VPN olmadan proxy IP'lerini döndürmek: çıkış neyi görür

Proxy rotasyonu ve VPN, genel adresinizi farklı katmanlarda değiştirir ve bu fark neyin sızdığını belirler. VPN her paketi bir tünele taşır, böylece hedefin gördüğü kaynak adres tünelin uç noktasıdır. Proxy ağ katmanının üzerinde durur: yalnızca onun üzerinden gönderdiğiniz istekler çıkıştan görünür, makinedeki her şey ise gerçek adresi korur. Bu ayrımı doğru kurmak rotasyonu bir onay kutusundan tasarım kararına dönüştürür.

Genel adres gerçekte nereden gelir

Bir hedefin gördüğü adres, trafiğinizin en son çıktığı adrestir ve ev bağlantısında bu, yönlendiricinizdeki sağlayıcının adresidir, makinenin sahip olduğu bir şey değil. Yönlendiriciyi yeniden başlatmak aynı kiralamayı geri verebilir ve MAC adresini değiştirmek bazen yenisini üretir, ama hiçbiri size ülke seçici vermez. VPN kaynak adresi IP katmanında değiştirir, böylece makineden çıkan her paket, DNS ve arka plan güncellemeleri dahil, tünelin uç noktasından ayrılır. Proxy bir katman yukarıda çalışır: bir isteği kabul eder, hedefe kendi bağlantısını açar ve yalnızca o istek çıkıştan görünür. Makinedeki her şey hâlâ gerçek adresi kullanır.

Bu ayrım sürprizlerin çoğunu açıklar. Proxy'ye yönlendirilmiş bir tarayıcı eklentisi yalnızca tarayıcının gönderdiğini değiştirir ve başka hiçbir şeyi, bu yüzden aynı ana bilgisayardaki ikinci uygulama hâlâ özgün adresi sızdırır. Sistem geneli bir VPN ters arıza moduna sahiptir: yerel tutmak istediğiniz trafiği de kapsar ve yalnızca istemci buna göre yapılandırılmışsa kapalı olarak başarısız olur. İkisi arasında seçim yapmak aslında hangi trafiğin hareket etmesi gerektiğini seçmektir.

Rotasyon sonra seçtiğiniz katmana uygulanır. Proxy ile rotasyon, sonraki isteğin farklı bir çıkış kullandığı anlamına gelir. VPN ile bu, tüneli yıkıp yeniden inşa etmek demektir; bu daha yavaştır ve görünür bir yeniden bağlanma olarak ortaya çıkar.

Bir HTTP proxy neyi okuyabilir, neyi okuyamaz

Düz HTTP'de proxy istek satırında mutlak bir URI, her başlığı ve gövdeyi görür. Bunların hepsini kaydedebilir ve herhangi bir bölümünü yeniden yazabilir, bu yüzden yanıtlara betik enjekte eden ücretsiz bir proxy protokolün izin verdiğini tam olarak yapar. Kimlik doğrulama Proxy-Authorization kullanır, ve eksik ya da yanlış bir kimlik bilgisi 407 Proxy Authentication Required bağlantı hatası yerine üretir.

HTTPS'te istemci CONNECT host:port gönderir ve proxy ham bir tünel açar, sonrasında şifrelenmiş baytlar görür. Ana bilgisayar adını CONNECT satırından ve genellikle TLS el sıkışmasındaki SNI alanından öğrenmeye devam eder, bu yüzden ana bilgisayar adı düzeyinde günlükleme yük kalmasa da sürer. Yükü okumak, TLS'i istemcinin güvendiği bir sertifikayla sonlandırmayı gerektirir, ki bu farklı riski olan farklı bir üründür. Ve HTTP anlambilim belirtimi CONNECT'i bir tünel isteği olarak tanımlar, bu da bir çıkışın neyi görüp neyi göremeyeceği için doğru zihinsel modeldir.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

Ayrıntılı çıktı, herhangi bir TLS trafiğinden önce CONNECT satırını gösterir ve proxy tam o anda hedefinizi öğrenir. 407 ile yanıt veren bir proxy tüneli hiç açmadı, bu yüzden başka TLS ayarlarıyla yeniden denemek yardımcı olmaz.

Rotasyonun ayrıntı düzeyi neyin bozulacağını belirler

Her istekte döndürmek, en güvenli görünen ve en çok bozan ayardır. Çerezler, CSRF belirteçleri ve sunucu tarafı oturumlar bir kimliğe bağlıdır ve oturum açma ile sonraki çağrı arasında değişen bir kimlik hedefe oturum ele geçirme gibi görünür. Birçok sağlayıcı yapışkan oturumu proxy kullanıcı adında kodlayarak sunar, böylece çıkış seçilen pencere boyunca sabit kalır.

Ayrıntı düzeyini görevden seçin, sağlayıcının varsayılanından değil. Bağımsız sayfaları getiren bir tarayıcı her istekte dönebilir, oysa bir ödeme akışı ya da kimliği doğrulanmış bir API tüm akış boyunca tek bir çıkış tutmak zorundadır. Aşağıdaki iki çağrı yapışkan bir kullanıcı adı ve basit dönen bir uç nokta gösterir, ve socks5h şema adları yerel olarak değil proxy'de çözer.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

Yerel DNS sessiz bir sızıntıdır. İstemci adı bağlanmadan önce çözerse, HTTP isteği başka bir yerden çıksa da çözümleyici ziyaret ettiğiniz her ana bilgisayarı öğrenir. Ve socks5h biçim ve proxy tarafındaki çözüm bunu önler, ve onları kullanmak hiçbir şeye mal olmaz.

Hedef adresin yanında neyi sınıflandırır

Adresin itibarı birkaç girdiden biridir. Hedefler ASN'yi ve onun veri merkezi ya da konut etiketini, istemcinin TLS parmak izini, HTTP/2 ayarlarını, başlık sırasını, istek hızını ve gezinmenin biçimini birleştirir. Başsız bir tarayıcıyla yönetilen konut çıkışı, gerçek bir oturumla yönetilen veri merkezi çıkışının geçtiği yerde başarısız olabilir.

Çıkış türü, trafik hakkında dürüstçe ne söyleyebileceğinizi belirler ve her biri farklı bir maliyet taşır.

Paylaşılan bir çıkış tarafsız değildir. O adresten çalışan diğer her şey aynı itibar kovasına düşer ve başka kiracılar tarafından çoktan yakılmış bir adres, ilk isteğiniz okunmadan önce başarısız olur.

Bir politikada tanımlayabileceğiniz bir çıkış seçin

Yararlı soru adresi nasıl saklayacağınız değil, ondan çıkan trafikten kimin sorumlu olduğudur. Her görev için kendi bulut çıkışınız, veri işleme anlaşması ve yayımlanmış saklama süresi olan sözleşmeli bir sağlayıcı ve her görev için tek kimlikli kendi barındırdığınız bir VPN — hepsi tek bir cümleyle tanımlanabilir. Ücretsiz bir liste değil, çünkü operatörünün size karşı hiçbir yükümlülüğü yok ve günlük tutmak için her teşviki var.

Kendi hız sınırlarınızı hedefin tolere ettiğinin altında tutun ve yalnızca görevin ihtiyaç duyduğu alanları toplayın, böylece bir hata küçük kalsın. Bir engelden kaçmak için daha hızlı döndürmek genellikle ona neden olan istek hızını artırır.

Yazın seçilen çıkışı, döndürme penceresini ve sahibini ilk çalıştırmadan önce iş yapılandırmasına. Engel geldiğinde, o not çıkışı mı yoksa davranışı mı değiştirmeniz gerektiğini size söyleyen şeydir.