Ваш сервер бачить вихід VPN, а не відвідувача

Відвідувач підключається через комерційний VPN, і ваш застосунок записує адресу виходу. Це не прихована особистість: це єдина адреса джерела, яку має TCP-з'єднання. Усе інше, що люди називають виявленням, — це висновок, надбудований над цим єдиним фактом.

Що насправді несе запит

Застосунок бачить адресу й порт джерела з'єднання, завершене рукостискання та байти, які клієнт вирішив надіслати. За повного тунелю це джерело — вихід, спільний для всіх, хто ним користується. За розділеного тунелю запити можуть надходити з тунелю або з локального з'єднання залежно від призначення. Якщо клієнт і сервер перебувають в одному VPN, джерело — це внутрішня адреса тунелю клієнта, яка позначає кінцеву точку, а не місцеположення.

Жодне поле звичайного запиту не несе адреси, яку клієнт мав до тунелю. Заголовок пересилання — це твердження клієнта або проксі, і його можна пропустити або підробити.

Виявлення — це класифікація, а класифікація — це здогад

Практичні методи — це списки відомих діапазонів VPN і хостингу, затримка, що не відповідає заявленому регіону, форми traceroute і поведінка облікового запису. Кожен із них дає ймовірність. Корпоративний VPN може розташовуватися на адресах, що виглядають житловими, житловий проксі може виглядати як домашня лінія, а NAT оператора може виглядати як діапазон хостингу.

Блокування спільного виходу блокує кожного не пов'язаного з ним користувача за ним, що перетворює рішення про виявлення на побічний збій. Оцінка довіри не є особистістю і ніколи не повинна бути єдиним входом для рішення про блокування чи повернення коштів.

Якщо VPN належить вам, у вас є надійний сигнал, який не має нічого спільного з виявленням: виділіть окремий пул і зіставте з ним спостережуване джерело. Це працює, бо ви контролюєте обидва кінці й можете задокументувати пул. Але це не узагальнюється на відвідувачів, якими ви не керуєте, і перестає бути надійним у момент, коли пул використовується спільно з іншими сервісами.

Локальні докази проти доказів на боці сервера

На самій машині тунель видно: віртуальний адаптер, маршрут за замовчуванням, що вказує на тунельний пристрій, змінений резолвер. Код, що там працює, може перелічити інтерфейси й пошукати PPP, TAP або драйвер виробника.

Вебсторінка не може прочитати нічого з цього. Звичайний обхідний шлях завантажує ресурс, який віддається лише з внутрішньої мережі, і вважає успіх доказом використання тунелю. Насправді він перевіряє доступність: розділений тунель, застарілий кешований файл або проксі перехоплення дають однаковий результат в обох станах. Локальні докази залишаються локальними.

Обирайте засоби контролю доступу, які переживуть невизначеність

Будуйте контроль доступу на підтвердженій особистості, стані пристрою й авторизації для кожного ресурсу. Ці предикати описують, хто запитує і чого він може досягти, і залишаються осмисленими незалежно від того, чи задіяний тунель. Чи прийшов запит через VPN — це слабкий сигнал, що дає і хибні допуски, і побічні блокування. Тримайте доказ і рішення в окремих полях, щоб у спірного блокування було що переглянути.

IP-геолокація — один із кількох входів, а служби геолокації браузера можуть використовувати Wi-Fi або GPS, які ніколи не йдуть за тунелем. Карта, яка досі показує місто відвідувача, — це доказ про служби геолокації, а не доказ того, що тунель не спрацював.

Запишіть, який сигнал визначив кожне рішення. Коли клієнт оспорює блокування, цей запис — різниця між перевіркою і суперечкою.