Proxy, VPN và địa chỉ dân cư: trang web biết và không biết gì
Mọi trang web đều thấy địa chỉ mà một yêu cầu đến từ đó. Việc nó quyết định gì về địa chỉ ấy là chuyện khác, và hai điều này bị nhầm lẫn liên tục. Bài này tách những gì máy chủ có thể quan sát khỏi những gì một nhà cung cấp phát hiện bán ra.
Máy chủ quan sát được gì
Máy chủ thấy một địa chỉ nguồn và một cổng. Từ địa chỉ, nó có thể suy ra bằng tra cứu một vị trí gần đúng, tổ chức sở hữu dải địa chỉ (ASN), và dải đó đăng ký cho một ISP dân dụng, một công ty hosting, một nhà mạng di động hay một trường đại học. Nó cũng thấy chi tiết bắt tay TLS, các header HTTP mà máy khách gửi và thời gian của kết nối. Đó là toàn bộ bằng chứng trực tiếp.
Tra cứu bổ sung gì
Các cơ sở dữ liệu thương mại phân loại dải địa chỉ: “dân cư”, “trung tâm dữ liệu”, “lối ra VPN đã biết”, “lối ra Tor”, “di động”. Chúng được xây từ dữ liệu đăng ký công khai, từ các mẫu lưu lượng và từ danh sách các lối ra mà nhà cung cấp VPN công bố hoặc đã được quan sát. Các trang web mua quyền truy cập các cơ sở dữ liệu này và hỏi chúng về từng khách truy cập. Phán quyết “Proxy: có” trên một số trang chẩn đoán là câu trả lời cho câu hỏi đó; đó không phải điều trình duyệt nói, và nó chỉ tốt bằng cơ sở dữ liệu đứng sau.
Đó là lý do một công cụ chẩn đoán không truy vấn cơ sở dữ liệu như vậy nên ghi “Chưa kiểm tra” cho các phép kiểm tra proxy, danh sách đen và ẩn danh thay vì đoán. Chỉ đoán từ tín hiệu trình duyệt thì sai đủ thường xuyên để gây hiểu lầm.
Proxy, VPN và dân cư, nhìn từ phía máy chủ
Một VPN mang toàn bộ lưu lượng của thiết bị, nên các yêu cầu HTTP, gói WebRTC và truy vấn DNS của trình duyệt đều thoát ra từ cùng một nơi. Máy chủ thấy một địa chỉ nhất quán, thường nằm trong dải mà các cơ sở dữ liệu biết là của một nhà cung cấp VPN.
Một proxy cấu hình trong trình duyệt chỉ mang lưu lượng mà trình duyệt gửi qua nó. HTTP đi qua proxy; UDP cho WebRTC có thể không; việc phân giải DNS có thể diễn ra cục bộ hoặc tại proxy tùy loại proxy. Máy chủ có thể thấy địa chỉ của proxy trong yêu cầu và, nếu WebRTC không bị kiềm chế, một địa chỉ khác trong các candidate. Chính sự không nhất quán này, chứ không phải bản thân proxy, mới bị chú ý.
Một địa chỉ dân cư là địa chỉ đăng ký cho một ISP dân dụng. Các cơ sở dữ liệu coi đó là loại ít đáng ngờ nhất vì đó là thứ hầu hết khách truy cập thật có. Các mạng proxy dân cư định tuyến lưu lượng qua những địa chỉ như vậy, đó là lý do chúng được bán giá cao và vì sao các nhà cung cấp phát hiện bỏ công nhận diện chúng qua hành vi thay vì qua đăng ký.
Những phép kiểm tra không cần cơ sở dữ liệu
Ba phép so sánh hoạt động mà không cần nhà cung cấp nào. Múi giờ của trình duyệt có khớp với múi giờ của địa chỉ không? Candidate WebRTC có khớp với địa chỉ yêu cầu không? Danh sách ngôn ngữ có hợp với khu vực không? Không phép nào chứng minh được gì, nhưng mỗi phép đều miễn phí, và sự lệch ở cả ba thì khó giải thích. Một công cụ chẩn đoán hiển thị chúng cạnh nhau đang cho bạn cùng góc nhìn mà một trang web có được trước khi nó tốn tiền cho một lần tra cứu.
Điều cần mang theo
Địa chỉ là một sự thật. Sự phân loại là một ý kiến từ một cơ sở dữ liệu bạn không thấy được. Sự nhất quán giữa địa chỉ và mọi thứ khác mà trình duyệt báo là phần bạn kiểm soát, và là phần đáng kiểm tra.
