降低 VPN 检测误报:实用指南
当某个 IP 地址被标记为 VPN、代理或匿名器,而其背后其实是普通用户时,就出现了 VPN 检测误报,最常见的原因是共享地址、云托管的出口点和过期的列表数据。降低误报,主要在于理解标志究竟意味着什么,并决定你的应用如何处理它。
为什么合法流量会被标记
VPN 检测是推断,而不是观察。服务只能看到一个源地址,必须据此猜测该地址属于什么类型的网络。有两种主要技术:将地址与已公布的已知 VPN 和 Tor 出口节点列表进行匹配,以及查看该地址所在网络由谁运营。两者都可能以可预见的方式出错。
第一个误差来源是地址共享。运营商级 NAT 使 ISP 能让成千上万的订户共用一小批公网地址,许多公司、大学和酒店也用普通 NAT 做同样的事。从外部看,一个地址会产生大量来自许多人的无关会话,而当你手上只有请求日志时,这恰恰就是商业 VPN 出口的样子。因此,依据流量或每个地址对应多个不同账户而触发的行为启发式规则,会在完全正常的网络上误报。
第二个来源是托管。企业用户经常通过安全 Web 网关、云代理或零信任服务访问互联网,其出口地址位于数据中心网络内。使用公司 VPN 的远程办公人员(这是一种合法而常见的安排)看起来像是来自该数据中心。把每个数据中心地址都视为可疑的规则,会把这些人和滥用者一并抓住。第三个来源是时间:VPN 服务商释放某个地址,另一个租户接手,而未刷新的列表仍在报告旧的状态。
看网络,而不只是看标志
布尔值是一次查询中信息量最少的部分。ipto 的 IP 查询返回 is_vpn、is_tor、is_abuser、is_datacenter 以及 bogon 和 bogon_type 字段,同时还有运营该地址的 ASN 和组织。这些字段应当结合起来阅读。is_datacenter 为 true 而 is_vpn 为 false 的地址,属于托管网络,但未匹配任何已知的 VPN 来源;这与匹配到已公布的出口列表是不同的情形,你的策略可以区别对待。
VPN、Tor 与代理检测器会针对单个地址显示同样的证据,包括网络以及是哪个来源产生了匹配,这在你调查用户称自己被不公平拦截的具体投诉时很有用。在归属方面,ASN 查询能告诉你运营方是住宅 ISP、移动运营商、大学还是云服务商。如果被标记的地址解析为消费级 ISP,那么对 VPN 结论就应比对托管服务商上的同一结论更加怀疑。
关于列表和 ASN 信号如何结合的背景,文章VPN 检测的工作原理详细讲解了其机制。
设计能容忍错误的策略
误报的最大幅度降低,通常来自改变阳性结果触发的动作,而不是调优检测器。使用 VPN 是合法且普通的;许多人在公共 Wi-Fi 上或为工作而使用。仅凭 VPN 标志就硬性拦截,总会误伤一些合法用户,因此只在风险具体的情形(例如新账户发起的支付)下才使用拦截,其他地方则采用较温和的应对。
- 升级验证而不是拦截。要求额外的验证步骤、添加 CAPTCHA,或延迟高价值操作,而不是直接拒绝请求。
- 组合独立信号。VPN 标志加一次性邮箱域名再加不匹配的电话区域,比其中任何单一项意义更大。欺诈评分检测器就是为此目的,将 IP、电子邮件、电话和 User-Agent 信号合并为单个 0-100 的评分。
- 把已知的加入允许列表。如果你自己的办公室、合作伙伴或客户已知的网关被标记,请记录该范围并将其豁免。定期复查该列表,因为地址会被重新分配。
- 记录原因。存储是哪个字段触发了决定,以便支持团队能够解释,你也能衡量标志被推翻的频率。
- 按计划重新检查。ipto 上的威胁数据源每 6 小时刷新一次,IP 和 ASN 数据集每天刷新一次,因此比这更旧的缓存结论可能已经过时。
了解任何检测器的局限
没有任何列表是完整的,因此否定结果意味着“未知”,绝不是“肯定不是 VPN”。ipto 不检测住宅代理,这类代理通过普通家庭连接路由流量,在设计上就很难与真实用户区分。因此,衡量你自己的误报率很重要:抽样被标记的会话,检查其中有多少其实是合法客户,并调整附加在每个信号上的动作。威胁数据源页面会显示 VPN、Tor 和高风险列表本身,当你想确认某个地址是否真的在已公布的列表上,还是因其他原因被标记时,这很有帮助。
这一切你都无需注册即可尝试:免费层级每天允许 1,000 次请求,API 文档列出了查询端点和响应字段。