Ukaguzi wa wageni wa VPN: kupima sifa na ucheleweshaji kwa usalama

Dashibodi ya udanganyifu inaweka alama kwa mgeni kama VPN, mchambuzi anaomba kizuizi, na ombi linafika kwa timu ya jukwaa likiwa na kitu kimoja tu: thamani ya boolean kutoka kwa msambazaji. Thamani hiyo ya boolean ni makadirio, na inashindwa katika mwelekeo tofauti na kipimo cha ucheleweshaji. Kabla ya kutenda, tenganisha kile ombi lenyewe linathibitisha, kile huduma ya sifa inadai, na kile muda unadokeza tu. Kisha chagua jibu unaloweza kugeuza wakati makadirio yanapokuwa si sahihi.

Kusanya ukweli wa ombi unaoweza kutetea

Anwani pekee ambayo seva yako inaijua kwa uhakika ni mwenza wa TCP aliyekamilisha muunganisho. Wakati CDN au proksi ya kinyume inamaliza muunganisho huo, mwenza ni ukingo, na anwani ya mteja inasafiri katika kichwa cha kupeleka ambacho kinaweza kuaminiwa tu ikiwa ukingo wako mwenyewe uliiongeza. Soma ingizo lililoandikwa na proksi yako, kamwe usisome mfuatano wa kushoto zaidi, kwa sababu mteja anaweza kutuma thamani yoyote apendayo katika nafasi hiyo. Kila kitu kinachofuata lazima kihifadhi tofauti hiyo.

Uboreshaji mbili za bei nafuu hufanya anwani kuwa kitu kinachoweza kukaguliwa: mfumo unaojitegemea unaoitangaza na rekodi ya PTR inayoelekea kwake. Zote mbili zinaeleza usajili badala ya tabia, na zote mbili zinaweza kuzalishwa tena baadaye.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

ASN ya mwenyeji ni kidokezo kikubwa na si hukumu. Vituo vya VPN vya kampuni, njia za kutoka za wingu na baadhi ya mitandao ya chuo kikuu pia ziko katika vituo vya data, kwa hivyo ishara ile ile inayokamata njia ya kutoka ya kibiashara inakamata pia ofisi halali. Hifadhi anwani kwa muda tu unaohitajika na mapitio, kwa sababu IP ni data binafsi katika sheria nyingi za faragha. Ifute kwa ratiba badala ya kuihifadhi bila kikomo.

Pima mgeni kabla ya kumzuia

Endesha ishara yoyote mpya kwanza katika hali ya uangalizi. Rekodi pembejeo na msimbo wa sababu, ruhusu kila ombi lipite, na linganisha mgawanyo wa alama na akaunti unazojua kuwa halali. Hii inatoa makadirio ya uongo-chanya kabla ya mtu yeyote kupoteza ufikiaji, na nambari hiyo ndiyo inayoamua ikiwa kanuni ni salama kuwasha.

Panga jumla kwa vitendo vitatu badala ya viwili: ruhusu, changamoto ya hatua, mapitio ya mkono. Kizuizi cha kudumu kinapaswa kuhitaji matumizi mabaya ya mara kwa mara yaliyothibitishwa na mtu, kwa sababu uongo-chanya kwa msafiri wa kampuni hugharimu tikiti ya msaada na kikao kilichopotea, wakati uongo-hasi kwa ombi moja hugharimu karibu chochote.

Weka utafutaji wa sifa upande wa seva na uwe na kikomo

Ita huduma ya sifa kutoka backend kwa muda mfupi wa kusubiri, hifadhi uamuzi katika akiba kwa kipindi maalum, na chukulia kuzidi muda kama haijulikani badala ya safi. Kamwe usiweke ufunguo wa API katika msimbo wa upande wa mteja, na kamwe usiruhusu utafutaji kuzuia uonyeshaji wa ukurasa; mtu wa tatu wa polepole anapaswa kushusha alama, si tovuti.

Hifadhi kwa anwani badala ya masafa. Kuainisha /24 nzima kutoka utafutaji mmoja hueneza uamuzi usio sahihi kwa majirani ambao hukuwahi kuwapima. Rekodi msambazaji, tarehe ya majibu na thamani ya uainishaji kando ya msimbo wa sababu, ili mapitio ya baadaye yajue uamuzi gani ulikuwa unatumika.

Watoa huduma wawili wanaweza kuainisha anwani moja kwa njia tofauti ndani ya siku moja, ndiyo sababu uamuzi unamiliki safu ya ushahidi na si safu ya utambulisho. Pia ni uhusiano wa uchakataji: kutuma anwani ya kila mgeni kwa mtu wa tatu kunahitaji msingi wa kisheria, kanuni ya kuhifadhi na mstari katika taarifa ya faragha.

Pima ucheleweshaji kwa wastani wa kati, si sampuli moja

Muda wa kwenda na kurudi unaeleza njia wakati uliipima. Ukingo wa anycast wa karibu unaweza kumhudumia mtumiaji wa mbali, mtandao wa simu unaongeza ucheleweshaji usio na uhusiano na jiografia, na njia ya kutoka ya VPN katika nchi ya mgeni mwenyewe inaonekana ya ndani. Uwekaji wa kijiografia wa ngazi ya jiji mara nyingi huripoti kituo cha data badala ya mtu.

Chukua sampuli kadhaa na tumia wastani wa kati ili ombi moja la polepole lisigeuze matokeo. Mzunguko ulio chini unachapisha wastani wa kati wa tano.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Linganisha nambari na mgawanyo wa watumiaji wanaojulikana kuwa wazuri badala ya kizingiti kamili, na uichanganye na ASN. Ishara mbili dhaifu zinazokubaliana zina nguvu zaidi kuliko kila moja peke yake, lakini hitimisho bado linahusu njia, si nia, kwa hivyo ni mali ya alama na si marufuku.

Amua, rekodi na urudishe

Kabla ya kuwasha kanuni, cheza tena siku moja ya trafiki katika hali ya uangalizi na uhesabu kile kingetokea. Hifadhi pembejeo za alama, msimbo wa sababu na toleo la kanuni, lakini hifadhi anwani mbichi kwa dirisha la mapitio pekee. Ikiwa kanuni inawaka kwenye akaunti halali, rekodi inapaswa kueleza kwa nini bila uchunguzi wa pili.

Ipe kila kanuni swichi yake. Wakati ukamilishaji wa hatua unapungua au tikiti za msaada zinapanda, zima kanuni hiyo na uache bomba lingine likiendelea; swichi moja ya kimataifa ya kuzima hugeuza tatizo la urekebishaji kuwa kukatika. Baada ya mabadiliko, fuatilia kiwango cha ukamilishaji wa changamoto na foleni ya rufaa, si idadi ya vizuizi pekee.

Mwishowe, weka jibu kwa uwiano na hasara unayoizuia. Katika udanganyifu wa matangazo, hali ya VPN ni kiashiria dhaifu cha mbofyo wa uongo, na ishara za tabia kama mifumo ya ubadilishaji na uthabiti wa kifaa hushughulikia uharibifu halisi. Changamoto inayoweza kurudishwa inalinda mapato na mtumiaji halisi kwa wakati mmoja.