VPN с российским IP: что о вашем адресе видно на самом деле

[poige]

Поднял себе сервер за границей, настроил, всё летает. Зарубежные сайты открываются, скорость нормальная, можно жить. А потом маркетплейс начинает

Откройте для себя split-horizon и перестаньте продавать свою дремучесть, обёрнутую в нейрослоп, как откровение.

[Eldest777]

Про наше государство можно сказать пословицей - С такими "друзьями" и враги не нужны.

[kuza2000]

Вроде бы очень детальная статья, но не раскрыта очень важная тема. Сплит-тунель по списку адресов НЕ РЕШАЕТ все проблемы.

Дело в том, что зарубежные сайты часто спрашивают инфу об адресе у различных сторонних сервисов скриптом на странице. Поэтому, эти сервисы приходится добавлять в список. А потом заходим на страницу какого-нибудь сраного маркетплейса, и ему ничего не мешает спросить эти же сервисы и сделать выводы (

[poige]

ага, всё так. Поэтому логично комбинировать с одновременной обрезкой всяких там трекеров. В любом случае, полного решения тут нет — только постоянное бодание.

[lked]

Справедливо, в статье этого нет: я разбирал, что видно о вашем адресе снаружи, а не то, как сайт может доспросить его скриптом.

Пошёл проверять, и вышло любопытно. С зарубежными сайтами всё складывается само. Прогнал 19 доменов, по которым обычно узнают свой адрес, через снимок российских сетей из каскадной схемы, это 8626 записей. В список попал ровно один сервис, яндексовский. Все остальные вне его, а значит уходят тем же выходом, что и сам сайт, и оба ответа сойдутся.

А вот с российским сайтом ровно ваш случай. Его вы открываете одним выходом, а запрос к сервису определения адреса уходит другим. Дальше уже неважно, какие там адреса: важно, что два ответа не сошлись. В каскаде сайт увидит входной узел, в схеме с WARP адрес Cloudflare, при клиентском списке AllowedIPs вообще ваш домашний.

Добавить эти сервисы в список руками тоже толком не выйдет. Адрес у них зависит от того, кто резолвит. 7 августа api.ipify.org через Google DNS отдал мне три адреса, среди них 104.26.13.205, а через Яндекс DNS совсем другую пару, 8.47.69.0 и 8.6.112.0. Все Cloudflare, но в список попадёт то, что вернул ваш резолвер, а у соседа он вернёт другое. Да и по домену не угадаешь: 2ip.ru, которым обычно и проверяют свой адрес, сам живёт в сети Hetzner, а myip.ru в DigitalOcean. В российскую зону не попадает ни тот, ни другой.

И всё это только про IPv4, оба списка чисто четвёртой версии. Пойдёт ли ваш IPv6 мимо туннеля, зависит от режима AllowedIPs. При полном туннеле, как в гайде по каскаду, его забирает туннель. А при раздельной маршрутизации он идёт напрямую, и тогда адрес видно вообще без скриптов, проверяется через curl -6 ifconfig.co.

Сходится всё только тогда, когда любой запрос, который сайт может связать с вами, уходит одним выходом. То есть когда никакого деления нет. А сплит-туннель ровно ради деления и ставят.

В гайды допишу отдельным пунктом, спасибо. Чего не мерил: насколько часто сайты реально так проверяют. Тут у меня логика, а не числа.