Ваш сервер види излаз VPN-а, а не посетиоца

Посетилац се повезује преко комерцијалног VPN-а и ваша апликација бележи излазну адресу. То није скривени идентитет: то је једина изворна адреса коју TCP веза има. Све остало што људи називају откривањем је закључак надграђен на ту једну чињеницу.

Шта захтев заиста носи

Апликација види изворну адресу и порт везе, завршено руковање и бајтове које је клијент изабрао да пошаље. Под пуним тунелом тај извор је излаз, заједнички за све који га користе. Под подељеним тунелом захтеви могу да пристижу из тунела или из локалне везе, зависно од одредишта. Ако су клијент и сервер у истом VPN-у, извор је унутрашња адреса тунела клијента, која означава крајњу тачку, а не локацију.

Ниједно поље обичног захтева не носи адресу коју је клијент имао пре тунела. Заглавље за прослеђивање је тврдња клијента или проксија и може се изоставити или фалсификовати.

Откривање је класификација, а класификација је претпоставка

Практични методи су спискови познатих опсега VPN-а и хостинга, кашњење које се не слаже са наведеним регионом, облици traceroute-а и понашање налога. Сваки даје вероватноћу. Корпоративни VPN може бити на адресама које изгледају стамбено, стамбени прокси може изгледати као кућна линија, а NAT оператера може изгледати као хостинг опсег.

Блокирање заједничког излаза блокира сваког неповезаног корисника иза њега, што одлуку о откривању претвара у споредни прекид. Оцена поверења није идентитет и никада не би требало да буде једини улаз за одлуку о забрани или повраћају.

Ако је VPN ваш, имате поуздан сигнал који нема везе са откривањем: доделите посебан базен и упоредите посматрани извор са њим. То функционише јер контролишете оба краја и можете да документујете базен. Али се не генерализује на посетиоце којима не управљате и престаје да буде поуздано у тренутку када се базен дели са другим услугама.

Локални докази наспрам доказа са стране сервера

На самој машини тунел је видљив: виртуелни адаптер, подразумевана рута која показује на тунелски уређај, измењен резолвер. Код који тамо ради може да наброји интерфејсе и тражи PPP, TAP или драјвер произвођача.

Веб страница не може да прочита ништа од тога. Уобичајени заобилазни пут учитава ресурс који се служи само са унутрашње мреже и успех сматра доказом коришћења тунела. Заправо проверава доступност: подељен тунел, застарео кеширан фајл или прокси за пресретање дају исти резултат у оба стања. Локални докази остају локални.

Изаберите контроле приступа које преживљавају нејасноћу

Градите контролу приступа на провереном идентитету, здрављу уређаја и овлашћењу по ресурсу. Ови предикати описују ко пита и до чега може да стигне, и остају значајни без обзира на то да ли је тунел укључен. Да ли је захтев стигао преко VPN-а је слаб сигнал који даје и лажна прихватања и споредна блокирања. Држите доказ и одлуку у одвојеним пољима, да спорно блокирање има шта да прегледа.

IP геолокација је један улаз међу неколико, а услуге локације прегледача могу да користе Wi-Fi или GPS који никада не следе тунел. Мапа која још увек приказује град посетиоца је доказ о услугама локације, а не доказ да је тунел заказао.

Запишите који је сигнал водио сваку одлуку. Када клијент оспори блокирање, тај запис је разлика између прегледа и расправе.