代理 IP 验证：应允许哪个地址，何时适合使用

IP 验证允许你从获准的连接地址使用代理。将该地址添加到服务商的访问列表后，应用程序即可连接，无须另外提供代理用户名和密码。服务商通常将其称为白名单、允许列表或授权 IP 地址列表。

当应用程序在稳定的网络中运行时，这种方法很有用，例如使用固定公网 IP 的服务器。但需要允许的是应用程序连接时的源地址，而不是你购买的代理地址。设置时，这两个地址很容易混淆。

关于访问方法的比较，请参阅代理身份验证。本指南介绍应允许哪个源 IP、多个设备如何共享访问权限，以及网络变化后需要检查什么。

代理如何检查获准 IP

连接到达时，代理会看到它的源 IP，并与允许的地址进行比较。如果匹配且满足服务的其他要求，代理就会接受请求。仅使用 IP 验证时，无须发送代理密码。服务也可以将地址检查与其他访问要求结合起来。

以一台通过路由器连接互联网的家用电脑为例。

代理的连接地址与出口 IP 可以相同，也可以不同。两者都不能替代访问列表中的客户端 IP。购买出口 IP 固定的代理，也不会让你的家庭网络地址永久不变。

同样的原则也适用于局域网内的代理：它检查的是自己能看到的连接来源，该来源可能是私有地址。对于互联网上的商业代理，通常需要使用你所在网络的公网出口地址。

IP 验证何时有用

在出口地址固定的服务器上，只需授权一次该地址，就能让多个进程使用代理。你无须在每份配置中保存代理密码、在应用程序之间分发密码，也无须在密码变化时更新所有副本。

在统一管理的办公室中，多台电脑可能共用一个公网 IP。如果服务允许这种使用方式，一个条目即可授权该网络的出口地址。网络管理员仍须负责控制办公室内部的访问。

另一种情况是，应用程序支持所需代理协议，却无法通过提供的方法发送用户名和密码。IP 验证可能解决这一具体问题，但不会为应用程序增加 HTTP、SOCKS5 或其他缺失的功能。

如何查找应添加的 IP

应从应用程序实际运行的环境中检查地址。如果是家用电脑上的浏览器，可以在不使用正在配置的代理时打开 IP 地址查询页面。如果通过该代理打开页面，看到的将是代理的出口地址，可能会把错误的 IP 添加到列表中。

如果脚本在 VPS 上运行，需要的是 VPS 的出口地址，而不是用于管理 VPS 的家用电脑地址。在云环境中，服务器或容器可能通过共享 NAT 网关发送流量，此时相关地址是网关的公网地址；它可能不同于你登录服务器时使用的地址。

使用 VPN 时要注意路由。如果到代理的连接经过 VPN，代理看到的就是 VPN 出口地址。如果采用分流路由，浏览器和脚本可能使用不同出口。因此，浏览器查询只能确认本次测试所用的路径；服务商若提供连接日志，可以帮助直接确定来源。

IPv4 与 IPv6 是不同的地址。允许某个 IPv4 地址，并不会自动允许 IPv6 连接。检查访问列表接受哪种版本，以及应用程序使用哪个地址连接代理。这与网站所见代理出口 IP 的版本是两个问题。

在 ProxyCompass 中，应使用查询结果中的公网 IPv4 地址，即使页面同时显示 IPv6。在服务卡片中，打开 IP Whitelist → Manage，将 IPv4 地址粘贴到添加字段中，然后点击 Add IP。配置好列表后，点击 Save，等待约三分钟，让访问规则生效。然后通过代理测试一个新连接。

多个设备需要多少个获准 IP？

应计算连接到达代理时使用了多少个不同的源地址。电脑数量与购买的代理数量可能都与此相差很大。

例如，八台办公电脑共用一个公网出口地址时，可能只需一个条目。家用电脑与 VPS 的出口地址不同，则需要两个获准地址才能同时使用。如果只有一个条目，用 VPS 的 IP 替换家庭 IP，并不会让两个来源同时获得访问权限。

反过来，如果一个条目适用于整个订单，那么从一台服务器连接二十个代理，并不需要二十个客户端 IP。获准源地址、订单中的代理数量与并发连接数上限，是不同的服务设置。

购买前，应检查可用条目数量，以及添加或替换条目的条件。多个网络可能需要额外条目、共用的受管理出口，或服务允许的其他身份验证方式。共享出口需要维护，也会增加一个组件，其可用性会影响任务。

在图示的 ProxyCompass 示例中，套餐允许 1500 个并发连接。IP 旁的数值 750 是该客户端地址的连接数上限，而不是当前已打开的连接数。两个地址各分配 750 个；可以通过滑块改变分配，例如第一个分配 1000 个，第二个分配 500 个。同一公网 IP 后方的设备共享该 IP 的配额。

在白名单中添加另一个 IP，不会提高套餐的总连接数上限。并发连接数限制一文介绍了该限制对并行任务和连接复用的影响。

如何设置访问权限并检查结果

1. 从实际工作环境确定出口 IP，并将其添加到对应服务的列表中。确认所选订单或代理组正是应用程序将使用的那一个。
2. 向服务商获取 IP 验证所用的连接地址、端口、协议和访问模式，并在应用程序中填写。只有该模式确实无须用户名和密码时，才将这些字段留空。
3. 按照服务说明等待规则生效。面板或 API 响应确认条目已保存，并不一定表示每个节点都已开始使用该规则。不存在通用的等待时长。
4. 在实际工作的应用程序中建立新连接，通过代理发送一个小型请求。将出口 IP 与预期结果比较，并确认应用程序没有悄悄改用直连。然后再启动主要任务。

从另一台电脑或远程服务发起的测试，会来自另一个源 IP。拒绝该测试方，可能说明访问限制正在正常工作；这本身并不能证明代理有故障。

你的 IP 或网络变化后会怎样？

如果互联网服务商分配了新地址、笔记本电脑切换到移动网络，或 VPN 出口变化，新连接可能来自列表中没有的 IP。代理本身可能仍在正常工作：变化的是客户端的访问条件。

短暂断网不一定会改变 IP。应先检查当前地址，并与获准条目比较。如果地址没有变化，应排查网络可用性、应用程序设置或服务状态。即使地址不变，网络中断后仍可能需要恢复现有连接。

如果地址经常变化，应考虑维护访问权限所需的工作。在具备相关选项时，固定公网 IP、稳定的服务器出口，或通过 API 自动更新列表都可能有帮助。自动化必须考虑规则的生效时间，并限制重试次数。用于修改设置的 API 密钥是独立的机密信息，即使代理连接本身没有密码也一样。

失去对旧地址的控制后，不要抱着“以防万一”的想法保留它：该地址以后可能被分配给其他人。应通过服务提供的控制功能撤销其权限。撤销权限是否会终止现有连接，取决于具体实现。

IP 列表保护什么，以及如何管理

如果某人只知道代理的地址和端口，源地址检查会阻止其从未获准网络连接。这有助于防止泄露的代理列表被使用。不过，它在服务规则范围内发挥作用，不能替代对已获准电脑和网关的保护。

公网 IP 不能证明某个人的身份。不同员工可能使用同一个办公网络出口，而 CGNAT，即互联网服务商处的地址共享，也可能让不同用户共用一个公网 IP。如果访问仅依赖该 IP，代理就无法通过这条规则区分他们。只有在了解哪些人能够使用这些地址后，才应允许访问。

移除一个共享 IP，会阻止该来源的所有人访问；无法仅撤销某一名员工的权限，同时让其他人保持连接。控制个人访问需要额外措施。在允许整个子网之前，应检查谁能够从该子网连接，以及服务是否还要求提供凭据。

IP 验证本身不会加密流量，也不会让出口 IP 无法被识别为代理。数据保护取决于使用的连接，网络行为或其他信号仍可能透露代理相关信息。设置中没有密码，既不意味着访问不受控制，也不意味着流量已经加密。

IP 访问为什么可能失败

407 是 HTTP 状态码。SOCKS5 有自己的回复和错误消息，无须在其中寻找 HTTP 状态码。向支持人员提供的有用信息包括尝试时间、出口 IP、代理地址和端口、所选协议以及准确的错误消息。

何时选择 IP 验证

当应用程序具有稳定、可控的出口连接，整个工作环境都需要访问，而你希望避免向每个进程分发密码时，这种方法比较合适。选择前，应确认允许访问的条目足以覆盖所有地点，并且网络变化时能够更新列表。

如果地址经常变化、员工在不同网络中工作，或需要逐人撤销权限，应考虑其他身份验证方式及服务的附加限制。决策依据应是谁会连接、从哪里连接，而不是购买的代理列表中有多少个地址。