Sunucunuz ziyaretçiyi değil VPN çıkışını görür

Bir ziyaretçi ticari bir VPN üzerinden bağlanır ve uygulamanız çıkış adresini kaydeder. Bu gizli bir kimlik değildir: TCP bağlantısının sahip olduğu tek kaynak adresi budur. İnsanların algılama dediği her şey, bu tek gerçeğin üzerine kurulmuş bir çıkarımdır.

Bir istek gerçekte ne taşır

Uygulama bağlantının kaynak adresini ve bağlantı noktasını, tamamlanan el sıkışmayı ve istemcinin göndermeyi seçtiği baytları görür. Tam tünel altında bu kaynak, onu kullanan herkesin paylaştığı çıkıştır. Bölünmüş tünel altında istekler hedefe bağlı olarak tünelden veya yerel bağlantıdan gelebilir. İstemci ve sunucu aynı VPN içindeyse, kaynak istemcinin iç tünel adresidir; bu bir konumu değil bir uç noktayı tanımlar.

Sıradan bir istekte hiçbir alan, istemcinin tünelden önce sahip olduğu adresi taşımaz. Yönlendirme başlığı istemcinin veya bir vekil sunucunun iddiasıdır ve atlanabilir ya da sahteleştirilebilir.

Algılama sınıflandırmadır, sınıflandırma ise tahmindir

Pratik yöntemler bilinen VPN ve barındırma aralıklarının listeleri, iddia edilen bölgeyle uyuşmayan gecikme, traceroute biçimleri ve hesap davranışıdır. Her biri bir olasılık üretir. Kurumsal bir VPN yerleşim gibi görünen adreslerde olabilir, yerleşim vekili ev hattı gibi görünebilir ve operatör NAT'ı barındırma aralığı gibi görünebilir.

Paylaşılan bir çıkışı engellemek, arkasındaki ilgisiz her kullanıcıyı engeller; bu da bir algılama kararını yan hasara dönüştürür. Güven puanı bir kimlik değildir ve asla bir yasaklama veya iade kararının tek girdisi olmamalıdır.

VPN sizin elinizdeyse, algılamayla hiçbir ilgisi olmayan güvenilir bir sinyaliniz vardır: özel bir havuz atayın ve gözlenen kaynağı onunla eşleştirin. Bu işe yarar çünkü iki ucu da kontrol edersiniz ve havuzu belgeleyebilirsiniz. Ancak yönetmediğiniz ziyaretçilere genellenmez ve havuz başka hizmetlerle paylaşıldığı anda güvenilir olmaktan çıkar.

Yerel kanıtlar ile sunucu tarafındaki kanıt

Makinenin kendisinde bir tünel görünür: sanal bir bağdaştırıcı, tünel aygıtına işaret eden varsayılan rota, değişmiş bir çözümleyici. Orada çalışan kod arayüzleri sıralayabilir ve PPP, TAP ya da satıcı sürücüsü arayabilir.

Bir web sayfası bunların hiçbirini okuyamaz. Yaygın geçici çözüm, yalnızca iç ağdan sunulan bir kaynağı yükler ve başarıyı tünel kullanımının kanıtı sayar. Aslında erişilebilirliği test eder: bölünmüş bir tünel, eski önbelleğe alınmış bir dosya veya araya giren bir vekil sunucu her iki durumda da aynı sonucu verir. Yerel kanıtlar yerel kalır.

Belirsizliğe dayanan erişim denetimleri seçin

Erişim denetimini doğrulanmış kimlik, cihaz sağlığı ve kaynak başına yetkilendirme üzerine kurun. Bu yüklemler kimin sorduğunu ve neye ulaşabileceğini tanımlar ve tünel söz konusu olsun olmasın anlamlı kalır. Bir isteğin VPN üzerinden gelip gelmediği, hem yanlış kabullere hem de yan hasarlı engellemelere yol açan zayıf bir sinyaldir. Kanıtı ve kararı ayrı alanlarda tutun, böylece tartışmalı bir engellemenin incelenecek bir şeyi olsun.

IP konum belirleme birkaç girdiden biridir ve tarayıcının konum hizmetleri tüneli hiç izlemeyen Wi-Fi veya GPS kullanabilir. Hâlâ ziyaretçinin şehrini gösteren bir harita, konum hizmetleri hakkında kanıttır; tünelin başarısız olduğunun kanıtı değildir.

Her kararı hangi sinyalin yönlendirdiğini yazın. Bir müşteri bir engellemeye itiraz ettiğinde, o kayıt bir inceleme ile bir tartışma arasındaki farktır.