كيف يعمل كشف VPN: ASN وقوائم الحظر

يعمل كشف VPN بتحديد ما إذا كان عنوان IP يعود إلى شبكة معروفة بترحيل الحركة لأشخاص آخرين، باستخدام مصدرين رئيسيين: رقم النظام المستقل (ASN) للعنوان الذي يُظهر من يشغّل الشبكة، وقوائم الحظر لعناوين VPN والوكلاء وخروج Tor المعروفة. لا يكتمل أي من المصدرين، لذا فالكشف تقدير احتمالي لا إثبات.

سبب إمكانية ذلك أصلًا أن مخرج VPN يجب أن يقيم في مكان ما. تستأجر خدمات VPN التجارية خوادم في مراكز بيانات وتعلن فضاء عناوين من عدد قليل من الشبكات، وتتصرف تلك العناوين بشكل مختلف عن اتصال النطاق العريض المنزلي. ويحاول الكشف التعرف على هذه البصمة.

الإشارة الأولى: نسبة ASN

يقع كل عنوان IP عام داخل كتلة يعلنها نظام مستقل يُعرَّف برقم ASN. تعيد أداة بحث ASN المالك المسجّل والمؤسسة والبلد لرقم مثل AS15169، ويعيد بحث IP الرئيسي asn والمؤسسة نفسيهما مع كل عنوان. فإن كانت المؤسسة شركة استضافة أو منصة سحابية أو CDN، فالعنوان على الأرجح ليس شخصًا في بيته، ويعرض ipto ذلك في الحقل is_datacenter. وإن كانت مزود خدمة إنترنت استهلاكيًا فالعنوان على الأرجح لأسرة أو مشترك محمول. والخلفية مغطاة في ما هو ASN.

دليل ASN قوي في الحالة الشائعة التي يشغّل فيها مزود VPN خوادم في رفوف مستأجرة، لكن له نقطتي ضعف. فكثير من الحركة غير الخاصة بـ VPN تأتي أيضًا من مراكز البيانات: السكربتات وخدمات المراقبة والخروج المؤسسي المشروع والتطبيقات المستضافة سحابيًا. وVPN الذي يخرج عبر مزود إنترنت استهلاكي لا يترك أي بصمة مركز بيانات. لذا فـ ASN افتراض مسبق لا استنتاج.

الإشارة الثانية: القوائم المنشورة

المصدر الثاني هو قوائم العناوين التي سبق تحديدها كنقاط نهاية VPN أو وكلاء أو مرحّلات Tor. Tor أسهل الحالات لأن الشبكة تنشر مرحّلاتها علنًا، لكن قوائم الخروج تتغير بسرعة كما نوقش في لماذا تتقادم قائمة خروج Tor الثابتة. وبالنسبة لـ VPN التجارية، تُجمع القوائم من الملاحظة وبيانات المزودين، وتحتاج إلى تحديث متكرر لأن المزودين يبدّلون الخوادم ويضيفونها باستمرار. وفي ipto تتجدد مصادر VPN وTor وإساءة الاستخدام كل 6 ساعات، وتتجدد مجموعات بيانات IP وASN يوميًا، وتظهر النتائج في is_vpn وis_tor وis_abuser في بحث IP. ويمكنك أيضًا تصفح مصادر التهديدات الأساسية مباشرة.

دليل القوائم أكثر تحديدًا من دليل ASN، لأن العنوان الموجود على قائمة حُدِّد بمفرده. لكنه متأخر: فقد لا يكون خادم أُضيف هذا الصباح على أي قائمة حتى التحديث التالي، وقد تحتفظ القوائم بعناوين أُعيد تخصيصها منذ ذلك لعملاء عاديين.

الجمع بين الإشارتين

يكمّل المصدران أحدهما الآخر. العنوان الموجود في ASN استضافة وعلى قائمة خروج هو VPN أو وكيل بثقة عالية. والعنوان الموجود في ASN استضافة فقط يستحق التعامل بحذر لكن ليس تلقائيًا على أنه VPN. والعنوان المطابق لقائمة لكنه في ASN استهلاكي قد يكون إدخالًا متقادمًا أو مخرجًا سكنيًا. وتمرير عنوان عبر أداة فحص VPN وTor والوكيل يُظهر أي القوائم تطابقت وأي شبكة يعود إليها العنوان، فترى الدليل لا مجرد نعم أو لا.

أين يفوت الكشف

كن صريحًا بشأن النقاط العمياء عند التصميم حول النتيجة:

• الخوادم الجديدة أو المبدَّلة قد لا تُكشف إلى أن تلحق بها المصادر.
• الوكلاء السكنيون يمرّرون عبر اتصالات منزلية حقيقية ويبدون كمستخدمين عاديين. لا يكشفهم ipto؛ راجع كشف الوكلاء السكنيين لمعرفة سبب صعوبة ذلك.
• IPv6: تغطي علامات VPN وTor وإساءة الاستخدام حاليًا نطاقات IPv4، لذا يعيد عنوان IPv6 القيمة false لها بدلًا من تخمين، مع أن ASN والمؤسسة والموقع تعمل.
• شبكات VPN المستضافة ذاتيًا على خادم شخصي في نطاق مزود صغير قد لا تظهر على أي قائمة أبدًا.

تعامل مع النتيجة السلبية على أنها «غير معروف أنه VPN» لا «مباشر بالتأكيد».

استخدام النتيجة بحكمة

معظم مستخدمي VPN مشروعون: موظفون على أنفاق مؤسسية ومسافرون وأناس يهتمون بالخصوصية. وتعمل العلامة بأفضل صورة مدخلًا للمخاطر يطلق استجابة متناسبة مثل خطوة تحقق إضافية أو درجة ثقة أقل أو مراجعة يدوية للإجراءات عالية القيمة، لا حظرًا تلقائيًا. وأنماط ذلك في تقليل الإيجابيات الكاذبة في كشف VPN، وتُظهر أداة درجة الاحتيال كيف يمكن دمج إشارات IP مع أدلة البريد والهاتف وUser-Agent في درجة واحدة من 0 إلى 100.

للتجربة، استدعِ GET https://ipto.to/v1/ip/:ip بعناوين من سجلاتك الخاصة (مجانًا، بلا تسجيل، 1,000 طلب يوميًا) وافحص العلامات بجانب ASN. مخطط الاستجابة في وثائق API.

إجابات مباشرة