Kiểm tra khách truy cập VPN: chấm điểm uy tín và độ trễ một cách an toàn
Coi việc phát hiện VPN là một ước lượng có điểm. Thu thập các dữ kiện yêu cầu có thể bảo vệ, đo đường đi theo thời gian và hành động bằng các kiểm tra leo thang có thể đảo ngược thay vì chặn.
Một bảng điều khiển gian lận gắn cờ khách truy cập là VPN, nhà phân tích yêu cầu chặn, và yêu cầu đến với nhóm nền tảng chỉ với một giá trị boolean từ nhà cung cấp. Boolean đó là một ước lượng, và nó sai theo một hướng khác với phép đo độ trễ. Trước khi hành động, hãy tách những gì bản thân yêu cầu chứng minh, những gì dịch vụ uy tín khẳng định và những gì thời gian chỉ gợi ý. Sau đó chọn một phản hồi bạn có thể hoàn tác khi ước lượng hóa ra sai.
Thu thập các dữ kiện yêu cầu bạn có thể bảo vệ
Địa chỉ duy nhất mà máy chủ của bạn biết chắc chắn là peer TCP đã hoàn tất kết nối. Khi một CDN hoặc proxy ngược kết thúc kết nối đó, peer là biên, và địa chỉ khách hàng đi trong một tiêu đề chuyển tiếp chỉ đáng tin khi chính biên của bạn đã thêm nó. Hãy đọc mục mà proxy của bạn đã ghi, không bao giờ đọc chuỗi ngoài cùng bên trái, vì khách hàng có thể gửi bất kỳ giá trị nào ở vị trí đó. Mọi thứ phía sau phải giữ nguyên sự phân biệt đó.
Hai bổ sung rẻ tiền làm cho địa chỉ trở nên có thể xem xét: hệ thống tự trị công bố nó và bản ghi PTR trỏ ngược lại nó. Cả hai mô tả đăng ký chứ không phải hành vi, và cả hai đều có thể tái tạo sau này.
IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5ASN lưu trữ là một gợi ý mạnh chứ không phải phán quyết. Các bộ tập trung VPN doanh nghiệp, đầu ra đám mây và một số mạng đại học cũng nằm trong trung tâm dữ liệu, vì vậy cùng một tín hiệu bắt được đầu ra thương mại cũng bắt được văn phòng hợp pháp. Chỉ giữ địa chỉ trong thời gian việc xem xét cần đến, vì IP là dữ liệu cá nhân trong hầu hết các chế độ bảo mật. Xóa nó theo lịch thay vì giữ vô thời hạn.
Chấm điểm khách truy cập trước khi hạn chế họ
Chạy bất kỳ tín hiệu mới nào trước tiên ở chế độ quan sát. Ghi lại đầu vào và mã lý do, cho mọi yêu cầu đi qua, và so sánh phân bố điểm với các tài khoản bạn biết là hợp pháp. Điều này tạo ra ước lượng dương tính giả trước khi bất kỳ ai mất quyền truy cập, và chính con số đó quyết định một quy tắc có an toàn để bật hay không.
| Signal | What it supports | How it fails | Typical action |
|---|---|---|---|
| Hosting ASN | Traffic likely originated from infrastructure | Corporate VPN and cloud egress look the same | Add weight, not a block |
| Reputation verdict | A vendor's dated classification | Vendors disagree; self-hosted exits look clean | Step-up challenge |
| RTT versus baseline | The path is longer than usual | Anycast, mobile networks, in-country exits | Weak weight only |
| Forwarded header consistency | Whether the edge saw the claimed client | Misconfigured proxies produce noise | Drop the value, do not score it |
Ánh xạ tổng sang ba hành động thay vì hai: cho phép, thử thách leo thang, xem xét thủ công. Chặn vĩnh viễn nên yêu cầu lạm dụng lặp lại được một người xác nhận, vì dương tính giả với một khách công tác doanh nghiệp tốn một phiếu hỗ trợ và một phiên bị mất, trong khi âm tính giả với một yêu cầu gần như không tốn gì.
Giữ tra cứu uy tín ở phía máy chủ và có giới hạn
Gọi dịch vụ uy tín từ backend với thời gian chờ ngắn, lưu phán quyết vào bộ nhớ đệm trong một khoảng cố định, và coi thời gian chờ là không rõ chứ không phải sạch. Không bao giờ đặt khóa API trong mã phía khách hàng, và không bao giờ để tra cứu chặn việc kết xuất trang; một bên thứ ba chậm phải làm giảm điểm chứ không phải trang web.
Lưu đệm theo địa chỉ chứ không theo dải. Phân loại cả một /24 từ một lần tra cứu sẽ lan truyền phán quyết sai đến những người hàng xóm mà bạn chưa bao giờ đo. Ghi lại nhà cung cấp, ngày phản hồi và giá trị phân loại bên cạnh mã lý do, để lần xem xét sau biết phán đoán nào đang có hiệu lực.
Hai nhà cung cấp có thể phân loại cùng một địa chỉ khác nhau trong một ngày, đó là lý do phán quyết thuộc cột bằng chứng chứ không phải cột danh tính. Đây cũng là một quan hệ xử lý: gửi địa chỉ của mọi khách truy cập cho bên thứ ba cần cơ sở pháp lý, quy tắc lưu trữ và một dòng trong thông báo quyền riêng tư.
Đo độ trễ bằng trung vị, không phải một mẫu
Thời gian khứ hồi mô tả đường đi tại thời điểm bạn đo. Một biên anycast gần có thể phục vụ người dùng ở xa, mạng di động thêm độ trễ không liên quan đến địa lý, và đầu ra VPN tại chính quốc gia của khách truy cập trông như cục bộ. Định vị cấp thành phố thường báo cáo trung tâm dữ liệu chứ không phải con người.
Lấy nhiều mẫu và dùng trung vị để một yêu cầu chậm không làm kết quả dịch chuyển. Vòng lặp bên dưới in trung vị của năm mẫu.
for i in 1 2 3 4 5; do
curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3pSo sánh con số với phân bố của những người dùng được biết là tốt thay vì một ngưỡng tuyệt đối, và kết hợp nó với ASN. Hai tín hiệu yếu đồng thuận mạnh hơn từng cái riêng lẻ, nhưng kết luận vẫn là về đường đi chứ không phải ý định, nên nó thuộc về điểm số chứ không phải lệnh cấm.
Quyết định, ghi lại và hoàn tác
Trước khi bật một quy tắc, phát lại một ngày lưu lượng ở chế độ quan sát và đếm điều gì sẽ xảy ra. Lưu đầu vào điểm, mã lý do và phiên bản quy tắc, nhưng chỉ giữ địa chỉ thô cho cửa sổ xem xét. Nếu quy tắc kích hoạt trên một tài khoản hợp pháp, bản ghi nên giải thích lý do mà không cần điều tra lần hai.
Cho mỗi quy tắc công tắc riêng. Khi tỷ lệ hoàn thành leo thang giảm hoặc phiếu hỗ trợ tăng vọt, hãy tắt quy tắc đó và giữ phần còn lại của pipeline chạy; một công tắc dừng toàn cục biến vấn đề tinh chỉnh thành sự cố. Sau thay đổi, theo dõi tỷ lệ hoàn thành thử thách và hàng đợi kháng nghị, không chỉ số lần chặn.
Cuối cùng, giữ phản hồi tương xứng với tổn thất bạn đang ngăn chặn. Trong gian lận quảng cáo, trạng thái VPN là một đại diện yếu cho cú nhấp giả, và các tín hiệu hành vi như mô hình chuyển đổi và tính nhất quán của thiết bị giải quyết thiệt hại thực sự. Một thử thách có thể đảo ngược bảo vệ cả doanh thu và người dùng thật cùng lúc.