Как отследить пользователя за прокси или впн?

Question

[Роман Богачев]

Цель: отслеживать и блокировать доступ к сайту (показывать заглушку), если пользователь сидит через прокси или VPN.

Понимаю, что надо разбирать MSS и MTU и, исходя из этого, выдавать либо блокировать доступ к сайту, но к большому сожалению не представляю пока как это реализовать.

Поделитесь советами или примерами на этот счет, пожалуйста.

Читал: https://habrahabr.ru/post/216295/ и про p0f

Answer 1

[Владимир Дубровин]

Способов обнаружить прокси достаточно много - по заголовкам Via, X-Forwared-For, Forwarded, измененному заголовку Accept:, по отличным от браузерных алгоритмам кэширования, по лимитным условиям (ограничениям на длину заголовка, URI, максимальный размер запроса), по разбиению запроса на пакеты (где-то весь POST-запрос идет одним пакетом, где-то отдельно идет заголовок включая перевод строки, где-то заголовок исключая). Но имейте ввиду, что за прокси могут сидеть куча легитимных клиентов, особенно корпоративных.

Обнаружить VPN тоже можно, но вы получите очень много фолзов, т.к. фактически технологии подключения типа PPTP, PPPoE, L2TP и различные соединения точка-точка не отличимы от VPN, а клиенты многих провайдеров получают доступ в Internet через такие виды соединения.

Скорее всего, вам нужно не блокировать по технологии подключения, а определять известные диапазоны IP-адресов VPN-провайдеров и прокси-сервисов.

Comments

[Lynn «Кофеман»]

> Способов обнаружить прокси достаточно много
Но все они ненадёжны и определяют только честных людей.

[Владимир Дубровин]

Алексей Тен: все ненадежны, но "честность" касается только заголовков. Остальными методами можно обнаруживать и анонимные и даже SOCKS-прокси.

Answer 2

[Dimonchik]

за прокси - proxyjudge script, он же косвенно и VPN определяет

но дело в том что многие нормальные тоже за прокси сидят, так что только по косвенным методам

Comments

[Роман Богачев]

Спасибо за совет. Почитаю сегодня. Мне не обязательно поголовно выявлять это, в любом случае кто захочет, тот знает как попасть, но отсеять нежелательных клиентов было бы хорошо.

Answer 3

[zooks]

Никак.

Comments

[Роман Богачев]

Вынужден поспорить, но я на это наткнулся буквально за час до написания вопроса, так что это возможно. Сидел на VPN. После, специально проверил через прокси. Отключил WebRTC в браузере, и все-равно мне сайт рекомендовал отключить прокси.

[HoHsi]

Роман Богачев: если прокси публичный, то его IP не секрет, следовательно можно просто добавлять куку всем, кто заходит с этого адреса и писать предупреждение.

[HoHsi]

Роман Богачев: Или вовсе отсекать их фаерволом, или же Nginx'ом отдавать 444

[HoHsi]

Роман Богачев: Последний вариант не очень хорош, если сайт мультиначиональный, так как китай 100% будет к вам ходить через VPN, а следовательно это потеря аудитории и клиентов, так что лучше просто предупреждать

[Роман Богачев]

HoHsi: Публичные прокси выгружаю отдельно и блокирую списками ipset + iptables. Сайт рассчитан только для РФ и стран СНГ, поэтому не страшно. Осуществляю блокировку на уровне NGINX + GeoIP.
Больше конечно же VPN заинтересовало.