Base de données des nœuds de sortie VPN & Tor

Couvre l'infrastructure IP derrière les services VPN commerciaux, les relais Tor et les IP individuelles à forte incidence d'abus détectées par plusieurs signaux de menace indépendants. L'attribution du fournisseur VPN provient des données de propriété ASN — lorsqu'une plage réseau est enregistrée directement au nom d'un opérateur VPN connu, le fournisseur est identifié. Les plages hébergées sur une infrastructure partagée (M247, Datacamp, Clouvider) n'affichent que le nom du FAI, car des dizaines de services VPN coexistent sur ces ASN et une attribution à un seul fournisseur serait trompeuse.

Chaque entrée de cette base de données provient de l'un des quatre pipelines de classification. Les entrées de plusieurs pipelines sont dédupliquées par priorité de source : les nœuds de sortie Tor priment sur les plages VPN, qui priment sur le renseignement de menace général. Le résultat est une seule classification canonique par IP, pas des lignes dupliquées entre catégories.

Définitions des colonnes

IP / CIDR

Plage réseau ou IP individuelle. Une notation CIDR comme 185.220.101.0/24 signifie que tout le sous-réseau /24 est confirmé comme infrastructure VPN ou Tor — pas un seul hôte signalé à l'intérieur.

Fournisseur

Le service VPN lié à cette plage via la propriété ASN. Renseigné uniquement lorsque l'ASN est enregistré exclusivement au nom d'un opérateur VPN. Les ASN d'hébergement partagé laissent ce champ vide ; la colonne FAI indique l'opérateur réseau réel.

FAI

Le système autonome (AS) qui annonce ce bloc IP via BGP. Pour les ASN détenus par le fournisseur, cela correspond au fournisseur. Pour l'infrastructure louée, cela indique la société d'hébergement (par ex. M247, Zenlayer, Serverius).

Pays

Le pays où ce bloc est enregistré ou routé. Pour les nœuds VPN et Tor, il s'agit de l'emplacement du serveur, pas de l'utilisateur derrière. Les opérateurs choisissent délibérément leurs juridictions pour des raisons légales et de routage.

Classification

VPN — plage de sortie VPN commerciale confirmée. Nœud de sortie Tor — achemine le trafic du circuit Tor vers l'internet public ; les connexions issues d'ici ont déjà quitté le réseau d'anonymat. Relais Tor — saut interne au réseau uniquement ; n'initie pas de connexions externes. Renseignement de menace — IP individuelle corroborée par 3 listes de blocage indépendantes ou plus.

Fonctionnement de la classification

Le pipeline exécute quatre flux simultanés, puis fusionne les résultats en une seule entrée canonique par IP. Lorsqu'une IP apparaît dans plusieurs catégories, la priorité de classification est : Sortie Tor > Plage VPN > Renseignement de menace > Relais Tor. Cela évite le double comptage et garantit que l'étiquette la plus pertinente en matière de sécurité l'emporte.

Les entrées de renseignement de menace nécessitent une corroboration multi-flux : seules les IP signalées par 3 listes de blocage indépendantes ou plus sont incluses. Les signalements à source unique sont exclus pour réduire les faux positifs provenant de flux obsolètes ou de faible qualité.

Cas d'usage

Contrôle d'accès

Bloquez ou signalez les inscriptions, connexions et achats provenant de nœuds de sortie VPN et Tor. Réduit les rétrofacturations, le credential stuffing et la fraude de compte lorsque l'identité réelle compte.

Hygiène analytique

Filtrez le trafic VPN et Tor des pipelines analytiques produit. Un seul utilisateur avancé qui change de nœud de sortie VPN peut gonfler le nombre de sessions et fausser significativement les tunnels de conversion.

Score de fraude

Alimente un signal de risque composite avec les contrôles de vélocité, l'empreinte d'appareil et les schémas comportementaux. Une seule détection VPN n'est pas une fraude — combinée à d'autres signaux, elle modifie sensiblement la probabilité.

Opérations de sécurité

Enrichit les événements SIEM et les journaux WAF. Une connexion entrante depuis un nœud de sortie Tor ou une IP connue de renseignement de menace justifie un examen accru quel que soit le contenu.

Fournisseurs VPN avec attribution ASN directe (19 identifiés)

L'attribution se fait au mieux. Les fournisseurs qui louent de l'espace IP à des sociétés d'hébergement partagé apparaissent sous le FAI d'hébergement. Une couverture VPN complète nécessite une énumération active des serveurs, ce qui dépasse ce que les données BGP/ASN seules permettent. La liste ci-dessus ne représente que des correspondances opérateur-ASN confirmées.

Sources de renseignement

Plages VPN

Liste CIDR dérivée du BGP de plages de serveurs VPN connues, construite à partir de l'analyse du routage et de l'énumération active des serveurs. Mise à jour en continu par la communauté.

Nœuds de sortie Tor

Liste officielle en masse des nœuds de sortie du Tor Project — le registre faisant autorité des IP pouvant émettre du trafic de sortie Tor à tout moment.

Nœuds de relais Tor

Registre complet des relais Tor, incluant l'empreinte du relais, l'adresse IP et le port OR. Couvre les relais internes au réseau qui n'apparaissent pas dans la liste de sortie.

Renseignement de menace

Agrégateur de listes noires multi-sources. Chaque flux contributeur fonctionne indépendamment ; une IP qui franchit le seuil de 3 flux a été confirmée hostile par plusieurs organisations sans coordination entre elles.