Não tem como se defender de maneira eficiente e VPN é impossível (até aonde entendo), a única maneira seria tendo uma lista de IPs que seja fornecida por algum serviço, no entanto isto não é bem um caso de programação necessariamente, desconheço qualquer tipo de serviço que forneça estas listas, mas o caminho é este provavelmente.
No entanto alguns proxies repassam dados no HTTP, o que pode ajudar a verificar isto, não encontrei muitos detalhes dos headers, pois nem todos são padronizados, no entanto esta conversa no wikipedia tenta dar ou obter alguma orientação: https://en.wikipedia.org/wiki/Talk%3AX-Forwarded-For, segue alguns detalhes:
O header "Via" que é usado por gateways e proxies para indicar os protocolos intermediários e destinatários entre o "user agent" e o servidor sobre os pedidos, e entre o servidor de origem e o cliente nas respostas, uso no PHP:
Detalhes sobre Forwarded:
https://www.rfc-editor.org/rfc/rfc7239#section-5.2, uso no PHP:
HTTP_FORWARDED_FOR
HTTP_FORWARDED
HTTP_X_FORWARDED_FOR
(provavelmente era usado antes do HTTP_FORWARDED_FOR
, quando ainda era experimental)
HTTP_X_FORWARDED
(provavelmente era usado antes do HTTP_FORWARDED_FOR
, quando ainda era experimental)
O X-Cluster-Client-IP:
que aparentemente é exigido pelos servidores de web Zeus:
O Client-IP:
eu não consegui encontrar informação alguma, o que me parece é que ele era usado antes do Forwarded:
, uso no PHP:
HTTP_CLIENT_IP
HTTP_X_CLIENT_IP
(variação do HTTP_CLIENT_IP
)
Detectando se esta usando um proxy que passa cabeçalho(s)
No PHP ficaria algo como:
<?php
function isProxy()
{
$proxyTypes = array(
'HTTP_VIA',
'HTTP_FORWARDED_FOR',
'HTTP_FORWARDED',
'HTTP_X_FORWARDED_FOR',
'HTTP_X_FORWARDED',
'HTTP_X_CLUSTER_CLIENT_IP',
'HTTP_CLIENT_IP',
'HTTP_X_CLIENT_IP'
);
foreach ($proxyType as $proxyTypes) {
if (!empty($proxyType)) {
return true;
}
}
return false;
}
if (isProxy()) {
//Finaliza o script PHP e emite uma mensagem, pode customizar essa if como desejar
die('Você está usando proxy');
}
Detectando se esta usando um web-proxy:
Os web-proxies geralmente usam frames, então é possivel fazer apenas a checagem se a sua página está rodando dentro de um <iframe>
ou <frame>
, adicione assim no rodapé da página:
<script>
function detectLoadInFrame()
{
//O try previne problemas de bloqueios de CORS
try {
if (window.self !== window.top) {
window.top.location = window.location;
}
} catch (e) {
}
}
</script>
</body>
</html>
Porém note que as vezes os web-proxies bloqueiam o Javascript, isto faz com que tenha problemas ao fazer a detecção, então o interessante seria bloquear alguma funcionalidade HTML principal, como o navbar, ou um form, por exemplo:
estilo.css:
.navbar {
display: none;
}
.navbar.show {
display: block;
}
Seu html:
<html>
<head>
<link href="estilo.css" rel="stylesheet" type="text/css">
</head>
<body>
<nav class="navbar">
<a href="...">...</a>
</nav>
<form id="meuform">
<input type="text" disabled>
<select disabled></select>
</form>
<script>
function detectLoadInFrame()
{
//O try previne problemas de bloqueios de CORS
try {
if (window.self !== window.top) {
window.top.location = window.location;
} else {
//Exibe o navbar
document.querySelector(".navbar").className += " show";
//Habilita os campos
var fields = document.querySelectorAll("#meuform [disabled]");
for (var i = fields.length - 1; i >= 0; i--) {
fields[i].disabled = false;
}
}
} catch (e) {
}
}
</script>
</body>
</html>