Hur VPN- och proxyidentifiering fungerar, och var den brister
IP-listor, rykte-API:er och fingeravtryck brister på olika sätt. Bestäm vilket missbruk du stoppar, mät falska positiva och genomdriv sedan med en orsakskod.
När någon frågar hur man blockerar VPN-användare döljer sig tre olika önskemål i meningen: stoppa bedrägeri, stoppa skrapning eller genomdriva en licensgräns. Var och en tål en annan felfrekvens, och ingen av dem besvaras av att veta om en adress hör till en tunnel. Det en klassificerare returnerar är en sannolikhet om infrastruktur, inte ett påstående om personen som använder den.
Vad en IP-klassificerare faktiskt beräknar
De flesta tjänster kombinerar fyra datakällor, och de åldras i olika takt. Tor-utgångslistor kommer från katalogens konsensus och är nästan fullständiga så länge den håller. Öppna proxylistor är ofullständiga och inaktuella inom dagar. Kommersiella utgångslistor ligger efter nya leverantörer av design, eftersom adresser roterar snabbare än någon leverantör kan gå igenom dem. Heuristik för hostingintervall är den billigaste och grövsta signalen.
Det är den sista som föder de flesta falska positiven. Företagsutgångar, molnhostade webbläsare, campus-NAT och mobiloperatörernas gatewayer ser alla ut som hosting eller delad infrastruktur, och var och en kan innehålla vanliga kunder.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 tar bort all återstående komfort. En klient kan ha en annan adress per anslutning, och en leverantör kan rotera ett prefix mellan förfrågningar, så en regel som behandlar en adress som varaktig identitet driver bort från verkligheten inom veckor.
Varför protokollfingeravtryck förfaller
MSS- och tidsskillnader kan identifiera vissa OpenVPN-konfigurationer, och tekniken är verkligen bräcklig. Signalen beror på alternativ som användaren styr, på vägens MTU och på mellanliggande enheter som du inte äger. Ändra en chiffer eller en MSS-gräns och fingeravtrycket flyttar sig. En leverantör som släpper en ny standard gör samma sak med din regel över en natt.
Omvända sonder har ett värre problem än bräcklighet: de är fientliga. Att skanna en besökares portar är långsamt, blockeras lätt av samma företagsbrandvägg som dina kunder sitter bakom, och är svårt att försvara i en integritetsgranskning. Latensgränser fångar avlägsna användare lika tillförlitligt som tunnelanvändare, vilket innebär att din regel egentligen är «blockera folk långt borta» med en annan etikett.
Vad du än väljer måste du kunna förklara det för en supportagent klockan 2 på natten. En signal som ingen kan beskriva blir en blockering som ingen kan upphäva. Skriv förklaringen innan du skriver regeln, inte efter det första klagomålet.
Identitet och beteende slår gissningar om anonymitet
Hastighetsgränser, inloggningskrav, betalkontroller och kvoter per konto hanterar missbruk utan att straffa läsare som bryr sig om integritet. De fortsätter också att fungera när adressen ändras, eftersom de fäster vid något som klienten inte kan rotera gratis.
Om en geografisk begränsning är ett licenskrav, genomdriv den som en dokumenterad policy med ett tydligt felmeddelande och en regelbunden översyn. Det är en annan kontroll än att gissa på anonymitet, och den bör beskrivas annorlunda i texten till kunden. Att blockera de portar ett VPN-protokoll använder kan minska automatiskt missbruk, men det bryter också legitim fjärråtkomst och kringgås trivialt av alla som är beslutsamma.
Rulla ut det som en mätning först
Kör klassificeraren i endast-rapport-läge i ett par veckor. Jämför populationen den skulle ha blockerat med registreringar, konverteringar och supportärenden, och sätt sedan budgeten för falska positiva innan du sätter tröskeln.
Testa igen mot en liten känd uppsättning: en hemanslutning, en mobiloperatör, en företagsutgång och en kommersiell VPN. Fyra fall avslöjar de flesta fel som annars skulle nå kunderna, och de kostar en eftermiddag.
Håll den råa signalen och genomdrivandebeslutet åtskilda. Logga poängen även när tröskeln är hög, skicka den tvetydiga mitten till en mänsklig kö och tagga varje blockering med en orsakskod så att nästa policyöversyn kan säga vilken signal som förtjänade sin plats.
Överklagandevägen är en del av kontrollen
Varje automatisk blockering behöver en mänsklig väg: en kontaktadress, en angiven svarstid och en namngiven ägare av översynen. Utan en är en falsk positiv en tyst förlorad kund och ett supportärende som ingen kan agera på.
Säg klart att åtkomst kan begränsas, varför och hur man begär en översyn. Versionshantera policyn så att supporten kan säga vilken regel som gällde ett visst datum. En blockering du inte kan förklara, upphäva eller mäta är inte en kontroll; det är en gissning med en logglinje.