Jak strony internetowe wykrywają proxy i VPN

Nie ma jednego testu "czy to jest VPN?". Strony i dostawcy przeciwdziałania oszustwom łączą wiele niezależnych sygnałów w ocenę ryzyka — często w postaci wyniku oszustwa — im więcej sygnałów się zgadza, tym większa pewność blokady. Zrozumienie stosu ma znaczenie, ponieważ wyjaśnia, dlaczego samo zamienienie adresu IP często nie wystarcza: możesz naprawić jedną warstwę, podczas gdy trzy inne wciąż krzyczą "proxy". Sygnały dzielą się na trzy grupy: co ujawnia adres IP, co ujawniają wycieki oraz co ujawnia twoje oprogramowanie klienckie.

Poniżej znajduje się to, co każda grupa faktycznie sprawdza, mniej więcej w kolejności, w jakiej stosuje to system wykrywania.

Pierwsze i najtańsze kontrole dotyczą adresu. ASN: każdy adres IP należy do autonomicznego systemu, a jeśli ten ASN jest znanym dostawcą hostingu lub chmury, adres IP jest oznaczany jako centrum danych — najsilniejszy sygnał proxy/VPN. Reputacja IP i listy blokujące: komercyjne bazy danych (te, które stoją za IPQS, MaxMind, feedami typu Spamhaus) oznaczają miliony adresów jako znane wyjścia proxy lub VPN, więc wyszukiwanie natychmiast klasyfikuje cię. Otwarte porty: strona może sprawdzić twój adres IP pod kątem otwartych portów proxy (1080, 3128, 8080) — działające proxy odpowiada. Niezgodność GeoIP: jeśli twój adres IP wskazuje jeden kraj, ale strefa czasowa i język przeglądarki wskazują inny, ta niespójność budzi podejrzenia. Prędkość współdzielonego użytku: wiele kont lub ogromna liczba żądań z jednego adresu IP oznacza go jako centrum proxy.

Dlatego tanie darmowe proxy natychmiast zawodzą — są już na każdej liście blokującej — i dlaczego czysty dedykowany adres IP trwa dłużej.

Jeśli adres IP przejdzie, detekcja przechodzi do wycieków. Wyciek DNS, który rozwiązuje się przez twojego dostawcę usług internetowych, kandydat WebRTC ujawniający twój prawdziwy adres lub połączenie IPv6 poza tunelem zdradza prawdziwego ciebie za proxy — zobacz nasz przewodnik po wyciekach. Następnie przychodzi najtrudniejsza warstwa: identyfikacja klienta. Twój odcisk TLS (JA3/JA4) ujawnia oprogramowanie wykonujące żądanie, a handshake, który mówi "Python", podczas gdy twój User-Agent mówi "Chrome", to oczywista sprzeczność. Identyfikacja przeglądarki dodaje canvas, czcionki i więcej.

Lekcja jest szczera i użyteczna: proxy lub VPN zmienia tylko twoją warstwę IP. s4m jest przejrzysty, że jego proxy są z centrum danych, więc przechodzą kontrole ASN, gdzie akceptowalne jest pochodzenie z centrum danych i mogą być utrzymywane w czystości za pomocą dedykowanego IP — ale musisz również zamknąć wycieki i utrzymać swojego klienta w spójności. Pokonanie całej struktury oznacza dostosowanie każdej warstwy, a nie zamianę jednego adresu.