Cómo funciona la detección de VPN: ASN y listas
La detección de VPN consiste en decidir si una dirección IP pertenece a una red conocida por retransmitir tráfico de otras personas, usando dos fuentes principales: el número de sistema autónomo (ASN) de la dirección, que muestra quién opera la red, y las listas de bloqueo de direcciones conocidas de VPN, proxy y nodos de salida de Tor. Ninguna de las dos fuentes es completa, por lo que la detección es una estimación de probabilidad y no una prueba.
La razón por la que esto es posible es que la salida de una VPN tiene que estar en algún sitio. Los servicios comerciales de VPN alquilan servidores en centros de datos y anuncian espacio de direcciones desde un puñado de redes, y esas direcciones se comportan de forma distinta a una conexión de banda ancha doméstica. La detección intenta reconocer esa huella.
Primera señal: atribución por ASN
Toda dirección IP pública se encuentra dentro de un bloque anunciado por un sistema autónomo, identificado por un ASN. La búsqueda de ASN devuelve el propietario registrado, la organización y el país de un número como AS15169, y la consulta principal de IP devuelve el mismo asn y la organización con cada dirección. Si la organización es una empresa de alojamiento, una plataforma en la nube o una CDN, es poco probable que la dirección sea la de una persona en su casa, y ipto lo expone como is_datacenter. Si es un ISP de consumo, la dirección es probablemente la de un hogar o un abonado móvil. El contexto se explica en qué es un ASN.
La evidencia del ASN es sólida para el caso habitual, en el que un proveedor de VPN opera servidores en bastidores alquilados, pero tiene dos puntos débiles. Mucho tráfico que no es de VPN también procede de centros de datos: scripts, servicios de monitorización, salidas corporativas legítimas y aplicaciones alojadas en la nube. Y una VPN que sale a través de un ISP de consumo no deja ninguna huella de centro de datos. Por eso el ASN es una hipótesis previa, no una conclusión.
Segunda señal: listas publicadas
La segunda fuente son las listas de direcciones ya identificadas como puntos de salida de VPN, proxies o relés de Tor. Tor es el caso más sencillo porque la red publica abiertamente sus relés, pero las listas de nodos de salida cambian rápido, como se explica en por qué una lista estática de nodos de salida de Tor se queda obsoleta. Para las VPN comerciales, las listas se elaboran a partir de la observación y de datos de los proveedores, y necesitan una actualización frecuente porque los proveedores rotan y añaden servidores constantemente. En ipto los feeds de VPN, Tor y abuso se actualizan cada 6 horas y los conjuntos de datos de IP y ASN a diario, y los resultados aparecen como is_vpn, is_tor e is_abuser en la consulta de IP. También puedes explorar directamente los feeds de amenazas subyacentes.
La evidencia de las listas es más específica que la del ASN, ya que una dirección que figura en una lista fue identificada individualmente. Pero va con retraso: un servidor añadido esta mañana puede no estar en ninguna lista hasta la siguiente actualización, y las listas pueden conservar direcciones que desde entonces se han reasignado a clientes normales.
Combinar las señales
Las dos fuentes se complementan. Una dirección que está en un ASN de alojamiento y en una lista de nodos de salida es una VPN o un proxy con alta confianza. Una dirección que solo está en un ASN de alojamiento merece cautela, pero no ser tratada automáticamente como VPN. Una dirección que coincide con una lista pero está en un ASN de consumo puede ser una entrada obsoleta o una salida residencial. Pasar una dirección por el verificador de VPN, Tor y proxy muestra qué listas coincidieron y a qué red pertenece la dirección, de modo que puedes ver las pruebas y no solo un sí o un no.
Dónde falla la detección
Sé explícito sobre los puntos ciegos cuando diseñes en torno al resultado:
- Los servidores nuevos o rotados pueden pasar sin ser detectados hasta que los feeds se pongan al día.
- Los proxies residenciales pasan por conexiones domésticas reales y parecen usuarios normales. ipto no los detecta; consulta la detección de proxies residenciales para ver por qué es difícil.
- IPv6: los indicadores de VPN, Tor y abuso cubren actualmente rangos IPv4, de modo que una dirección IPv6 devuelve false en ellos en lugar de una conjetura, aunque el ASN, la organización y la ubicación siguen funcionando.
- Las VPN autoalojadas en un servidor personal dentro del rango de un proveedor pequeño pueden no aparecer nunca en ninguna lista.
Trata un resultado negativo como «no se sabe que sea una VPN», no como «definitivamente directa».
Usar el resultado con criterio
La mayoría de los usuarios de VPN son legítimos: empleados en túneles corporativos, viajeros, personas que se preocupan por su privacidad. Un indicador funciona mejor como entrada de riesgo que activa una respuesta proporcionada, como un paso de verificación adicional, una puntuación de confianza más baja o una revisión manual para acciones de alto valor, y no como un bloqueo automático. Los patrones para esto están en reducir los falsos positivos en la detección de VPN, y el verificador de puntuación de fraude muestra cómo las señales de IP pueden combinarse con pruebas de correo, teléfono y User-Agent en una única puntuación de 0 a 100.
Para probarlo, llama a GET https://ipto.to/v1/ip/:ip con direcciones de tus propios registros (gratis, sin registro, 1.000 solicitudes al día) e inspecciona los indicadores junto al ASN. El esquema de la respuesta está en la documentación de la API.