбацују на различите начине. Одлучите коју злоупотребу заустављате, измерите лажно позитивне, па примените са кодом разлога.
Када неко пита како блокирати кориснике VPN-а, у реченици се крију три различита захтева: зауставити превару, зауставити скрејповање или спровести лиценцну границу. Сваки подноси другачију стопу грешке и ниједан се не решава сазнањем да ли адреса припада тунелу. Оно што класификатор враћа је вероватноћа о инфраструктури, а не тврдња о особи која је користи.
Шта IP класификатор заправо израчунава
Већина сервиса комбинује четири извора података и они старе различитом брзином. Tor излазне листе долазе из консензуса директоријума и готово су потпуне док траје. Листе отворених проксија су делимичне и застареле за неколико дана. Комерцијалне излазне листе заостају за новим провајдерима по дизајну, јер се адресе окрећу брже него што било који добављач може да их пређе. Хеуристика хостинг опсега је најјефтинији и најгрубљи сигнал.
Управо последњи рађа већину лажно позитивних. Корпоративни излази, прегледачи хостовани у облаку, NAT кампуса и мрежни пролази мобилних оператера изгледају као хостинг или дељена инфраструктура, и сваки од њих може да садржи обичне клијенте.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 уклања и последњу удобност. Клијент може да има другу адресу за сваку везу, а провајдер може да ротира префикс између захтева, па ће правило које адресу третира као трајни идентитет одступити од стварности за неколико недеља.
Зашто протоколски отисци пропадају
Разлике у MSS и времену могу да идентификују неке OpenVPN конфигурације, а техника је заиста крхка. Сигнал зависи од опција које контролише корисник, од MTU путање и од међууређаја који нису ваши. Промените једну шифру или једно MSS ограничење и отисак се помера. Провајдер који испоручи нови подразумевани образац чини исто вашем правилу преко ноћи.
Обрнуте сонде имају гори проблем од крхкости: оне су непријатељске. Скенирање портова посетиоца је споро, лако га блокира исти корпоративни заштитни зид иза којег седе ваши клијенти и тешко се брани у прегледу приватности. Прагови кашњења хватају удаљене кориснике исто поуздано као кориснике тунела, што значи да је ваше правило заправо «блокирај људе далеко» под другом етикетом.
Шта год да изаберете, морате то моћи да објасните агенту подршке у 2 сата ујутру. Сигнал који нико не може да опише постаје блок који нико не може да поништи. Напишите објашњење пре него што напишете правило, а не после прве жалбе.
Идентитет и понашање побеђују нагађања о анонимности
Ограничења брзине, захтеви за пријаву, провере плаћања и квоте по налогу решавају злоупотребу без кажњавања читалаца којима је приватност важна. Она такође настављају да раде када се адреса промени, јер се везују за нешто што клијент не може бесплатно да ротира.
Ако је географско ограничење лиценцни захтев, спроведите га као документовану политику са јасном поруком о грешци и периодичним прегледом. То је другачија контрола од нагађања о анонимности и треба је другачије описати у тексту за клијента. Блокирање портова које користи VPN протокол може да смањи аутоматизовану злоупотребу, али и крши легитиман удаљени приступ и свако одлучан то тривијално заобилази.
Прво га пустите као мерење
Покрените класификатор неколико недеља у режиму само-извештаја. Упоредите популацију коју би блокирао са регистрацијама, конверзијама и тикетима подршке, а затим поставите буџет за лажно позитивне пре него што поставите праг.
Поново тестирајте на малом познатом скупу: кућна веза, мобилни оператер, корпоративни излаз и комерцијални VPN. Четири случаја откривају већину грешака које би иначе стигле до клијената, и коштају једно поподне.
Држите сирови сигнал и одлуку о примени одвојено. Бележите резултат и када је праг висок, усмерите двосмислену средину у људски ред и означите сваки блок кодом разлога, да би следећи преглед политике могао да каже који је сигнал заслужио своје место.
Пут жалбе је део контроле
Сваки аутоматски блок треба људски пут: контакт адресу, наведено време одговора и именованог власника прегледа. Без тога, лажно позитиван је тихо изгубљен клијент и тикет подршке са којим нико не може ништа да уради.
Реците јасно да приступ може бити ограничен, зашто и како да затражите преглед. Верзионирајте политику да би подршка могла да каже које је правило важило на дати датум. Блок који не можете да објасните, поништите или измерите није контрола; то је нагађање са линијом у дневнику.