Откривање VPN-а зависи од тога одакле гледате

Два детектора могу посматрати истог корисника и не слагати се, оба исправно. Посматрач поред приступне везе види спољни разговор VPN-а; веб-сајт види апликацијску везу која долази са излаза. То су различите везе са различитим отисцима, и доказ са једне не преноси се на другу. Именовање тачке посматрања пре расправе о било ком TLS или TCP тесту чини тврдњу смисленом.

Детектор без наведене тачке посматрања описује мишљење, а не мерење.

Две тачке посматрања, две различите везе

Спољни разговор припада протоколу тунела: сопствени формати порука, сопствена машина стања, сопствено време. Унутрашња веза је прегледач који отвара TLS ка сајту, носи се кроз тунел и затим прослеђује са излаза. Оба постоје у истом тренутку и нису исти ток. Једно је оно што приступна мрежа може да види, друго оно што одредиште може да види, а посредни уређај који заврши било које од њих мења обе слике.

Та разлика објашњава већину забуне у расправама о откривању. Тест који извештава једну ствар о току често одговара на питање о другом слоју од оног који је оператер имао на уму.

Шта види посматрач на приступном путу

Поред приступне везе видљиви материјал је сам протокол тунела: типови контролних и податковних пакета за OpenVPN, фиксне величине руковања и обрасци података WireGuard-а или било који омот који уводи имплементација. Да ли их класификатор може идентификовати зависи од тога шта је видљиво, који транспорт их носи и постоји ли додатно затамњивање. Препознатљив образац је доказ о току, а не доказ о идентитету или намери особе иза њега.

Порт 443 је конвенција за достизање услуге. Она не чини сваки тунелски транспорт HTTPS-ом.

Шта веб-сајт заправо види

Са рутираним тунелом прегледач и даље води сопствену TLS сесију са сајтом. Превођење на излазу не претвара VPN мрежни пролаз у TLS крајњу тачку прегледача, па ClientHello који сајт прими описује прегледач или његову TLS библиотеку. Отисак у стилу JA3 стога карактерише апликацијску везу, а не VPN софтвер који је носи. Само прокси који намерно прекида везу мења тај распоред, и он мора бити посебно идентификован.

TCP посматрања траже исту пажњу. Прослеђивање, превођење и прокси који отвара нову везу три су различита дизајна, а само један од њих преписује транспортни стек. Једна необична карактеристика не имплицира јединствено тунел.

Држите тврдњу унутар доказа

Мрежна класификација, посматрање протокола, отисци апликација и сигнали налога улази су у одлуку о ризику, сваки са лажним позитивима, лажним негативима и недостајућим доказима. Адреса у хостинг опсегу не доказује ништа о комерцијалном VPN-у, а уобичајен отисак прегледача не доказује ништа о директном. Када процењујете детектор, користите одобрени скуп података са познатим путањама и забележите које је посматрање дало сваки резултат.

Држите класификацију протокола одвојено од одлуке о приступу са последицама. Прилагођени одговор или трик са деформисаним пакетом не потврђује закључак иза њега; он само врши притисак на претпоставку.

Користан извештај именује посматрање, тачку посматрања и поузданост. Голи ред «VPN откривен» крије управо део који би некоме омогућио да то провери.