Como a detecção de VPN e proxy realmente funciona, sinal por sinal

Toda equipe de fraude, abuso e compliance acaba fazendo a mesma pergunta: este endereço IP está escondendo alguma coisa? (Se você quiser primeiro o básico, comece por o que é uma VPN e como detectar tráfego de VPN. Este post vai a fundo na mecânica.) A resposta honesta é que nenhuma verificação isolada consegue dizer. Uma VPN comercial, um proxy SOCKS de datacenter, um proxy residencial alugado de uma botnet e um nó de saída Tor têm aparências diferentes na rede (o panorama dos tipos de proxy cobre cada família), e cada um derrota um método de detecção ingênuo diferente.

Este guia percorre os sinais em que os sistemas de detecção de nível de produção se apoiam, incluindo dois (verificações de latência e modelagem comportamental) que a GeoIPHub não usa. A GeoIPHub monta seus próprios vereditos a partir de sete famílias de métodos de verificação que cobrem o mesmo terreno. Para cada camada, você vai ver o que ela consegue e o que não consegue enxergar, e como os resultados são combinados nos campos de resposta que você realmente usa: is_vpn, is_proxy, is_residential_proxy e is_tor.

Listas de servidores dos provedores

A evidência mais confiável é a mais direta: os provedores de VPN publicam sua infraestrutura de servidores. Os aplicativos precisam de listas de endpoints para se conectar, e muitos provedores expõem APIs oficiais ou pacotes de configuração que listam cada hostname e IP de servidor.

Os sistemas de detecção rastreiam essas fontes continuamente. Quando um IP aparece na lista de servidores publicada da NordVPN ou da Mullvad, a correspondência nomeia o provedor, mas só quando aquele IP exato está em uma lista que temos. Um servidor ausente das listas ainda pode ser pego pelos sinais abaixo e ficar sem nome. É por isso que uma boa API pode retornar não apenas is_vpn: true, mas o próprio nome do provedor, e por isso às vezes ela não retorna nome para um servidor que sinalizou.

A limitação é a cobertura. Listas publicadas só pegam provedores que publicam, o que significa que esta camada é mais forte para as grandes VPNs comerciais, responsáveis pela maior parte do tráfego de VPN de consumidores, e mais fraca para VPNs privadas ou auto-hospedadas.

ASN e infraestrutura de hospedagem

Todo IP pertence a um Sistema Autônomo (AS), a rede que o anuncia para a internet. O ASN diz quem opera a rede, e isso é uma probabilidade a priori poderosa:

• Um IP anunciado pelo AS396982 (Google Cloud) é quase certamente um servidor, não uma pessoa no sofá.
• Um IP anunciado por um ISP residencial (Comcast, Deutsche Telekom, Jio) provavelmente é uma conexão de usuário final.
• Um ASN de hospedagem ou colocation de longa data com histórico de endpoints de VPN eleva a probabilidade a priori de todo IP em seus blocos.

A detecção de datacenter sozinha pega uma parcela enorme das VPNs e proxies, porque a maior parte da infraestrutura de anonimização aluga servidores na nuvem. Mas ela não consegue distinguir um endpoint de VPN de um servidor web comum. Para isso é preciso a próxima camada.

Sondagem ativa de protocolos

Esta é a camada que a maioria dos bancos de dados de consulta pula, e é a diferença entre adivinhar e verificar. Um servidor de VPN precisa responder a handshakes de protocolos de VPN; esse é o trabalho dele. Então um sistema de detecção pode bater na porta e ver quem atende:

• OpenVPN responde a um handshake TLS ou UDP característico na porta em que escuta.
• IKEv2/IPsec responde em UDP 500/4500 com payloads identificáveis.
• PPTP e L2TP respondem às solicitações do canal de controle.
• Proxies SOCKS5 e HTTP completam suas respectivas sequências de saudação.

O WireGuard é a exceção: um servidor fica em silêncio a menos que a primeira mensagem venha de uma chave que ele já conhece, então nenhuma sonda externa consegue confirmá-lo. O método wireguard_open da GeoIPHub vem da lista de servidores publicada pelo provedor marcando aquele servidor como WireGuard, não de um handshake.

Se um IP completa um handshake OpenVPN, ele está rodando OpenVPN. Nenhuma inferência estatística é necessária. A GeoIPHub sonda 8 protocolos e registra exatamente qual handshake teve sucesso, então a evidência por trás de is_vpn é nomeada e auditável.

Aqui, openvpn_open e ipsec_open em detection_methods registram que este endereço respondeu a sondas OpenVPN e IPsec, junto com uma correspondência com dados de servidores de VPN conhecidos. vpn_provider é "none" aqui, então nenhuma marca é atribuída; o veredito se apoia em evidências de protocolo nomeadas, e não em um rótulo de provedor.

A sondagem ativa tem um custo: exige infraestrutura e tempo, e é por isso que ela roda continuamente em segundo plano, e não a cada requisição. Os resultados das sondas ficam em cache e são atualizados para que a API possa responder em milissegundos.

Impressões digitais de portas e serviços

Mesmo quando um handshake completo não é possível, o formato dos serviços abertos de um IP é informativo. Uma conexão residencial normalmente não expõe nada. Um endpoint de VPN expõe um conjunto pequeno e característico de portas. Uma fazenda de proxies expõe painéis de gerenciamento, SSH e portas de proxy em sub-redes inteiras.

A identificação de serviços também pega anonimizadores mal configurados ou sem marca: um servidor que responde na TCP 1080 com um banner SOCKS é um proxy, quer alguma lista diga isso ou não.

Consistência de latência e localização

A geografia deixa impressões digitais na física. Se um IP afirma (pelos dados de registro) estar em São Paulo, mas seus tempos de ida e volta medidos de pontos de observação globais triangulam para Amsterdã, algo está retransmitindo o tráfego. Verificações baseadas em latência são especialmente úteis contra:

• Servidores de VPN com geolocalização falsificada: provedores que anunciam servidores "no Brasil" que ficam fisicamente em Miami.
• Relays GRE/de túnel que encaminham o tráfego para uma localização real oculta.

Esta camada raramente dispara sozinha, mas é um forte elemento de corroboração quando combinada com sinais de hospedagem.

Comportamento de proxies residenciais

Proxies residenciais são a classe mais difícil, porque o IP de saída pertence de fato a um ISP residencial. As verificações de lista passam. As verificações de ASN passam. A sondagem não encontra nada escutando, já que o "servidor" é um SDK enterrado no aplicativo móvel gratuito de alguém.

Por isso a detecção passa da infraestrutura para o comportamento ao longo do tempo:

• O mesmo IP residencial aparecendo como saída em marketplaces de proxy conhecidos.
• Diversidade improvável de sessões: um único IP doméstico apresentando dezenas de impressões digitais de dispositivo por hora.
• Padrões de rotatividade que correspondem à rotação de uma rede de proxies, e não à renovação de DHCP.
• Incompatibilidade de tipo de ISP: IPs de operadoras móveis produzindo volumes sustentados de requisições no estilo de datacenter (o guia para identificar proxies móveis explica por que IPs de operadoras são um caso especial).

É por isso que saídas residenciais ganham um campo separado de is_proxy: a classe de evidência é diferente, e a ação adequada também. Tenha claro o que uma consulta de IP consegue ver aqui. O is_residential_proxy da GeoIPHub é uma inferência grosseira baseada em ASN, não uma observação direta de participação em uma rede de proxies, então trate-o como uma pista, e não como prova. Se o tráfego de ISPs residenciais de repente parecer suspeito nos seus logs, por que proxies residenciais continuam aparecendo no seu tráfego percorre as causas usuais. Uma ocorrência de proxy residencial em um fluxo de checkout é um sinal de fraude muito mais forte do que uma ocorrência de VPN de consumidor.

Dados do diretório Tor

O Tor é o caso fácil, por design. A rede Tor publica seu consenso de relays e nós de saída, atualizado continuamente. Cruzar com a lista pública de saídas produz uma precisão de is_tor quase perfeita, com uma ressalva: o timing. Nós de saída entram e saem, então o diretório precisa ser reingerido em um cronograma apertado, não semanalmente.

Os relays de privacidade são o caso oposto. A Apple publica todos os endereços de saída do iCloud Private Relay, então um relay também pode ser identificado com exatidão, mas, por si só, um relay pertence a allow, não a uma lista de bloqueio. Cobrimos os dois tipos de relay, e por que a Cloudflare não publica uma lista de saídas do WARP, em detecção de iCloud Private Relay e Cloudflare WARP.

Confiança entre sinais

A camada final é a combinação. Cada camada anterior produz evidências com um perfil de confiabilidade diferente:

Um veredito defensável pondera esses sinais em conjunto. Um único sinal de confiança média não deve inverter um booleano; dois sinais independentes de alta confiança devem. Portanto, o que você quer de uma API de detecção são três coisas: os booleanos para decisões de roteamento, os métodos de detecção nomeados para auditabilidade e uma pontuação de risco que expresse o quanto os sinais se corroboram. Os métodos nomeados também são o que um usuário sinalizado por engano precisa: nosso passo a passo sobre por que um IP é sinalizado como VPN ou proxy os lê em endereços reais.

Colocando a detecção de VPN para trabalhar: decida com base em combinações

Três conclusões práticas:

1. Não trate is_vpn como uma lista de bloqueio por si só. Muitos clientes pagantes usam VPNs de consumidor (veja como sinalizar tráfego anonimizado sem afastar clientes reais). Decida com base em combinações: VPN + datacenter + histórico de abuso é uma situação muito diferente de VPN sozinha.
2. Dê muito peso aos sinais de proxy residencial, sabendo que eles são inferidos. Ninguém aluga saídas residenciais por privacidade; a taxa base de uso legítimo é minúscula em comparação com VPNs. Mas uma sinalização residencial no nível do IP é uma inferência grosseira, então combine-a com seus próprios sinais de sessão.
3. Prefira detecção verificada a listas estáticas. Pergunte a qualquer fornecedor como ele sabe que um IP é uma VPN. Se a resposta for "um banco de dados que licenciamos", os dados já estão se degradando. Sondagem ativa e listas de provedores rastreadas continuamente acompanham a rotatividade da infraestrutura.

Você pode ver o resultado de cada camada por conta própria: passe qualquer IP pela ferramenta gratuita de consulta de IP ou teste sua própria conexão VPN, sem cadastro.

Perguntas frequentes

A detecção de VPN pode ser 100% precisa?

Não. A detecção é probabilística. VPNs comerciais com infraestrutura publicada são detectadas com confiança muito alta, enquanto VPNs privadas pequenas em IPs de nuvem recém-alocados são mais difíceis. É por isso que boas APIs retornam evidências por sinal e um nível de confiança em vez de um simples booleano.

Qual é a diferença entre um proxy e uma VPN no nível da detecção?

Uma VPN tunela todo o tráfego na camada de rede e normalmente responde a handshakes de protocolos específicos (OpenVPN, WireGuard, IKEv2) no servidor. Um proxy retransmite tráfego no nível da aplicação (HTTP, SOCKS) e expõe portas e impressões digitais diferentes. Os sistemas de detecção sondam as duas famílias separadamente.

Por que proxies residenciais são tão difíceis de detectar?

Porque o IP de saída pertence de fato a um ISP residencial, então as verificações baseadas em listas e em ASN passam. A detecção depende de evidências comportamentais: o mesmo IP aparecendo em redes de proxy, padrões anormais de reutilização e incompatibilidades entre o tipo de ISP e o tráfego observado.

Bloquear todo usuário de VPN faz sentido para a prevenção de fraudes?

Geralmente não. Muitos usuários legítimos navegam por VPN por privacidade. Um padrão melhor é tratar o uso de VPN como uma entrada ponderada de uma pontuação de risco e só escalar quando ele ocorre junto com outros sinais, como hospedagem em datacenter, histórico de abuso ou viagem impossível.

Quão atualizados os dados de detecção de VPN precisam ser?

Muito atualizados. Provedores de VPN fazem rodízio de servidores diariamente e redes de proxy trocam IPs a cada hora. A detecção apoiada em nova sondagem contínua e em listas de provedores rastreadas de novo continua precisa; conjuntos de dados estáticos se degradam em semanas.