Verborgener Traffic versteckt sich im Netzwerk. Tracio durchleuchtet es.

IP Intelligence kennzeichnet VPN-, Proxy-, Tor- und Datacenter-Verbindungen serverseitig mithilfe kommerzieller IP-Intelligence-Datenbanken — IP2Location für die VPN-/Proxy-/Tor-Klassifizierung und MaxMind für Geolokalisierung und ASN. Jede wird als klares Netzwerk-Flag statt als Rohwert ausgewiesen, und der datenbankgestützte Ansatz hält die Kennzeichnung präzise, selbst wenn VPN-Anbieter ihre IP-Pools rotieren. 1,75 Milliarden Menschen nutzen inzwischen weltweit VPNs — etwa ein Drittel aller Internetnutzer.

Residential Proxies sind kniffliger als Datacenter-VPNs, weil sie über echte ISP-Adressen laufen — die meisten Websites können sie überhaupt nicht erkennen. Die kommerzielle IP-Intelligence-Datenbank führt sie als eigenen Kanaltyp, und eine so erfasste Verbindung setzt das boolesche Proxy-Feld ohne Rechenzentrums-Marker — genau diese Kombination trennt eine weiterverkaufte Endkundenverbindung von gewöhnlichem Residential-Traffic.

Eine Standortprüfung ist nur dann aussagekräftig, wenn auf dieselbe Frage zwei unabhängige Antworten vorliegen. Die erste ist das Land, auf das die verbindende IP auflöst. Die zweite kommt vom Gerät: Eine WebRTC-Verbindung kann eine Adresse preisgeben, die der Tunnel verbergen sollte, und diese durchgesickerte Adresse löst auf ein eigenes Land auf. Widersprechen sich beide, fügt der Widerspruch dem Risiko-Score neben den Netzwerk-Flags ein kleines Gewicht hinzu — allein deswegen wird der Besuch nicht blockiert. Browser-Zeitzone und Locale werden ebenfalls erfasst, erfüllen aber eine andere Aufgabe: Die Zeitzone ist eine Achse des Geräteprofils, normalisiert, damit zwei Browser-Engines, die dieselbe Zone unterschiedlich benennen, weiterhin zu einem Gerät führen statt zu zweien. Mit dem aus der IP abgeleiteten Standort wird sie nicht verglichen.

Ein VPN- oder Proxy-Flag sagt, dass die Verbindung weitergeleitet wird; es sagt nicht, wo die Person tatsächlich ist. Ab dem Business-Tarif trägt das Event zusätzlich network.realIp — die öffentliche Adresse, die hinter der Weiterleitung beobachtet wird, mit Land und ISP — neben der Adresse, von der die Verbindung eintraf. Ein Besuch, der aus einem Rechenzentrum in einem Land eintrifft, während die Adresse dahinter zu einem Residential-Anbieter in einem anderen gehört, ist ein anderes Risiko als ein Firmen-VPN, dessen zwei Adressen in derselben Stadt liegen. Wenn die beiden Pfade klar über verschiedene Netzwerke austreten, die Adresse hinter der Weiterleitung sich aber nicht bestimmen lässt, hält network.proxyDetected weiterhin fest, dass vor dem Browser eine Weiterleitung sitzt (ab dem Pro-Tarif). Beides wird als Tatsache für Ihre eigenen Regeln gemeldet — Tracio macht daraus keine Sperre.