Máy chủ của bạn thấy lối ra VPN, không phải người truy cập

Một người truy cập kết nối qua VPN thương mại và ứng dụng của bạn ghi lại địa chỉ ra. Đó không phải danh tính ẩn: đó là địa chỉ nguồn duy nhất mà kết nối TCP có. Mọi thứ khác mà người ta gọi là phát hiện đều là suy luận đặt lên trên một sự thật duy nhất đó.

Một yêu cầu thực sự mang theo gì

Ứng dụng thấy địa chỉ và cổng nguồn của kết nối, bắt tay đã hoàn tất và các byte mà máy khách chọn gửi. Dưới đường hầm đầy đủ, nguồn đó là lối ra, được chia sẻ bởi mọi người dùng nó. Dưới đường hầm chia tách, yêu cầu có thể đến từ đường hầm hoặc từ kết nối cục bộ tùy theo đích. Nếu máy khách và máy chủ cùng nằm trong một VPN, nguồn là địa chỉ đường hầm bên trong của máy khách, địa chỉ này xác định một điểm cuối chứ không phải một vị trí.

Không trường nào trong một yêu cầu thông thường mang địa chỉ mà máy khách có trước đường hầm. Tiêu đề chuyển tiếp là lời khẳng định của máy khách hoặc của proxy, và có thể bị bỏ qua hoặc làm giả.

Phát hiện là phân loại, và phân loại là phỏng đoán

Các phương pháp thực tế là danh sách các dải VPN và lưu trữ đã biết, độ trễ không khớp với khu vực được tuyên bố, hình dạng traceroute và hành vi tài khoản. Mỗi phương pháp tạo ra một xác suất. VPN doanh nghiệp có thể nằm trên địa chỉ trông như dân cư, proxy dân cư có thể trông như đường dây gia đình, và NAT của nhà mạng có thể trông như một dải lưu trữ.

Chặn một lối ra dùng chung sẽ chặn mọi người dùng không liên quan phía sau nó, biến một quyết định phát hiện thành sự cố ngoài ý muốn. Điểm tin cậy không phải danh tính và không bao giờ nên là đầu vào duy nhất cho quyết định cấm hoặc hoàn tiền.

Nếu bạn sở hữu VPN, bạn có một tín hiệu đáng tin cậy không liên quan gì đến phát hiện: chỉ định một nhóm riêng và đối chiếu nguồn quan sát được với nó. Cách này hiệu quả vì bạn kiểm soát cả hai đầu và có thể ghi lại nhóm đó. Nhưng nó không tổng quát cho những người truy cập mà bạn không quản lý, và nó không còn đáng tin cậy ngay khi nhóm đó được chia sẻ với các dịch vụ khác.

Bằng chứng cục bộ so với bằng chứng phía máy chủ

Trên chính máy đó, một đường hầm là hữu hình: bộ điều hợp ảo, tuyến mặc định trỏ tới thiết bị đường hầm, bộ phân giải đã thay đổi. Mã chạy ở đó có thể liệt kê giao diện và tìm PPP, TAP hoặc trình điều khiển của nhà cung cấp.

Một trang web không thể đọc bất cứ điều gì trong số đó. Cách lách thông thường tải một tài nguyên chỉ được phục vụ từ mạng nội bộ và coi thành công là bằng chứng của việc dùng đường hầm. Thực ra nó kiểm tra khả năng tiếp cận: một đường hầm chia tách, một tệp đã lưu trong bộ nhớ đệm cũ hoặc một proxy chặn đều cho cùng kết quả ở cả hai trạng thái. Bằng chứng cục bộ vẫn là cục bộ.

Chọn các kiểm soát truy cập chịu được sự mơ hồ

Xây dựng kiểm soát truy cập trên danh tính đã xác minh, tình trạng thiết bị và ủy quyền theo từng tài nguyên. Những vị từ đó mô tả ai đang hỏi và họ có thể chạm tới đâu, và chúng vẫn có ý nghĩa dù có hay không có đường hầm. Việc một yêu cầu đến qua VPN là một tín hiệu yếu, tạo ra cả chấp nhận sai lẫn chặn ngoài ý muốn. Giữ bằng chứng và quyết định trong các trường riêng, để một lệnh chặn bị tranh cãi có thứ để xem xét.

Định vị IP là một đầu vào trong số nhiều, và dịch vụ vị trí của trình duyệt có thể dùng Wi-Fi hoặc GPS không bao giờ đi theo đường hầm. Một bản đồ vẫn hiển thị thành phố của người truy cập là bằng chứng về dịch vụ vị trí, không phải bằng chứng rằng đường hầm đã thất bại.

Ghi lại tín hiệu nào đã dẫn dắt mỗi quyết định. Khi khách hàng phản đối một lệnh chặn, bản ghi đó là sự khác biệt giữa một cuộc xem xét và một cuộc tranh cãi.