Limites da Deteção de VPN: O Que um Sinalizador de Rede Pode Dizer
Um sinalizador de VPN, Tor, ou centro de dados do Watch-IP é uma correspondência com uma lista mantida, não uma análise comportamental em tempo real — indica que o IP da ligação correspondeu a uma rede conhecida dessa categoria à data da última atualização da lista. False significa que não houve correspondência na lista atualmente carregada, não uma ligação com limpeza verificada, e a cobertura difere significativamente entre IPv4 e IPv6.
Como funciona a deteção baseada em listas
O Watch-IP verifica um endereço IPv4 ou IPv6 em ligação em relação a listas mantidas separadamente para nós de saída Tor, fornecedores comerciais de VPN, redes de centro de dados/alojamento, intervalos ou ASN de ameaça conhecidos, e operadores de rede sancionados pelo Estado. Uma correspondência define o campo correspondente (isTor, isVpn, isDatacenter, isThreat, isSanctionedNetwork) como true. Isto só funciona para redes que constem de uma lista que o Watch-IP tenha carregado — não consegue detetar um serviço de VPN ou proxy que não conste de nenhuma lista, por muito bem que funcione tecnicamente.
False, omitido, e true significam coisas diferentes
Um objeto security omitido significa que o seu plano não inclui de todo estes dados — não que a ligação foi verificada e considerada limpa. Um valor false num campo incluído significa que não houve correspondência nas listas atualmente carregadas, o que é uma afirmação mais fraca do que "seguro": a cobertura das listas é inerentemente incompleta, e um fornecedor de VPN novo ou pequeno pode ainda não estar listado. Nunca apresente um resultado não avaliado ou false como "Limpo", "Seguro", ou "Verificado" — estas palavras afirmam mais certeza do que uma correspondência em lista consegue sustentar.
O IPv6 tem uma lacuna de cobertura real
As ligações IPv4 são verificadas em relação às cinco categorias. As ligações IPv6 são verificadas em relação a tudo exceto Tor — atualmente não existe nenhuma fonte gratuita de lista de saída Tor para IPv6, pelo que isTor é sempre false para uma ligação IPv6, quer seja ou não efetivamente um nó de saída Tor. Se a sua lógica de revisão depender de isTor, um visitante em IPv6 obtém uma verificação estruturalmente diferente (mais fraca) do que um visitante em IPv4, e não apenas um resultado diferente.
O que estas listas não cobrem
Os serviços de proxy residencial — que encaminham o tráfego através de endereços IP reais de consumidores em vez de um centro de dados — são um problema de deteção substancialmente mais difícil do que a VPN comercial ou o Tor, e as listas atuais não os cobrem. Os endpoints de pesquisa de IP arbitrário (GET/POST /v1/lookup) não devolvem este bloco de todo; é uma capacidade de GET /v1/geo associada ao navegador em ligação, não algo que possa pedir para um IP armazenado ou fornecido.
Uma política de revisão cautelosa
Trate isVpn ou isDatacenter como uma entrada para uma fila de revisão manual, junto com o histórico da conta e outros sinais — não como base única para um bloqueio automático. Utilizadores legítimos utilizam VPN e redes partilhadas por motivos comuns (preferência de privacidade, rede empresarial, viagem), pelo que uma política que bloqueia diretamente com base num único sinalizador irá rejeitar clientes reais. Combinar um sinalizador de rede com um segundo sinal no mesmo evento, como uma correspondência de e-mail descartável, é uma base mais defensável para encaminhar para revisão do que qualquer um dos sinais isoladamente.
O que este artigo não afirma
Isto descreve a implementação baseada em listas do próprio Watch-IP, não uma afirmação geral sobre o que a deteção de VPN pode alcançar em todo o setor. O Watch-IP não deteta proxies residenciais, não verifica identidade, e as suas listas são atualizadas periodicamente (armazenadas no nosso próprio armazenamento) em vez de continuamente — uma atualização lenta ou falhada degrada para dados obsoletos ou vazios, o que se lê da mesma forma que "sem correspondência".
Fontes
Escrito pela equipa editorial do Watch-IP, 6 de setembro de 2026. Revisto com base em apps/api/src/lib/threat-store.ts e apps/api/src/lib/threat-sources.ts.