Gesperrte Websites und Apps
Ein Proxyanbieter kann eine Sperrliste mit Ressourcen führen, auf die Kunden über sein Netzwerk nicht zugreifen dürfen. Ein Eintrag kann auf eine Missbrauchsbeschwerde oder eine Forderung eines Infrastrukturanbieters zurückgehen. Andere Ziele werden vorsorglich gesperrt, weil der Anbieter das Risiko von Vorfällen als zu hoch einschätzt.
Dies ist eines der Nutzungslimits bei Proxys, das bestimmt, wohin der Dienst Ihren Traffic leiten kann. Der Proxy kann verfügbar und korrekt eingerichtet sein und dennoch Verbindungen zu einem aufgeführten Ziel ablehnen.
Wie eine Beschwerde zu einer Zielsperre führt
Wenn ein Kunde einen Proxy nutzt, empfängt das Ziel den Traffic von dessen Ausgangs-IP-Adresse. Verursacht dieser Traffic ein Problem, kann der Websitebetreiber die Adresse der für das Netzwerk verantwortlichen Organisation melden. Die Beschwerde erreicht den Proxyanbieter direkt oder über das Hostingunternehmen, Rechenzentrum oder den Netzbetreiber, der seine Infrastruktur bereitstellt.
Eine Missbrauchsmeldung informiert über eine vermutete missbräuchliche Nutzung eines Dienstes. Sie kann wiederholte unbefugte Anmeldeversuche, Scans oder Traffic betreffen, der ein System überlastet. Ein Infrastrukturanbieter kann von seinem Kunden, dem Proxyanbieter, verlangen, die Aktivität zu stoppen. Je nach Regeln und Vorfall kann ein ungelöstes Problem den Serverbetrieb oder Netzwerkzugang gefährden.
Kann der Anbieter anhand seiner Aufzeichnungen das beteiligte Konto ermitteln, kann er den Vorfall untersuchen und dieses Konto einschränken. Er kann das betroffene Ziel außerdem für einen Teil oder den gesamten Dienst sperren. Beide Maßnahmen lösen unterschiedliche Probleme: Eine Kontosperre betrifft einen bestimmten Kunden; eine Zielsperre verhindert auch bei anderen Kunden Traffic zu derselben Ressource über den betroffenen Dienst.
Ein Beispiel: Ein Behördenportal empfängt wiederholt unerwünschten Traffic eines Proxydienstes. Nach einer Beschwerde und der Forderung, den Traffic zu stoppen, nimmt der Anbieter das Portal in seine Sperrliste auf. Später versucht ein anderer Kunde, ein öffentliches Dokument herunterzuladen, und erhält einen Fehler. Dieser Kunde hat nichts falsch gemacht, aber die gemeinsame Zielregel gilt auch für seine Verbindung.
Warum Anbieter Ressourcen schon vor einem Vorfall sperren
Ein Anbieter muss nicht auf eine separate Beschwerde zu jeder Website warten. Nach Vorfällen mit einer bestimmten Art von Ressource kann er ähnliche Ziele vorsorglich einschränken. Die Sperrliste dient dann sowohl der Prävention als auch der Dokumentation früherer Probleme.
Die möglichen Kosten gehen über die Bearbeitung einer einzelnen Beschwerde hinaus. Wiederholte Vorfälle beanspruchen Personal, belasten die Beziehungen zu Infrastrukturanbietern und können die Verfügbarkeit für andere Kunden gefährden. Ein Anbieter kann entscheiden, dass Traffic zu einer sensiblen Kategorie diese Risiken nicht rechtfertigt, obwohl manche Kunden berechtigte Gründe für den Zugriff haben.
Deshalb kann eine umfassende Einschränkung bestehen bleiben, nachdem der ursprüngliche Kunde ausgeschlossen wurde. Der Anbieter will eine Wiederholung verhindern. Er kann eine ganze Kategorie einschränken, ohne vorher für jeden neuen Besucher zu prüfen, ob dieser eine Seite lesen, sich anmelden oder eine unerwünschte Aktion ausführen möchte.
Welche Ressourcen auf einer Sperrliste stehen können
Behörden- und Finanzressourcen sind Beispiele für Kategorien, die Anbieter vorsorglich einschränken können. Dazu gehören Systeme, bei denen unbefugter Zugriff oder Störungen persönliche Daten, öffentliche Dienste, Konten oder Geld betreffen können. Eine umfassende Regel kann gewählt werden, weil die Prüfung jeder beabsichtigten Kundenaktivität aufwendiger ist als die Sperre des Ziels.
| Ressourcen | Möglicher Grund für eine Einschränkung |
|---|---|
| Behördenportale und Systeme des öffentlichen Sektors | Das Risiko unbefugter Zugriffsversuche, Scans oder Störungen öffentlicher Dienste verringern. |
| Banken, Zahlungsdienste und andere Finanzplattformen | Kontenangriffe und Finanzbetrug über das Proxynetzwerk erschweren. |
| Andere Ressourcen mit wiederholten Beschwerden | Eine bestimmte Website oder ein Dienst kann nach Vorfällen unabhängig von seiner Kategorie hinzugefügt werden. |
Es gibt keine einheitliche Sperrliste aller Proxyanbieter. Ein Dienst beschränkt einzelne Domains, ein anderer eine ganze Kategorie. Selbst innerhalb eines Unternehmens können die Regeln je nach Produkt oder Netzwerk abweichen. Steht eine Behördenwebsite bei einem Anbieter auf der Liste, bedeutet das nicht, dass alle Anbieter sie sperren.
Eine Kategorie muss außerdem in technische Regeln übersetzt werden. Behördenressourcen verwenden viele unterschiedliche Domainschemata; nur Adressen mit der Endung .gov zu sperren ist deshalb nicht gleichbedeutend mit einer Sperre aller Behördenwebsites. Ein Anbieter kann eine eigene Liste führen oder Ziele mithilfe eines Klassifizierungsdienstes erkennen.
Wie der Proxy die Sperrliste anwendet
Bevor ein Proxy Sie mit einer Ressource verbinden kann, muss er das Ziel kennen. Bei einem HTTP-Proxy kann ein Client mit CONNECT portal.example:443 einen HTTPS-Tunnel anfordern. Diese Anfrage nennt dem Proxy Zielhostname und Port. Auch SOCKS5 übermittelt eine Zieladresse als Hostname oder IP-Adresse.
Der Dienst gleicht das Ziel mit seinen Zugriffsregeln ab. Verbietet eine passende Regel den Zugriff, kann er die Verbindung ablehnen, bevor die Kundenanfrage an die Website weitergeleitet wird. Eine Domainregel prüft einen Namen; eine Adressregel prüft die Ziel-IP oder einen Adressbereich. Eine Kategorieregel kann auf einer Liste zugeordneter Domains oder Adressen beruhen.
Dafür muss der Proxy keine verschlüsselte Seite lesen. In einem gewöhnlichen HTTPS-Tunnel ist das Ziel bekannt, bevor der geschützte Austausch mit der Website beginnt. Die Sperre kann deshalb erfolgen, ohne Seiteninhalt, vollständigen URL-Pfad oder das Passwort zu prüfen, das ein Besucher eingegeben hätte.
Der Geltungsbereich einer Regel ist wichtig. Die Sperre eines Hostnamens erfasst nicht automatisch alle Subdomains derselben Organisation. Umgekehrt kann eine umfassende Domainregel oder eine IP-Regel für einen gemeinsam genutzten Server mehr Ressourcen betreffen als den ursprünglichen Anlass der Beschwerde. Auch Adressänderungen von Websites machen die Pflege einer Sperrliste erforderlich.
Warum der Zugriff vom Produkt abhängt
Ein Anbieter kann für verschiedene Produkte unterschiedliche Zugriffsregeln anwenden. Eine Website kann über seine Rechenzentrums- oder ISP-Proxys gesperrt, über sein Residential-Netzwerk verfügbar oder nur über einen verwalteten Datenerfassungsdienst erreichbar sein.
Manche Anbieter erlauben den Zugriff auf bestimmte Ressourcen erst nach KYC (Know Your Customer), also einer Identitätsprüfung des Kunden. Zusätzlich kann eine Freigabe der konkreten Aufgabe erforderlich sein. Der danach gewährte Zugriff kann weiterhin auf ein bestimmtes Produkt oder Ziel beschränkt bleiben; er hebt nicht alle Einschränkungen des Kontos auf.
Auch die Verarbeitung der Anfragen spielt eine Rolle. Bei einem gewöhnlichen Proxy bestimmt der Browser oder das Programm des Kunden, welche Anfragen gesendet werden. Bei einer Scraping-API übermittelt der Kunde eine Aufgabe, etwa den Abruf einer Seite oder von Produktdaten, und das System des Anbieters führt sie aus. Als Ergebnis erhält er möglicherweise das HTML der Seite oder strukturierte extrahierte Daten.
Bei einem solchen verwalteten Dienst kann der Anbieter das Proxynetzwerk auswählen, Anfrageheader und Cookies setzen, fehlgeschlagene Anfragen wiederholen und die Antwort verarbeiten. Die genaue Aufteilung der Kontrolle hängt vom Produkt ab: Manche Einstellungen erfolgen automatisch, andere kann der Kunde innerhalb erlaubter Grenzen vorgeben. Der Anbieter kontrolliert für diese Aufgabe den Austausch mit der Zielwebsite und kann die akzeptierten Anfrageparameter einschränken.
So kann der Anbieter einen bestimmten Vorgang erlauben und zugleich den allgemeinen Zugriff beschränken. Ein Dienst kann beispielsweise einer API das Erfassen öffentlicher Produktpreise erlauben, aber gewöhnlichen Proxyzugriff auf dieselbe Domain verweigern. Diese Erlaubnis umfasst nicht automatisch Anmeldungen, das Absenden von Formularen oder die Kontoverwaltung. Ein Produkt kann das Lesen bestimmter Seiten unterstützen, ohne jede Websiteaktion zu ermöglichen.
Prüfen Sie den Zugriff für die Kombination aus Produkt, Ziel und beabsichtigtem Vorgang. Funktioniert eine Website über die API eines Anbieters, beweist das nicht, dass sie über dessen Proxypaket funktioniert. Auch eine verwaltete API hat eigene Einschränkungen. Fragen Sie vor dem Kauf, welches Produkt Ihre Aufgabe erlaubt und ob eine Verifizierung oder separate Freigabe erforderlich ist.
Was der Kunde sieht
Am eindeutigsten ist eine ausdrückliche Meldung, dass das Ziel nicht erlaubt ist. In anderen Fällen meldet die Software nur einen Verbindungsfehler oder Timeout. Wie viel der Kunde erfährt, hängt sowohl von der Dienstantwort als auch von den angezeigten Anwendungsdetails ab.
Ein gesperrtes Ziel kann über viele ansonsten funktionierende Proxy-IP-Adressen unerreichbar bleiben. Gilt dieselbe Regel für das ganze Paket, ändert der Austausch der Adressen nichts. Auch mehr Traffic oder ein höheres Limit gleichzeitiger Verbindungen lässt die Zielregel bestehen.
Eine Anwendung kann nur teilweise ausfallen. Ihre Hauptseite verwendet beispielsweise eine Domain, der Anmeldedienst eine andere. Ist die zweite Adresse gesperrt, öffnet sich die Seite, aber die Anmeldung scheitert. Dasselbe kann Dateidownloads oder andere Funktionen mit separaten Servern betreffen. Eine Sperrliste gilt für die Netzwerkziele, die eine App kontaktiert, nicht einfach für deren Namen.
Unterschied zur Ablehnung Ihres Proxys durch eine Website
Die Sperrliste eines Anbieters stoppt Traffic auf dem Weg zum Ziel. Eine Website kann unabhängig davon Traffic ablehnen, der ihre eigenen Server oder ihren Sicherheitsdienst erreicht, etwa weil sie die Ausgangs-IP zurückweist oder die Aktivität als verdächtig einstuft. Dann stammt die Ablehnung von der Zielseite.
Ein einfacher HTTP-403-Status oder eine fehlgeschlagene Verbindung zeigt allein nicht, wer den Zugriff blockiert hat. Eine Anbietermeldung mit dem Namen des verbotenen Ziels ist aussagekräftiger als die Statusnummer. Bei unklarer Ursache benötigt der Support die genaue Adresse, den verwendeten Dienst, den Zeitpunkt und den vollständigen Fehlertext, um eine mögliche Anbieterregel zu prüfen.
Eine weitere, separate Einschränkung sind gesperrte Zielports. Eine Domainsperre verweigert den Zugriff auf eine Ressource; eine Portsperre kann dagegen eine bestimmte Verbindungsart zu vielen verschiedenen Servern verhindern. Eine unerreichbare Website oder App ist somit ein Symptom; die Zielliste ist eine mögliche Ursache.
Kann eine Ressource von der Sperrliste entfernt werden?
Das hängt vom Grund der Regel und davon ab, wer sie kontrolliert. Hat der Anbieter ein Ziel vorsorglich aufgenommen, prüft er möglicherweise eine konkrete Aufgabe. Schließt der Infrastrukturanbieter oder eine feste Produktregel den Zugriff aus, reicht eine gewöhnliche Supportanfrage möglicherweise nicht für eine Änderung.
Sind Ausnahmen möglich, sollte die Anfrage die genaue Ressource und die beabsichtigte Tätigkeit nennen: benötigte Daten oder Funktionen, eine mögliche Anmeldung und die erwartete Last. So kann der Anbieter eine konkrete Nutzung beurteilen statt einer unbestimmten Bitte, eine ganze Kategorie freizugeben.
Eine Verifizierung oder Freigabe hebt nicht zwangsläufig alle Kontobeschränkungen auf. Eine Ausnahme kann nur ein bestimmtes Ziel oder Produkt betreffen. Jede Freigabe des Proxyanbieters lässt außerdem die eigenen Zugriffskontrollen der Website bestehen.
Sperrlisten können sich durch neue Beschwerden oder eine geänderte Risikoeinschätzung verändern. Eine zuvor funktionierende Ressource kann nach Aufnahme einer Regel unerreichbar werden. Hängt Ihre Aufgabe von einer bestimmten Website ab, klären Sie vor der Dienstauswahl, ob dieses Ziel und der benötigte Vorgang unterstützt werden. Die Anzahl verfügbarer IP-Adressen beantwortet diese Frage nicht.