Signaux concrets pour détecter une connexion VPN

Comprendre la détection VPN : bien plus qu’un simple oui/non

Détecter une connexion VPN ne se résume pas à basculer un interrupteur entre « autorisé » et « bloqué ». Côté utilisateur, le VPN est souvent perçu comme un outil de confidentialité. Côté sécurité, conformité ou lutte contre la fraude, il peut aussi signaler un niveau de risque plus élevé, voire une tentative de contourner des restrictions géographiques.

Pour les équipes sécurité, l’objectif n’est donc pas de bloquer mécaniquement tous les VPN, mais de lire les bons signaux, d’évaluer leur poids réel et de décider en connaissance de cause. Voici les principaux indicateurs opérationnels, ce qu’ils permettent vraiment d’établir, et leurs angles morts.

Signal 1: ASN (Autonomous System Number) and Associated Organization Name

Chaque adresse IP appartient à un ASN, contrôlé par une organisation donnée. C’est une brique de base du routage Internet. En analysant l’ASN d’une IP, on cherche essentiellement à répondre à une question : qui détient et opère ce bloc d’adresses IP ?

• Ce que cela prouve : l’ASN identifie de façon fiable l’organisation responsable du routage du trafic associé à cette IP. De nombreux fournisseurs de VPN, opérateurs de datacenters, plateformes cloud (AWS, Azure, Google Cloud) et hébergeurs disposent d’ASN connus et bien documentés.
• Usage pratique : si l’ASN d’une IP renvoie vers "OVH SAS", "DigitalOcean LLC", "M247 Ltd" ou vers un fournisseur de VPN identifié, c’est un indicateur fort d’une infrastructure non résidentielle. Cela ne prouve pas à lui seul qu’il s’agit d’un VPN, mais rend très probable le fait que la connexion provienne d’un environnement d’hébergement plutôt que de la box Internet d’un utilisateur classique.
• Limites : tous les ASN d’hébergement ne servent pas à opérer des VPN. Une entreprise parfaitement légitime peut y héberger ses propres services. À l’inverse, certains petits fournisseurs de VPN peuvent utiliser des ASN qui ne sont pas associés en priorité à ce type d’activité, ou passer par des IP résidentielles via des méthodes moins visibles. Les VPN sur IP résidentielles sont particulièrement difficiles à repérer avec ce seul signal, puisque l’ASN appartiendra alors à un FAI traditionnel.

Signal 2: Reverse DNS (rDNS) Hostname

Le rDNS associe une adresse IP à un nom de domaine, à l’inverse d’une résolution DNS classique. Les administrateurs réseau configurent souvent des enregistrements rDNS pour leurs plages d’adresses IP.

• Ce que cela prouve : le nom d’hôte rDNS peut donner des indices sur l’usage prévu d’une IP ou sur son fournisseur. Des noms comme ec2-xx-xx-xx-xx.compute-1.amazonaws.com, vps.yourhostingcompany.com ou cpe-xx-xx-xx-xx.residentialisp.com correspondent à des schémas fréquents.
• Usage pratique : si le nom rDNS contient des termes comme "vps", "cloud", "hosting" ou le nom d’un fournisseur de VPN connu, cela renforce l’hypothèse d’une connexion non résidentielle, voire d’un VPN. À l’inverse, l’absence d’enregistrement rDNS, ou un rDNS générique et peu parlant, peut constituer un signal faible indiquant que l’IP ne ressemble pas à une connexion résidentielle standard gérée par un FAI classique.
• Limites : le rDNS peut être personnalisé. Un acteur un peu sophistiqué peut configurer une entrée rDNS sur mesure pour paraître plus légitime. Par ailleurs, de nombreux FAI résidentiels utilisent eux-mêmes des enregistrements rDNS génériques : leur présence ne permet donc pas d’exclure l’usage d’un VPN reposant sur des IP résidentielles.

Signal 3: IP Address Range Classification (Hosting, Datacenter, Residential)

Ce signal consiste à classer une adresse IP selon son allocation et ses usages habituels.

• Ce que cela prouve : il indique si l’IP appartient plutôt à un datacenter, à un fournisseur d’hébergement ou à un FAI résidentiel. Cette classification s’appuie généralement sur les données ASN, les informations de routage BGP et l’historique d’utilisation observé.
• Usage pratique : les IP classées comme "datacenter" ou "hosting" sont de bons indicateurs d’une connexion qui ne provient pas d’un utilisateur domestique ou professionnel classique. Les VPN, proxies et nœuds de sortie TOR utilisent presque toujours ce type de plages IP, à l’exception notable des VPN sur IP résidentielles.
• Limites : comme évoqué plus haut, les VPN et proxies résidentiels peuvent contourner cette approche. Ces services font transiter le trafic par des machines d’utilisateurs particuliers, compromises ou consentantes, ce qui donne à l’IP une apparence réellement résidentielle. C’est l’un des principaux angles morts de toute méthode fondée uniquement sur la classification des plages IP.

Signal 4: TOR Exit Node Lists

TOR (The Onion Router) est un réseau d’anonymisation. Le trafic qui en sort passe par des nœuds spécifiques appelés « nœuds de sortie ».

• Ce que cela prouve : si une adresse IP figure dans une liste à jour de nœuds de sortie TOR, cela prouve sans ambiguïté que la connexion sort du réseau TOR. Ici, le signal est net.
• Usage pratique : c’est un indicateur très direct pour identifier les utilisateurs de TOR. Selon le niveau de risque de votre application, vous pouvez choisir de bloquer ces connexions, de déclencher une vérification supplémentaire ou simplement de les surveiller de plus près.
• Limites : ce signal ne couvre que TOR. Il n’aide pas à détecter les autres VPN ou proxies. De plus, les listes de nœuds de sortie TOR évoluent en permanence et doivent être mises à jour très régulièrement pour rester utiles.

Signal 5: Observed VPN/Proxy/Botnet Usage

Ce signal repose sur l’intelligence active, la surveillance et l’historique comportemental associé à une IP.

• Ce que cela prouve : il indique qu’une IP a déjà été observée en train de fonctionner comme VPN, proxy ou élément d’un botnet. Ces informations proviennent souvent de honeypots, d’analyses de trafic réseau et de signalements utilisateurs.
• Usage pratique : si une IP a un historique d’utilisation par des services VPN connus ou des réseaux de proxies, c’est un signal très fort. C’est précisément là que les plateformes spécialisées d’intelligence IP apportent de la valeur : elles agrègent et analysent de grands volumes de données sur la durée.
• Limites : la fraîcheur des données est déterminante. Une IP peut cesser d’être un endpoint VPN, ou être réattribuée. À l’inverse, un nouveau point de sortie VPN peut ne pas encore avoir été identifié. Ce signal donne les meilleurs résultats lorsqu’il s’inscrit dans un réseau d’intelligence large, continuellement mis à jour.

Signal 6: IP Risk Score

Un score de risque IP est une métrique composite qui combine plusieurs signaux dans une valeur unique, souvent numérique.

• Ce que cela prouve : il fournit une évaluation globale de la probabilité qu’une IP soit associée à une activité malveillante, à des services d’anonymisation comme les VPN ou proxies, ou à d’autres types de trafic indésirable. En général, plus le score est élevé, plus le risque l’est aussi.
• Usage pratique : le score de risque permet d’appliquer des politiques plus nuancées. Vous pouvez par exemple bloquer les IP au-dessus d’un certain seuil, ou déclencher une authentification renforcée. Guarda.net traite par exemple plus de 0 recherches par jour, en agrégeant ces signaux pour fournir des scores de risque et des classifications directement exploitables.
• Limites : l’efficacité d’un score dépend entièrement de la qualité, de la diversité et de l’actualité des signaux sous-jacents, ainsi que de l’algorithme utilisé pour les combiner. Un score reste une agrégation : il masque une partie du détail. Pour les analyses fines, il est donc essentiel de comprendre quels facteurs contribuent au résultat final.

The Takeaway

Aucun signal ne permet, à lui seul, de répondre parfaitement à la question « VPN ou pas VPN », en particulier avec la montée des VPN sur IP résidentielles. Une détection efficace repose sur la combinaison de plusieurs indicateurs et sur la prise en compte du contexte.

Une API d’intelligence IP de qualité doit synthétiser ces points de données pour donner une vision plus complète de la connexion. Ce que l’on cherche, ce sont des faisceaux d’indices : un ASN de datacenter, un rDNS générique, une classification en hébergement et un score de risque élevé dessinent ensemble une forte probabilité de VPN ou de proxy. La bonne stratégie dépend ensuite du niveau de tolérance au risque propre à votre application.

Pour effectuer une vérification rapide et voir ces signaux en conditions réelles, vous pouvez essayer l’outil gratuit de recherche IP disponible sur la page d’accueil de Guarda.net.