หมุน IP พร็อกซีโดยไม่ใช้ VPN: ทางออกเห็นอะไร
หมุนทางออกพร็อกซีโดยไม่ใช้ VPN: พร็อกซี HTTP อ่านอะไรได้บ้าง เซสชันแบบติดหนึบป้องกันสภาพที่พังได้อย่างไร และทางออกแบบใดที่คุณปกป้องได้ในนโยบาย
การหมุนพร็อกซีและ VPN เปลี่ยนที่อยู่สาธารณะของคุณในชั้นที่ต่างกัน และความต่างนั้นเป็นตัวกำหนดว่าอะไรจะรั่ว VPN ย้ายทุกแพ็กเก็ตเข้าไปในอุโมงค์ ดังนั้นที่อยู่ต้นทางที่เป้าหมายเห็นคือปลายทางของอุโมงค์ พร็อกซียืนอยู่เหนือชั้นเครือข่าย เฉพาะคำขอที่คุณส่งผ่านมันเท่านั้นที่ปรากฏจากทางออก ขณะที่ทุกอย่างอื่นบนเครื่องยังคงใช้ที่อยู่จริง การแบ่งชั้นนี้ให้ถูกจะเปลี่ยนการหมุนจากช่องทำเครื่องหมายเป็นการตัดสินใจออกแบบ
ที่อยู่สาธารณะมาจากไหนจริง ๆ
ที่อยู่ที่เป้าหมายเห็นคือที่ที่ทราฟฟิกของคุณออกไปครั้งล่าสุด และบนการเชื่อมต่อที่บ้านนั่นคือที่อยู่ของผู้ให้บริการบนเราเตอร์ของคุณ ไม่ใช่สิ่งที่เครื่องเป็นเจ้าของ การรีสตาร์ตเราเตอร์อาจคืนสัญญาเช่าเดิม และการเปลี่ยนที่อยู่ MAC ของมันบางครั้งก็สร้างใหม่ แต่ทั้งสองอย่างไม่ได้ให้ตัวเลือกประเทศแก่คุณ VPN แทนที่ที่อยู่ต้นทางในชั้น IP ดังนั้นทุกแพ็กเก็ตจากเครื่อง รวมถึง DNS และการอัปเดตเบื้องหลัง จะออกจากปลายทางของอุโมงค์ พร็อกซีทำงานสูงขึ้นหนึ่งชั้น มันรับคำขอ เปิดการเชื่อมต่อของตัวเองไปยังเป้าหมาย และมีเพียงคำขอนั้นที่ปรากฏจากทางออก ทุกอย่างอื่นบนเครื่องยังใช้ที่อยู่จริง
การแบ่งชั้นนี้อธิบายความประหลาดใจส่วนใหญ่ ส่วนขยายเบราว์เซอร์ที่ชี้ไปยังพร็อกซีเปลี่ยนเพียงสิ่งที่เบราว์เซอร์ส่งและไม่เปลี่ยนอย่างอื่น ดังนั้นแอปพลิเคชันที่สองบนโฮสต์เดียวกันยังคงรั่วที่อยู่เดิม VPN ทั้งระบบมีโหมดล้มเหลวตรงกันข้าม มันครอบคลุมทราฟฟิกที่คุณอยากเก็บไว้ในเครื่อง และจะปิดก็ต่อเมื่อไคลเอนต์ถูกกำหนดค่าให้ทำเช่นนั้น การเลือกระหว่างสองสิ่งนี้คือการเลือกว่าทราฟฟิกใดต้องเคลื่อนที่
จากนั้นการหมุนจะใช้กับชั้นที่คุณเลือก ด้วยพร็อกซี การหมุนหมายถึงคำขอถัดไปใช้ทางออกอื่น ด้วย VPN หมายถึงการรื้อและสร้างอุโมงค์ใหม่ ซึ่งช้ากว่าและปรากฏเป็นการเชื่อมต่อใหม่ที่มองเห็นได้
พร็อกซี HTTP อ่านอะไรได้ และอ่านอะไรไม่ได้
ใน HTTP ธรรมดา พร็อกซีเห็น URI แบบสมบูรณ์ในบรรทัดคำขอ ทุกเฮดเดอร์และเนื้อหา มันบันทึกทั้งหมดนั้นและเขียนใหม่ส่วนใดก็ได้ นั่นคือเหตุผลที่พร็อกซีฟรีที่ฉีดสคริปต์ลงในคำตอบทำในสิ่งที่โปรโตคอลอนุญาต การพิสูจน์ตัวตนใช้ Proxy-Authorizationและข้อมูลรับรองที่หายไปหรือผิดจะสร้าง 407 Proxy Authentication Required แทนที่จะเป็นข้อผิดพลาดการเชื่อมต่อ
ใน HTTPS ไคลเอนต์ส่ง CONNECT host:port และพร็อกซีเปิดอุโมงค์ดิบ หลังจากนั้นมันเห็นไบต์ที่เข้ารหัส มันยังคงเรียนรู้ชื่อโฮสต์จากบรรทัด CONNECT และโดยปกติจากฟิลด์ SNI ในการจับมือ TLS ดังนั้นการบันทึกในระดับชื่อโฮสต์ยังคงอยู่แม้เพย์โหลดจะไม่อยู่ การอ่านเพย์โหลดต้องสิ้นสุด TLS ด้วยใบรับรองที่ไคลเอนต์ไว้วางใจ ซึ่งเป็นผลิตภัณฑ์อื่นที่มีความเสี่ยงอื่น และ ข้อกำหนดความหมายของ HTTP กำหนด CONNECT เป็นคำขออุโมงค์ ซึ่งเป็นแบบจำลองทางความคิดที่ถูกต้องสำหรับสิ่งที่ทางออกเห็นได้และเห็นไม่ได้
curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'เอาต์พุตแบบละเอียดแสดงบรรทัด CONNECT ก่อนทราฟฟิก TLS ใด ๆ และนั่นคือช่วงเวลาที่พร็อกซีเรียนรู้ปลายทางของคุณ พร็อกซีที่ตอบด้วย 407 ไม่เคยเปิดอุโมงค์ ดังนั้นการลองใหม่ด้วยการตั้งค่า TLS อื่นจะไม่ช่วย
ความละเอียดของการหมุนเป็นตัวกำหนดว่าจะพังอะไร
การหมุนทุกคำขอคือการตั้งค่าที่ดูปลอดภัยที่สุดและพังมากที่สุด คุกกี้ โทเคน CSRF และเซสชันฝั่งเซิร์ฟเวอร์ผูกกับตัวตน และตัวตนที่เปลี่ยนระหว่างการเข้าสู่ระบบกับคำเรียกถัดไปดูเหมือนการขโมยเซสชันสำหรับเป้าหมาย ผู้ให้บริการจำนวนมากเสนอเซสชันแบบติดหนึบโดยเข้ารหัสไว้ในชื่อผู้ใช้ของพร็อกซี ดังนั้นทางออกจึงคงที่ในช่วงเวลาที่เลือก
เลือกความละเอียดจากงาน ไม่ใช่จากค่าเริ่มต้นของผู้ให้บริการ ตัวรวบรวมที่ดึงหน้าที่เป็นอิสระสามารถหมุนทุกคำขอ ขณะที่ขั้นตอนการชำระเงินหรือ API ที่พิสูจน์ตัวตนแล้วต้องถือทางออกเดียวตลอดทั้งขั้นตอน สองคำเรียกด้านล่างแสดงชื่อผู้ใช้แบบติดหนึบและปลายทางที่หมุนได้ธรรมดา และ socks5h สคีมาจะแปลงชื่อที่พร็อกซีแทนที่จะเป็นภายในเครื่อง
curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.meDNS ภายในเครื่องคือการรั่วไหลแบบเงียบ ถ้าไคลเอนต์แปลงชื่อก่อนเชื่อมต่อ ตัวแปลงยังคงเรียนรู้ทุกโฮสต์ที่คุณเยี่ยมชมแม้คำขอ HTTP จะออกไปที่อื่น และ socks5h รูปแบบและการแปลงฝั่งพร็อกซีหลีกเลี่ยงสิ่งนั้น และการใช้สิ่งเหล่านั้นไม่เสียค่าใช้จ่าย
เป้าหมายจำแนกอะไรนอกเหนือจากที่อยู่
ชื่อเสียงของที่อยู่เป็นหนึ่งในหลายอินพุต เป้าหมายรวม ASN และป้ายศูนย์ข้อมูลหรือที่พักอาศัย ลายนิ้วมือ TLS ของไคลเอนต์ การตั้งค่า HTTP/2 ลำดับเฮดเดอร์ อัตราคำขอ และรูปร่างของการนำทาง ทางออกที่พักอาศัยซึ่งขับเคลื่อนด้วยเบราว์เซอร์ไร้หน้าอาจล้มเหลวในที่ที่ทางออกศูนย์ข้อมูลซึ่งขับเคลื่อนด้วยเซสชันจริงผ่านไปได้
ประเภทของทางออกกำหนดสิ่งที่คุณยืนยันได้อย่างซื่อสัตย์เกี่ยวกับทราฟฟิก และแต่ละแบบมีต้นทุนต่างกัน
| Exit type | What the target sees | Main cost |
|---|---|---|
| Datacenter proxy | Hosting ASN, cheap, often pre-blocked | Low reputation, easy to detect |
| Residential network | A consumer ISP address belonging to someone else | Consent and terms-of-service exposure |
| Mobile carrier | A carrier NAT address shared by many subscribers | Price, plus shared blame for abuse |
| Your own cloud egress | An address you are accountable for | Recognisable, but defensible |
ทางออกที่ใช้ร่วมกันไม่เป็นกลาง ทุกอย่างอื่นที่ทำงานจากที่อยู่นั้นตกลงในถังชื่อเสียงเดียวกัน และที่อยู่ที่ผู้เช่ารายอื่นเผาไปแล้วจะล้มเหลวก่อนคำขอแรกของคุณจะถูกอ่าน
เลือกทางออกที่คุณอธิบายได้ในนโยบาย
คำถามที่มีประโยชน์ไม่ใช่ว่าจะซ่อนที่อยู่ได้อย่างไร แต่คือใครรับผิดชอบทราฟฟิกที่ออกจากมัน ทางออกคลาวด์ของคุณเองต่อหนึ่งงาน ผู้ให้บริการตามสัญญาที่มีข้อตกลงการประมวลผลข้อมูลและการเก็บรักษาที่เผยแพร่ และ VPN ที่โฮสต์เองซึ่งมีตัวตนเดียวต่องาน ทั้งหมดอธิบายได้ในประโยคเดียว รายการฟรีอธิบายไม่ได้ เพราะผู้ดำเนินการไม่มีพันธะต่อคุณและมีแรงจูงใจทุกอย่างที่จะบันทึก
รักษาขีดจำกัดอัตราของคุณเองให้ต่ำกว่าที่เป้าหมายทนได้ และเก็บเฉพาะฟิลด์ที่งานต้องการ เพื่อให้ข้อผิดพลาดยังเล็ก การหมุนเร็วขึ้นเพื่อหนีการบล็อกมักเพิ่มอัตราคำขอที่เป็นสาเหตุ
เขียน ทางออกที่เลือก ช่วงเวลาการหมุน และเจ้าของ ลงในการกำหนดค่างานก่อนการรันครั้งแรก เมื่อการบล็อกมาถึง บันทึกนั้นคือสิ่งที่บอกคุณว่าจะเปลี่ยนทางออกหรือเปลี่ยนพฤติกรรม