Beperkingen van VPN-detectie: wat een netwerkvlag je kan vertellen
Een VPN-, Tor- of datacentervlag van Watch-IP is een match tegen een onderhouden lijst, geen live gedragsanalyse — het vertelt je dat het IP-adres van de verbinding overeenkwam met een bekend netwerk in die categorie op het moment van de laatste verversing van de lijst. False betekent geen match in de momenteel geladen lijst, geen bevestigd schone verbinding, en de dekking verschilt aanzienlijk tussen IPv4 en IPv6.
Hoe detectie op basis van lijsten werkt
Watch-IP controleert een verbindend IPv4- of IPv6-adres tegen apart onderhouden lijsten voor Tor-exitnodes, commerciële VPN-aanbieders, datacenter-/hostingnetwerken, bekende dreigingsbereiken of -ASN's, en door de staat gesanctioneerde netwerkexploitanten. Een match zet het bijbehorende veld (isTor, isVpn, isDatacenter, isThreat, isSanctionedNetwork) op true. Dit werkt alleen voor netwerken die op een lijst staan die Watch-IP heeft geladen — het kan geen VPN- of proxydienst detecteren die op geen enkele lijst staat, hoe goed deze technisch ook werkt.
False, weggelaten en true betekenen iets anders
Een weggelaten security-object betekent dat je abonnement deze data helemaal niet bevat — niet dat de verbinding is gecontroleerd en schoon is bevonden. Een waarde false bij een wel opgenomen veld betekent geen match in de momenteel geladen lijsten, wat een zwakkere claim is dan "veilig": de dekking van lijsten is inherent onvolledig, en een gloednieuwe of kleine VPN-aanbieder staat mogelijk nog niet op de lijst. Toon een niet-geëvalueerd of false-resultaat nooit als "Schoon", "Veilig" of "Geverifieerd" — die woorden claimen meer zekerheid dan een lijstmatch kan onderbouwen.
IPv6 heeft een reëel dekkingsgat
IPv4-verbindingen worden tegen alle vijf categorieën gecontroleerd. IPv6-verbindingen worden tegen alles behalve Tor gecontroleerd — er is momenteel geen gratis bron voor een IPv6-Tor-exitlijst, dus isTor is voor een IPv6-verbinding altijd false, ongeacht of het daadwerkelijk om een Tor-exit gaat. Als je beoordelingslogica vertakt op isTor, krijgt een IPv6-bezoeker een structureel andere (zwakkere) controle dan een IPv4-bezoeker, niet alleen een ander resultaat.
Wat deze lijsten niet dekken
Residentiële proxydiensten — die verkeer via echte consumenten-IP-adressen routeren in plaats van via een datacenter — vormen een aanzienlijk lastiger detectieprobleem dan commerciële VPN's of Tor, en de huidige lijsten dekken deze niet. De lookup-endpoints voor willekeurige IP-adressen (GET/POST /v1/lookup) geven dit blok helemaal niet terug; het is een mogelijkheid van GET /v1/geo, gekoppeld aan de verbindende browser, niet iets wat je kunt opvragen voor een opgeslagen of opgegeven IP-adres.
Een voorzichtig beoordelingsbeleid
Behandel isVpn of isDatacenter als één input voor een wachtrij voor handmatige beoordeling naast accountgeschiedenis en andere signalen — niet als enige basis voor een automatische blokkade. Legitieme gebruikers routeren om gewone redenen via VPN's en gedeelde netwerken (voorkeur voor privacy, zakelijk netwerk, reizen), dus een beleid dat direct blokkeert op basis van één enkele vlag wijst echte klanten af. Het combineren van een netwerkvlag met een tweede signaal bij dezelfde gebeurtenis, zoals een match op wegwerp-e-mail, is een beter te verdedigen basis om naar beoordeling te routeren dan elk signaal afzonderlijk.
Wat dit artikel niet beweert
Dit beschrijft de eigen, op lijsten gebaseerde implementatie van Watch-IP, geen algemene claim over wat VPN-detectie sectorbreed kan bereiken. Watch-IP detecteert geen residentiële proxy's, verifieert geen identiteit, en de lijsten worden volgens een schema ververst (opgeslagen in onze eigen opslag) in plaats van continu — een trage of mislukte verversing degradeert naar verouderde of lege data, wat hetzelfde overkomt als "geen match".
Bronnen
Geschreven door de redactie van Watch-IP, 6 september 2026. Getoetst aan apps/api/src/lib/threat-store.ts en apps/api/src/lib/threat-sources.ts.