Límites de la detección de VPN: qué puede decirte una marca de red

Cómo funciona la detección basada en listas

Watch-IP compara una dirección IPv4 o IPv6 de conexión con listas mantenidas por separado de nodos de salida Tor, proveedores comerciales de VPN, redes de centros de datos/hosting, rangos o ASN de amenazas conocidas y operadores de red sancionados por algún estado. Una coincidencia establece el campo correspondiente (isTor, isVpn, isDatacenter, isThreat, isSanctionedNetwork) en true. Esto solo funciona para redes que aparecen en una lista que Watch-IP haya cargado; no puede detectar un servicio de VPN o proxy que no esté en ninguna lista, por bien que funcione técnicamente.

False, omitido y true significan cosas distintas

Un objeto security omitido significa que tu plan no incluye estos datos en absoluto, no que la conexión se comprobó y resultó limpia. Un valor false en un campo incluido significa que no hubo coincidencia en las listas actualmente cargadas, lo cual es una afirmación más débil que «segura»: la cobertura de las listas es inherentemente incompleta, y un proveedor de VPN nuevo o pequeño puede no estar aún incluido. Nunca muestres un resultado no evaluado o false como «Limpio», «Seguro» o «Verificado»; esas palabras afirman más certeza de la que una coincidencia de lista puede respaldar.

IPv6 tiene una brecha de cobertura real

Las conexiones IPv4 se verifican contra las cinco categorías. Las conexiones IPv6 se verifican contra todas menos Tor: actualmente no existe ninguna fuente gratuita de lista de nodos de salida Tor para IPv6, por lo que isTor siempre es false para una conexión IPv6, sea o no realmente un nodo de salida Tor. Si tu lógica de revisión se ramifica según isTor, un visitante de IPv6 recibe una comprobación estructuralmente distinta (más débil) que uno de IPv4, no solo un resultado distinto.

Lo que estas listas no cubren

Los servicios de proxy residencial, que enrutan el tráfico a través de direcciones IP de consumidores reales en lugar de un centro de datos, son un problema de detección notablemente más difícil que las VPN comerciales o Tor, y las listas actuales no los cubren. Los endpoints de búsqueda de IP arbitraria (GET/POST /v1/lookup) no devuelven este bloque en absoluto; es una capacidad de GET /v1/geo ligada al navegador que se conecta, no algo que puedas solicitar para una IP almacenada o proporcionada.

Una política de revisión prudente

Trata isVpn o isDatacenter como una señal más para una cola de revisión manual junto con el historial de la cuenta y otras señales, no como base única para un bloqueo automático. Los usuarios legítimos usan VPN y redes compartidas por motivos ordinarios (preferencia de privacidad, red corporativa, viajes), así que una política que bloquee sin más ante una sola marca rechazará a clientes reales. Combinar una marca de red con una segunda señal en el mismo evento, como una coincidencia de correo desechable, es una base más defendible para enviar a revisión que cualquiera de las dos señales por separado.

Lo que este artículo no afirma

Esto describe la implementación propia de Watch-IP basada en listas, no una afirmación general sobre lo que la detección de VPN puede lograr en toda la industria. Watch-IP no detecta proxies residenciales, no verifica identidad, y sus listas se actualizan según un calendario (almacenadas en nuestro propio almacenamiento) en lugar de de forma continua; una actualización lenta o fallida degrada a datos obsoletos o vacíos, que se leen igual que «sin coincidencia».

Fuentes

• Tor Project — lista masiva de nodos de salida