การตรวจจับ VPN และพร็อกซีทำงานอย่างไร และล้มเหลวตรงไหน

เมื่อมีคนถามว่าจะบล็อกผู้ใช้ VPN ได้อย่างไร มีคำขอสามอย่างที่แตกต่างกันซ่อนอยู่ในประโยค คือ หยุดการฉ้อโกง หยุดการขูดข้อมูล หรือบังคับใช้ขอบเขตใบอนุญาต แต่ละอย่างทนต่ออัตราความผิดพลาดที่ต่างกัน และไม่มีข้อใดได้รับคำตอบจากการรู้ว่าที่อยู่เป็นของอุโมงค์หรือไม่ สิ่งที่ตัวจำแนกส่งคืนคือความน่าจะเป็นเกี่ยวกับโครงสร้างพื้นฐาน ไม่ใช่ข้อความเกี่ยวกับคนที่ใช้งานมัน

สิ่งที่ตัวจำแนก IP คำนวณจริง ๆ

บริการส่วนใหญ่รวมแหล่งข้อมูลสี่แหล่ง และแต่ละแหล่งเสื่อมสภาพด้วยความเร็วต่างกัน รายการทางออกของ Tor มาจากฉันทามติของไดเรกทอรีและเกือบสมบูรณ์ตราบเท่าที่มันยังอยู่ รายการพร็อกซีแบบเปิดนั้นไม่สมบูรณ์และล้าสมัยภายในไม่กี่วัน รายการทางออกเชิงพาณิชย์ตามการออกแบบล้าหลังผู้ให้บริการรายใหม่ เพราะที่อยู่หมุนเวียนเร็วกว่าที่ผู้ขายรายใดจะไล่เก็บได้ ฮิวริสติกของช่วงโฮสติ้งเป็นสัญญาณที่ถูกที่สุดและหยาบที่สุด

แหล่งสุดท้ายคือที่ที่ผลบวกลวงส่วนใหญ่ถือกำเนิด ทางออกองค์กร เบราว์เซอร์ที่โฮสต์บนคลาวด์ NAT ของวิทยาเขต และเกตเวย์ของผู้ให้บริการมือถือ ล้วนดูเหมือนโฮสติ้งหรือโครงสร้างพื้นฐานร่วม และแต่ละแห่งอาจมีลูกค้าธรรมดาอยู่

IPv6 ขจัดความสบายที่เหลืออยู่ทั้งหมด ไคลเอนต์อาจมีที่อยู่ต่างกันในแต่ละการเชื่อมต่อ และผู้ให้บริการอาจหมุนคำนำหน้าระหว่างคำขอ ดังนั้นกฎที่ถือว่าที่อยู่เป็นตัวตนถาวรจะเบี่ยงเบนจากความจริงภายในไม่กี่สัปดาห์

ทำไมลายนิ้วมือของโปรโตคอลจึงเสื่อมสลาย

ความต่างของ MSS และเวลาสามารถระบุการตั้งค่า OpenVPN บางแบบได้ และเทคนิคนี้เปราะบางจริง ๆ สัญญาณขึ้นอยู่กับตัวเลือกที่ผู้ใช้ควบคุม MTU ของเส้นทาง และกล่องกลางที่คุณไม่ได้เป็นเจ้าของ เปลี่ยนรหัสหนึ่งตัวหรือขีดจำกัด MSS หนึ่งค่า ลายนิ้วมือก็เคลื่อน ผู้ให้บริการที่ออกค่าเริ่มต้นใหม่ก็ทำแบบเดียวกันกับกฎของคุณในชั่วข้ามคืน

การตรวจสอบย้อนกลับมีปัญหาที่แย่กว่าความเปราะบาง คือ เป็นปฏิปักษ์ การสแกนพอร์ตของผู้เยี่ยมชมนั้นช้า ถูกบล็อกได้ง่ายโดยไฟร์วอลล์องค์กรเดียวกับที่ลูกค้าของคุณนั่งอยู่ข้างหลัง และยากที่จะปกป้องในการตรวจสอบความเป็นส่วนตัว เกณฑ์ความหน่วงจับผู้ใช้ที่อยู่ไกลได้น่าเชื่อถือพอ ๆ กับผู้ใช้ที่ใช้อุโมงค์ ซึ่งหมายความว่ากฎของคุณคือ «บล็อกคนที่อยู่ไกล» ที่ติดป้ายอื่น

ไม่ว่าคุณจะเลือกอะไร คุณต้องอธิบายให้เจ้าหน้าที่สนับสนุนฟังได้ตอนตี 2 สัญญาณที่ไม่มีใครอธิบายได้จะกลายเป็นการบล็อกที่ไม่มีใครยกเลิกได้ เขียนคำอธิบายก่อนเขียนกฎ ไม่ใช่หลังคำร้องเรียนครั้งแรก

ตัวตนและพฤติกรรมชนะการเดาเรื่องการไม่ระบุตัวตน

ขีดจำกัดอัตรา ข้อกำหนดการเข้าสู่ระบบ การตรวจสอบการชำระเงิน และโควตาต่อบัญชีจัดการการใช้งานผิดวิธีโดยไม่ลงโทษผู้อ่านที่ใส่ใจความเป็นส่วนตัว พวกมันยังทำงานต่อไปเมื่อที่อยู่เปลี่ยน เพราะผูกกับสิ่งที่ไม่ไคลเอนต์หมุนเวียนได้ฟรี

หากข้อจำกัดทางภูมิศาสตร์เป็นข้อกำหนดใบอนุญาต ให้บังคับใช้เป็นนโยบายที่มีเอกสารพร้อมข้อความข้อผิดพลาดที่ชัดเจนและการทบทวนเป็นระยะ นั่นคือการควบคุมที่ต่างจากการเดาเรื่องการไม่ระบุตัวตน และควรอธิบายต่างออกไปในข้อความที่หันหาลูกค้า การบล็อกพอร์ตที่โปรโตคอล VPN ใช้อยู่อาจลดการใช้งานผิดวิธีอัตโนมัติ แต่ก็ทำลายการเข้าถึงระยะไกลที่ชอบด้วยกฎหมายและถูกข้ามได้ง่ายโดยใครก็ตามที่มุ่งมั่น

เริ่มจากการเป็นตัววัดก่อน

รันตัวจำแนกในโหมดรายงานเท่านั้นสักสองสัปดาห์ เปรียบเทียบประชากรที่มันจะบล็อกกับจำนวนสมัคร การแปลง และตั๋วสนับสนุน แล้วตั้งงบผลบวกลวงก่อนกำหนดเกณฑ์

ทดสอบซ้ำกับชุดเล็กที่รู้จัก ได้แก่ การเชื่อมต่อที่บ้าน ผู้ให้บริการมือถือ ทางออกองค์กร และ VPN เชิงพาณิชย์ สี่กรณีเผยข้อผิดพลาดส่วนใหญ่ที่จะไปถึงลูกค้า และใช้เวลาเพียงบ่ายเดียว

แยกสัญญาณดิบกับการตัดสินใจบังคับใช้ออกจากกัน บันทึกคะแนนแม้เกณฑ์จะสูง ส่งส่วนกลางที่กำกวมไปยังคิวของมนุษย์ และติดแท็กทุกการบล็อกด้วยรหัสเหตุผล เพื่อให้การทบทวนนโยบายครั้งถัดไปบอกได้ว่าสัญญาณใดสมควรได้ที่ของมัน

เส้นทางการอุทธรณ์เป็นส่วนหนึ่งของการควบคุม

การบล็อกอัตโนมัติทุกครั้งต้องมีเส้นทางของมนุษย์ คือ ที่อยู่ติดต่อ เวลาตอบกลับที่ระบุไว้ และเจ้าของการทบทวนที่มีชื่อ หากไม่มี ผลบวกลวงก็คือลูกค้าที่หายไปอย่างเงียบ ๆ และตั๋วสนับสนุนที่ไม่มีใครดำเนินการได้

บอกอย่างชัดเจนว่าการเข้าถึงอาจถูกจำกัด เพราะอะไร และจะขอทบทวนได้อย่างไร ทำเวอร์ชันของนโยบายเพื่อให้ฝ่ายสนับสนุนบอกได้ว่ากฎใดบังคับใช้ในวันที่กำหนด การบล็อกที่คุณอธิบาย ยกเลิก หรือวัดไม่ได้ไม่ใช่การควบคุม มันคือการเดาพร้อมบรรทัดบันทึก