Base de Datos de Nodos de Salida VPN y Tor

Cubre la infraestructura de IP detrás de servicios comerciales de VPN, relés Tor e IPs individuales de alto abuso detectadas mediante múltiples señales de amenaza independientes. La atribución del proveedor de VPN se deriva de datos de propiedad de ASN — cuando un rango de red está registrado directamente a un operador de VPN conocido, se identifica el proveedor. Los rangos alojados en infraestructura compartida (M247, Datacamp, Clouvider) muestran solo el nombre del ISP, ya que decenas de servicios de VPN coexisten en esos ASN y atribuir a un único proveedor sería engañoso.

Cada entrada de esta base de datos proviene de uno de cuatro pipelines de clasificación. Las entradas de varios pipelines se deduplican por prioridad de origen: los nodos de salida Tor tienen prioridad sobre los rangos de VPN, que a su vez tienen prioridad sobre la inteligencia de amenazas general. El resultado es una única clasificación canónica por IP, no filas duplicadas entre categorías.

Definiciones de columnas

IP / CIDR

Rango de red o IP individual. Una notación CIDR como 185.220.101.0/24 significa que toda la subred /24 es infraestructura confirmada de VPN o Tor — no un único host marcado dentro de ella.

Proveedor

El servicio de VPN vinculado a este rango mediante la propiedad de ASN. Solo se completa cuando el ASN está registrado exclusivamente a un operador de VPN. Los ASN de hosting compartido dejan esto en blanco; la columna ISP muestra el operador de red real.

ISP

El sistema autónomo (AS) que anuncia este bloque de IP mediante BGP. Para ASN propiedad del proveedor, coincide con el proveedor. Para infraestructura alquilada, muestra la empresa de hosting (p. ej. M247, Zenlayer, Serverius).

País

El país donde este bloque está registrado o enrutado. Para nodos VPN y Tor, esta es la ubicación del servidor, no del usuario detrás. Los operadores eligen jurisdicciones deliberadamente por razones legales y de enrutamiento.

Clasificación

VPN — rango de salida VPN comercial confirmado. Nodo de salida Tor — enruta el tráfico del circuito Tor a internet público; las conexiones originadas aquí ya han salido de la red de anonimato. Relay Tor — solo salto interno de la red; no inicia conexiones externas. Inteligencia de amenazas — IP individual corroborada por 3 o más listas de bloqueo independientes.

Cómo funciona la clasificación

El pipeline ejecuta cuatro feeds simultáneos y luego fusiona los resultados en una única entrada canónica por IP. Cuando una IP aparece en varias categorías, la prioridad de clasificación es: Salida Tor > Rango VPN > Inteligencia de amenazas > Relay Tor. Esto evita el doble conteo y garantiza que prevalezca la etiqueta más relevante para la seguridad.

Las entradas de inteligencia de amenazas requieren corroboración multi-feed: solo se incluyen las IP marcadas por 3 o más listas de bloqueo independientes. Las marcas de una sola fuente se excluyen para reducir falsos positivos de feeds obsoletos o de baja calidad.

Casos de uso

Control de acceso

Bloquea o marca registros, inicios de sesión y compras originados desde nodos de salida VPN y Tor. Reduce contracargos, relleno de credenciales y fraude de cuentas cuando la identidad real importa.

Higiene de analítica

Filtra el tráfico de VPN y Tor de los pipelines de analítica de producto. Un solo usuario avanzado que alterna nodos de salida VPN puede inflar el recuento de sesiones y distorsionar significativamente los embudos de conversión.

Puntuación de fraude

Se integra en una señal de riesgo compuesta junto con comprobaciones de velocidad, huella digital del dispositivo y patrones de comportamiento. Una sola detección de VPN no es fraude — combinada con otras señales, cambia sustancialmente la probabilidad.

Operaciones de seguridad

Enriquece eventos SIEM y registros WAF. Una conexión entrante desde un nodo de salida Tor o una IP conocida de inteligencia de amenazas justifica un mayor escrutinio independientemente de la carga útil.

Proveedores de VPN con atribución directa de ASN (19 identificados)

La atribución es de mejor esfuerzo. Los proveedores que alquilan espacio de IP de empresas de hosting compartido aparecen bajo el ISP de hosting. La cobertura completa de VPN requiere enumeración activa de servidores, lo cual va más allá de lo que los datos de BGP/ASN por sí solos pueden respaldar. La lista anterior representa únicamente correspondencias operador-ASN confirmadas.

Fuentes de inteligencia

Rangos de VPN

Lista CIDR derivada de BGP de rangos conocidos de servidores VPN, construida a partir del análisis de enrutamiento y la enumeración activa de servidores. Actualizada continuamente por la comunidad.

Nodos de salida Tor

Lista oficial masiva de nodos de salida del Tor Project — el registro autorizado de IP que pueden originar tráfico de salida Tor en cualquier momento.

Nodos de relay Tor

Registro completo de relays Tor, incluyendo huella del relay, dirección IP y puerto OR. Cubre relays internos de la red que no aparecen en la lista de salida.

Inteligencia de amenazas

Agregador de listas negras de múltiples fuentes. Cada feed contribuyente funciona de forma independiente; una IP que supera el umbral de 3 feeds ha sido confirmada como hostil por varias organizaciones sin coordinación entre ellas.