Cách hoạt động của việc phát hiện VPN và proxy, và nó thất bại ở đâu
Danh sách IP, API uy tín và dấu vân tay thất bại theo những cách khác nhau. Hãy quyết định bạn đang chặn lạm dụng nào, đo tỷ lệ dương tính giả, rồi thực thi bằng mã lý do.
Khi ai đó hỏi làm sao chặn người dùng VPN, ba yêu cầu khác nhau đang ẩn trong câu: ngăn gian lận, ngăn cào dữ liệu, hoặc thực thi ranh giới giấy phép. Mỗi yêu cầu chịu một tỷ lệ lỗi khác nhau, và không yêu cầu nào được trả lời bằng việc biết một địa chỉ có thuộc đường hầm hay không. Thứ mà một bộ phân loại trả về là xác suất về hạ tầng, không phải phát biểu về người đang dùng nó.
Bộ phân loại IP thực sự tính toán điều gì
Hầu hết dịch vụ kết hợp bốn nguồn dữ liệu, và chúng lão hóa với tốc độ khác nhau. Danh sách lối ra Tor đến từ đồng thuận thư mục và gần như đầy đủ chừng nào nó còn tồn tại. Danh sách proxy mở chỉ một phần và lỗi thời trong vài ngày. Danh sách lối ra thương mại tụt lại sau các nhà cung cấp mới theo thiết kế, vì địa chỉ xoay nhanh hơn bất kỳ nhà bán nào có thể quét hết. Suy luận theo dải lưu trữ là tín hiệu rẻ nhất và thô nhất.
Chính cái cuối là nơi sinh ra phần lớn dương tính giả. Lối ra doanh nghiệp, trình duyệt lưu trữ trên đám mây, NAT của khuôn viên và cổng của nhà mạng di động đều trông như lưu trữ hoặc hạ tầng chia sẻ, và mỗi cái đều có thể chứa khách hàng bình thường.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 xóa bỏ mọi sự thoải mái còn lại. Một máy khách có thể có địa chỉ khác nhau cho mỗi kết nối, và nhà cung cấp có thể xoay tiền tố giữa các yêu cầu, nên một quy tắc coi địa chỉ là danh tính lâu bền sẽ trôi xa thực tế trong vài tuần.
Vì sao dấu vân tay giao thức phai nhạt
Khác biệt MSS và thời gian có thể nhận diện một số OpenVPN cấu hình, và kỹ thuật này thực sự mong manh. Tín hiệu phụ thuộc vào tùy chọn người dùng kiểm soát, MTU của đường đi và các hộp trung gian không thuộc sở hữu của bạn. Đổi một mật mã hoặc một giới hạn MSS là dấu vân tay dịch chuyển. Nhà cung cấp phát hành mặc định mới cũng làm điều tương tự với quy tắc của bạn qua một đêm.
Các đầu dò ngược có vấn đề tệ hơn sự mong manh: chúng mang tính thù địch. Quét cổng của khách truy cập thì chậm, dễ bị chặn bởi chính tường lửa doanh nghiệp mà khách hàng của bạn ngồi sau, và khó biện hộ trong một đợt rà soát quyền riêng tư. Ngưỡng độ trễ bắt người dùng ở xa chắc chắn như người dùng đường hầm, nghĩa là quy tắc của bạn thực ra là «chặn người ở xa» với nhãn khác.
Dù chọn gì, bạn phải giải thích được cho nhân viên hỗ trợ lúc 2 giờ sáng. Một tín hiệu không ai mô tả được sẽ thành một lệnh chặn không ai gỡ được. Viết lời giải thích trước khi viết quy tắc, không phải sau khiếu nại đầu tiên.
Danh tính và hành vi đánh bại phỏng đoán về ẩn danh
Giới hạn tốc độ, yêu cầu đăng nhập, kiểm tra thanh toán và hạn mức theo tài khoản xử lý lạm dụng mà không trừng phạt người đọc quan tâm đến quyền riêng tư. Chúng cũng tiếp tục hoạt động khi địa chỉ thay đổi, vì gắn vào thứ mà khách hàng không thể xoay miễn phí.
Nếu hạn chế địa lý là yêu cầu giấy phép, hãy thực thi nó như một chính sách được ghi chép với thông báo lỗi rõ ràng và rà soát định kỳ. Đó là một kiểm soát khác với đoán mò về ẩn danh, và nên được mô tả khác trong văn bản hướng tới khách hàng. Chặn các cổng mà giao thức VPN dùng có thể giảm lạm dụng tự động, nhưng cũng phá vỡ truy cập từ xa hợp pháp và bất kỳ ai quyết tâm đều dễ dàng vượt qua.
Hãy tung ra trước như một phép đo
Chạy bộ phân loại ở chế độ chỉ báo cáo trong vài tuần. So sánh nhóm mà nó sẽ chặn với đăng ký, chuyển đổi và phiếu hỗ trợ, rồi đặt ngân sách dương tính giả trước khi đặt ngưỡng.
Kiểm tra lại trên một tập nhỏ đã biết: kết nối gia đình, nhà mạng di động, lối ra doanh nghiệp và VPN thương mại. Bốn trường hợp phơi bày phần lớn lỗi mà nếu không sẽ đến tay khách hàng, và chúng tốn một buổi chiều.
Giữ tín hiệu thô và quyết định thực thi tách biệt. Ghi điểm ngay cả khi ngưỡng cao, chuyển phần giữa mơ hồ sang hàng đợi con người, và gắn mã lý do cho mỗi lệnh chặn để lần rà soát chính sách sau biết tín hiệu nào xứng đáng có chỗ.
Đường khiếu nại là một phần của kiểm soát
Mọi lệnh chặn tự động cần một đường đi cho con người: địa chỉ liên hệ, thời gian phản hồi được nêu và người sở hữu rà soát có tên. Không có nó, dương tính giả là một khách hàng mất đi trong im lặng và một phiếu hỗ trợ không ai có thể xử lý.
Nói rõ rằng quyền truy cập có thể bị hạn chế, vì sao và cách yêu cầu rà soát. Đánh phiên bản chính sách để hỗ trợ có thể nói quy tắc nào áp dụng vào một ngày cụ thể. Một lệnh chặn bạn không thể giải thích, gỡ hay đo được không phải là kiểm soát; đó là phỏng đoán kèm một dòng nhật ký.