Проксі, VPN і резидентні адреси: що сайт може і чого не може про вас дізнатися
Кожен сайт бачить адресу, з якої надійшов запит. Що він вирішує щодо цієї адреси — це зовсім інше питання, і їх постійно плутають. Ця стаття відокремлює те, що сервер може спостерігати, від того, що продає вендор детекції.
Що спостерігає сервер
Сервер бачить адресу джерела й порт. За адресою він може отримати, через пошук у базі, приблизне розташування, організацію, якій належить діапазон (ASN), і те, чи зареєстровано діапазон за споживчим ISP, хостинговою компанією, мобільним оператором чи університетом. Він також бачить деталі рукостискання TLS, HTTP-заголовки, надіслані клієнтом, і часові характеристики з'єднання. Це і є всі свідчення з першої руки.
Що додає пошук у базі
Комерційні бази класифікують діапазони адрес: «резидентна», «дата-центр», «відомий вихід VPN», «вихід Tor», «мобільна». Їх будують із публічних реєстраційних даних, із патернів трафіку та зі списків виходів, які публікують VPN-провайдери або які були виявлені спостереженням. Сайти купують доступ до цих баз і запитують їх про кожного відвідувача. Вердикт «Proxy: yes» на деяких діагностичних сторінках — це відповідь на такий запит; це не те, що сказав браузер, і він настільки добрий, наскільки добра база за ним.
Саме тому діагностика, яка не звертається до такої бази, має для перевірок проксі, чорних списків та анонімності писати «Не перевірялося», а не вгадувати. Вгадування лише за сигналами браузера було б помилковим настільки часто, що вводило б в оману.
Проксі, VPN і резидентна адреса — з боку сервера
VPN несе весь трафік пристрою, тож HTTP-запити браузера, пакети WebRTC і DNS-запити виходять з одного місця. Сервер бачить одну сталу адресу, зазвичай з діапазону, який бази знають як належний VPN-провайдеру.
Проксі, налаштований у браузері, несе лише той трафік, який браузер через нього надсилає. HTTP іде через проксі; UDP для WebRTC може не йти; DNS-розв'язання може відбуватися локально або на проксі залежно від типу проксі. Сервер може побачити адресу проксі в запиті й, якщо WebRTC не обмежено, іншу адресу серед кандидатів. Помічають саме цю неузгодженість, а не сам проксі.
Резидентна адреса — це адреса, зареєстрована за споживчим ISP. Бази вважають її найменш підозрілою категорією, бо саме таку мають більшість справжніх відвідувачів. Мережі резидентних проксі спрямовують трафік через такі адреси, тому їх продають за преміальну ціну, і тому вендори детекції витрачають зусилля на виявлення їх за поведінкою, а не за реєстрацією.
Перевірки, яким не потрібна база
Три порівняння працюють без жодного вендора. Чи збігається часовий пояс браузера з часовим поясом адреси? Чи збігається кандидат WebRTC з адресою запиту? Чи відповідає список мов регіону? Жодне з них нічого не доводить, але кожне безкоштовне, а невідповідність у всіх трьох важко пояснити. Діагностика, що показує їх поруч, дає вам той самий погляд, який отримує сайт, перш ніж витратить гроші на пошук у базі.
Що з цього винести
Адреса — це факт. Класифікація — це думка бази, якої ви не бачите. Узгодженість між адресою та всім іншим, що повідомляє браузер, — це частина, яку ви контролюєте, і саме її варто перевіряти.
