Bir IP'nin VPN, Proxy veya Tor Olduğu Nasıl Anlaşılır?

Bir IP adresinin arkasında gerçek bir ev abonesi mi, kiralık bir sunucu mu, ticari bir VPN mi yoksa bir Tor çıkış düğümü mü olduğunu bilmek; sahtecilik önleme, kötüye kullanım incelemesi ve lisans kısıtları için belirleyici bir bilgidir. Hiçbir sinyal tek başına kesin sonuç vermez, ama birkaçı bir araya geldiğinde tablo netleşir.

Ayırt edici sinyaller

• ASN ve ağ sahibi — en güçlü tek sinyal budur. Adres bir barındırma/bulut sağlayıcısının otonom sistemine aitse, o adresin arkasında normal bir son kullanıcı olması beklenmez; bir sunucu vardır.
• Tahsis türü — RIR kayıtlarındaki tanım (veri merkezi bloğu mu, geniş bant erişim bloğu mu) çoğu zaman doğrudan yazar.
• Ters DNS (rDNS) adı — vpn, exit, proxy, tor, node gibi kelimeler ya da barındırma firmasının şablon adlandırması güçlü ipuçlarıdır.
• Tor dizin verisi — Tor ağı çıkış düğümlerinin listesini açıkça yayımlar; bu, kesin doğrulanabilen tek kategoridir.
• Açık proxy portları — 1080, 3128, 8080 gibi portlarda kimlik doğrulamasız hizmet, adresin açık proxy olarak kötüye kullanıldığına işaret eder.
• Coğrafi tutarsızlık — hesabın saat dilimi, dil ayarı ve alışkanlıkları ile IP konumu arasındaki sert uyuşmazlık.
• Kara liste geçmişi — aynı adresin tarama, kaba kuvvet veya spam kayıtlarıyla defalarca raporlanmış olması.

Kategoriler ve tespit zorlukları

Veri merkezi proxy'leri ve ticari VPN'ler ASN üzerinden yüksek isabetle tespit edilir. Tor, yayımlanan çıkış listesi sayesinde neredeyse kesindir. Asıl zor kategori konut (residential) ve mobil proxy'lerdir: bunlar gerçek abonelerin bağlantılarını kullanır, dolayısıyla ASN normal bir ISP'yi gösterir. Burada tek bir isteğe bakarak karar veremezsiniz; tek bir hesabın kısa sürede çok sayıda farklı abone adresinden görünmesi gibi davranışsal örüntülere bakmak gerekir.

Yanlış pozitiflere dikkat

• Kurumsal VPN'ler — meşru çalışanlar şirketin veri merkezi çıkışından bağlanır ve "veri merkezi" olarak görünür.
• Gizlilik röleleri — büyük platformların özel röle hizmetleri, sıradan kullanıcıları da sunucu adreslerinin arkasına yerleştirir.
• CGNAT — mobil operatörlerde binlerce abone tek adresi paylaşır; birinin kötü davranışı hepsini etkiler.
• Bulut tabanlı tarayıcılar ve önizleme botları — mesajlaşma ve e-posta uygulamalarının bağlantı önizlemeleri veri merkezinden gelir.

Doğru politika: engellemek değil, kademelendirmek

VPN veya veri merkezi tespiti tek başına bir kötüye kullanım kanıtı değildir; kullanıcıların meşru gizlilik tercihleri de olabilir. Pratikte en iyi sonucu veren yaklaşım kademeli sürtünmedir: girişte ek doğrulama isteyin, ödeme veya para çekme gibi yüksek riskli işlemleri geciktirin, deneme hesabı açılışına sınır koyun. Sert engellemeyi yalnızca kanıtın güçlü ve tekrarlanabilir olduğu durumlarda — örneğin aktif tarama yapan bir veri merkezi adresi — uygulayın.

IP-DB ile hızlı değerlendirme

IP-DB.com bir sorguda ASN'yi, ağ sahibini, tahsis aralığını, ters DNS kaydını ve adresin geçtiği kara liste kayıtlarını birlikte gösterir. Bu dört veri, önünüzdeki adresin bir ev bağlantısı mı yoksa kiralık altyapı mı olduğunu ayırt etmek için çoğu durumda yeterlidir. Tek bir adresin VPN, proxy veya Tor olup olmadığını ve risk puanını IP risk puanı ve fraud kontrolü sayfası tek adımda gösterir. Toplu inceleme için aynı kontrolleri toplu sorgu ekranından veya API üzerinden çalıştırabilirsiniz.