Trang chỉ chặn bạn khi bật VPN? Đây là những gì nó thấy
Việc chặn thường là địa chỉ thoát ra, không phải rò rỉ. Hãy kiểm tra mạng mà lưu lượng của bạn có vẻ đến từ đó, trình phân giải mà trang có thể ghi lại và những gì mã trang biết.
Cửa hàng tải bình thường ở nhà và hiện bức tường «lưu lượng bất thường» ngay khi đường hầm được bật. Một diễn đàn từ chối cho bạn đăng nhập, và một trang phát trực tuyến khẳng định bạn đang ở một quốc gia bạn chưa từng đến. Không điều nào trong số đó cần phần mềm gián điệp. Một trang thấy địa chỉ mà các gói tin của bạn đến từ đó, và với VPN địa chỉ đó thuộc về một trung tâm dữ liệu chứ không phải đường dây tại nhà. Phần lớn những gì được gọi là phát hiện VPN bắt đầu và kết thúc bằng một sự thật đó, phần còn lại là suy luận với tỷ lệ lỗi có thể đoán trước.
Việc chặn bắt đầu từ nơi các gói tin của bạn có vẻ đến từ
Mỗi yêu cầu mang một địa chỉ nguồn, và máy chủ nhận có thể tra nó trong dữ liệu công khai: mạng nào công bố nó, mạng đó có phải nhà cung cấp lưu trữ không, nó đã từng xuất hiện trong danh sách lạm dụng chưa, và cơ quan đăng ký gán quốc gia nào. Không điều nào trong số đó nhận dạng bạn, và tất cả cùng nhau đủ để xếp bạn vào một nhóm.
Hãy nhìn lưu lượng của chính bạn như một người lạ sẽ nhìn. Hai lệnh bao phủ phần lớn bề mặt, và lệnh thứ hai là thứ người ta quên:
curl -sS https://ipinfo.io/json
dig +short TXT o-o.myaddr.l.google.com @ns1.google.comLệnh đầu trả về địa chỉ thoát ra, tổ chức và quốc gia của nó. Lệnh thứ hai trả về địa chỉ của trình phân giải đã đến máy chủ tên của Google; địa chỉ này thường thuộc một mạng khác với đầu ra của bạn, và đó là địa chỉ mà trang thấy nếu nó ghi dữ liệu phía trình phân giải. Khi hai địa chỉ này thuộc các quốc gia khác nhau, một số trang coi sự không khớp đó là đáng ngờ dù cấu hình của bạn không có gì sai.
Khi việc từ chối chỉ bắt đầu sau khi đường hầm được bật, hãy nghi ngờ địa chỉ thoát ra trước tiên. Đổi máy chủ và thử lại trước khi chạm vào trình duyệt. Việc chặn theo bạn qua ba đầu ra của cùng một nhà cung cấp là về dải địa chỉ của nhà cung cấp; việc chặn biến mất trên máy chủ khác là về đúng địa chỉ đó.
Múi giờ, ngôn ngữ và đồng hồ không khớp với địa chỉ
Mã trang có thể đọc múi giờ, tùy chọn ngôn ngữ và cài đặt màn hình của bạn mà không cần bất kỳ yêu cầu cấp quyền nào. Một trình duyệt báo giờ Trung Âu trong khi kết nối đến từ một trung tâm dữ liệu ở Singapore là tín hiệu mạnh hơn địa chỉ đơn thuần, và đó chính là kiểu không khớp mà hệ thống chấm điểm gian lận được xây dựng để nhận ra.
Intl.DateTimeFormat().resolvedOptions().timeZone
navigator.language
Intl.DateTimeFormat().resolvedOptions().localeBa dòng đó trong bảng điều khiển nhà phát triển cho bạn biết trình duyệt của bạn tự nguyện cung cấp gì. Một ứng dụng VPN chỉ có thể thay đổi tuyến đường của bạn và không gì khác, nên hồ sơ bạn mang theo vẫn trong nước trong khi đầu ra của bạn thì không. Ở đây điều quan trọng là tính nhất quán: một laptop được đặt cùng vùng với đầu ra trông bình thường, còn một chiếc mâu thuẫn với chính nó thì không.
Đó cũng là lý do lỗi xảy ra gián đoạn. Nhiều trang không quan tâm, một vài trang chấm điểm, và một trang thành viên quyết định bạn là kẻ gian. Ứng dụng hoạt động đúng trong cả ba trường hợp, vì vậy câu trả lời hỗ trợ quen thuộc, «chắc là trình duyệt của bạn», vừa gây khó chịu vừa đúng một phần.
Mã trang thực sự biết gì về máy của bạn
JavaScript không có API liệt kê các giao diện mạng. Một trang không thể hỏi laptop của bạn có những địa chỉ nào, nên tuyên bố cũ rằng một script đọc địa chỉ LAN của bạn chủ yếu là ký ức thời plugin, khi các điều khiển ActiveX, applet Java và mã gốc khác có thể làm đúng điều đó.
| Signal | What it reveals | Status today |
|---|---|---|
| Source address of the request | Exit network, country, hosting status | Always visible; the main signal |
| Time zone and language | Where the profile claims to be | Readable without permission |
| WebRTC candidates | Local addresses, historically | Host candidates are mDNS-obfuscated by default |
| Interface list | All local addresses | Not available to ordinary JavaScript |
WebRTC là ngoại lệ trung thực đối với «không rò rỉ địa chỉ cục bộ». Việc thu thập ứng viên của nó từng phơi bày địa chỉ cục bộ cho bất kỳ trang nào yêu cầu, và cách sửa là thay ứng viên máy chủ bằng tên mDNS ngẫu nhiên. Mặc định đó đúng trong các trình duyệt hiện tại, nhưng đó là quyết định của trình duyệt chứ không phải bảo đảm của giao thức, nên một bản dựng cũ hoặc cấu hình cứng rắn bật lại ứng viên cục bộ vẫn có thể rò rỉ. Cập nhật trình duyệt giúp bạn ở đây nhiều hơn bất kỳ tiện ích nào.
Nhà cung cấp của bạn thấy tên, không thấy nội dung
HTTPS bảo vệ nội dung của một trang từ đầu đến cuối, và nhà điều hành đường hầm chuyển tiếp các byte đó không thể đọc chúng. Nhà điều hành vẫn có thể thấy địa chỉ bạn đã liên hệ, và trong hầu hết triển khai cả tên máy chủ trong bắt tay, vì tên phải đọc được để kết nối được định tuyến đến đúng trang. Encrypted Client Hello tồn tại chính là để che trường đó, và chỉ hữu ích khi cả ứng dụng và trang đều hỗ trợ.
Phân giải tên là nửa còn lại. Nếu nhà cung cấp của bạn cũng cung cấp trình phân giải, nó thấy mọi tên bạn tra cứu trước khi có bất kỳ kết nối nào. Nếu thiết bị của bạn dùng trình phân giải công cộng qua HTTPS, nhà cung cấp chỉ thấy kết nối đến trình phân giải đó và không gì khác, trong khi chính trình phân giải thấy danh sách.
Một yêu cầu HTTP không mã hóa có thể đọc được bởi nhà điều hành vì cùng lý do nó có thể đọc được bởi mạng khách sạn: không có gì bên trong được mã hóa. Đường hầm chưa bao giờ tuyên bố ngược lại, và nó không sửa lựa chọn của ứng dụng.
Tách «đây là VPN» khỏi «đây là tôi»
Phát hiện rẻ, mang tính xác suất và thường sai. Địa chỉ thoát ra dùng chung bị đánh dấu vì người khác đã lạm dụng chúng, dải địa chỉ doanh nghiệp bị phân loại là lưu trữ, và nhà mạng di động tạo ra kết quả địa lý khiến mọi người ngạc nhiên. Nhận dạng là vấn đề khác: nó cần một liên kết bền vững như tài khoản bạn đã đăng nhập, cookie, chi tiết thanh toán hoặc hai người quan sát so sánh ghi chú.
Hãy quyết định bạn thực sự đang chống lại điều gì. Nếu mục tiêu là đọc một trang, HTTPS đã làm việc đó và đường hầm thay đổi ít. Nếu mục tiêu là ngăn trang biết bạn ở thành phố nào, đầu ra và trình phân giải là những gì quan trọng. Nếu mục tiêu là cắt đứt liên kết với danh tính thật của bạn, tài khoản là điểm yếu, và đổi máy chủ không làm gì với lần đăng nhập bạn vừa dùng.
Một đầu ra mới không đăng xuất bạn khỏi bất cứ thứ gì, và nó không thể xóa những gì một trang đã lưu về tài khoản bạn đã dùng. Vì vậy trình tự thực tế không hào nhoáng: chọn một đầu ra có mạng trông bình thường, giữ hồ sơ trình duyệt nhất quán với nó, cập nhật trình duyệt để các tính năng dễ rò rỉ dùng mặc định hiện đại, và chấp nhận rằng một số ít trang vẫn sẽ đoán sai về bạn.