IP-Authentifizierung für Proxies: Welche Adresse freigeben und wann sie sinnvoll ist

IP-Authentifizierung erlaubt die Proxynutzung von einer freigegebenen Verbindungsadresse. Sie tragen diese in die Zugangsliste des Anbieters ein, und Ihre Anwendung verbindet sich ohne eigenen Proxy-Benutzernamen und ohne Passwort. Anbieter nennen das häufig Whitelist, Allowlist oder Liste zugelassener IP-Adressen.

Das Verfahren hilft bei Anwendungen aus stabilen Netzwerken, etwa einem Server mit fester öffentlicher IP-Adresse. Freizugeben ist jedoch die Quelladresse der Anwendung, nicht die Adresse des gekauften Proxys. Bei der Einrichtung werden beide leicht verwechselt.

Den Vergleich der Zugangsverfahren behandelt Proxyauthentifizierung. Dieser Leitfaden erklärt die richtige Quell-IP-Adresse, gemeinsamen Zugang mehrerer Geräte und Prüfungen nach einem Netzwerkwechsel.

Wie ein Proxy eine zugelassene IP-Adresse prüft

Bei einer Verbindung sieht der Proxy deren Quell-IP-Adresse und vergleicht sie mit den erlaubten Adressen. Stimmen sie überein und sind weitere Dienstanforderungen erfüllt, nimmt er die Anfrage an. Bei reiner IP-Authentifizierung müssen Sie kein Proxypasswort senden. Ein Dienst kann die Adressprüfung zusätzlich mit anderen Bedingungen kombinieren.

Betrachten Sie einen Heimcomputer, der über einen Router ins Internet gelangt.

Verbindungsadresse und Ausgangs-IP-Adresse des Proxys können gleich oder unterschiedlich sein. Keine ersetzt die Client-IP-Adresse in der Zugangsliste. Der Kauf eines Proxys mit statischer Ausgangs-IP-Adresse macht auch Ihre Hausanschlussadresse nicht dauerhaft.

Dasselbe Prinzip gilt für einen Proxy im lokalen Netzwerk: Er prüft die sichtbare Verbindungsquelle. Diese kann eine private Adresse sein. Ein kommerzieller Internetproxy benötigt normalerweise die öffentliche Ausgangsadresse Ihres Netzwerks.

Wann IP-Authentifizierung nützlich ist

Bei einem Server mit fester Ausgangsadresse können Sie diese einmal freigeben und die Proxies in mehreren Prozessen nutzen. Sie müssen kein Proxypasswort in jeder Konfiguration speichern, zwischen Anwendungen verteilen oder nach einer Änderung jede Kopie aktualisieren.

In einem verwalteten Büro können mehrere Computer eine öffentliche IP-Adresse teilen. Ein Eintrag kann diesen Netzwerkausgang freigeben, sofern der Dienst die Nutzung erlaubt. Für die interne Zugangskontrolle bleibt der Netzwerkadministrator zuständig.

Ein weiterer Fall ist eine Anwendung mit passendem Proxyprotokoll, die Benutzername und Passwort nicht mit dem angebotenen Verfahren senden kann. IP-Authentifizierung kann genau dieses Problem lösen. Sie ergänzt keine fehlende HTTP-, SOCKS5- oder sonstige Anwendungsfähigkeit.

Die einzutragende IP-Adresse ermitteln

Prüfen Sie die Adresse aus der späteren Arbeitsumgebung. Bei einem Browser auf dem Heimcomputer können Sie die IP-Abfrageseite ohne den gerade einzurichtenden Proxy öffnen. Mit diesem Proxy sehen Sie stattdessen dessen Ausgangsadresse und könnten die falsche IP-Adresse eintragen.

Läuft ein Skript auf einem VPS, benötigen Sie dessen Ausgangsadresse, nicht die Ihres Verwaltungscomputers zu Hause. In einer Cloud kann Server- oder Containerverkehr über ein gemeinsames NAT-Gateway laufen. Dann zählt dessen öffentliche Adresse; sie kann von der Server-Anmeldeadresse abweichen.

Beachten Sie bei einem VPN den Weg. Läuft die Proxyverbindung durch das VPN, sieht der Proxy dessen Ausgangsadresse. Bei getrenntem Routing können Browser und Skript andere Ausgänge nutzen. Eine Browserabfrage bestätigt deshalb nur den geprüften Weg. Verfügbare Verbindungsprotokolle des Anbieters können die Quelle direkt belegen.

IPv4 und IPv6 sind getrennte Adressen. Eine IPv4-Freigabe erlaubt nicht automatisch eine IPv6-Verbindung. Prüfen Sie akzeptierte Listenversion und tatsächliche Verbindungsadresse der Anwendung zum Proxy. Davon getrennt ist die Version der Ausgangs-IP-Adresse, die die Website sieht.

Verwenden Sie bei ProxyCompass die öffentliche IPv4-Adresse der Abfrage, auch wenn zusätzlich IPv6 angezeigt wird. Öffnen Sie in der Dienstkarte IP Whitelist → Manage, fügen Sie die IPv4-Adresse im Eingabefeld ein und klicken Sie auf Add IP. Klicken Sie nach der Listenbearbeitung auf Save und warten Sie etwa drei Minuten auf die Wirksamkeit der Zugangsregel. Testen Sie anschließend eine neue Proxyverbindung.

Wie viele freigegebene IP-Adressen benötigen mehrere Geräte?

Zählen Sie die unterschiedlichen Quelladressen, von denen Verbindungen den Proxy erreichen. Computeranzahl und Anzahl gekaufter Proxies können erheblich davon abweichen.

Acht Bürocomputer mit einer gemeinsamen öffentlichen Ausgangsadresse können beispielsweise einen Eintrag nutzen. Ein Heimcomputer und ein VPS mit unterschiedlichen Ausgangsadressen benötigen zwei Freigaben für gleichzeitigen Zugang. Ist nur ein Eintrag verfügbar, erlaubt der Ersatz der Heim-IP durch die VPS-IP nicht beide Quellen gleichzeitig.

Umgekehrt benötigen zwanzig Proxies, die von einem Server erreicht werden, keine zwanzig Client-IP-Adressen, wenn der Eintrag für die gesamte Bestellung gilt. Erlaubte Quelladressen, Proxyanzahl und Limit gleichzeitiger Verbindungen sind getrennte Diensteinstellungen.

Prüfen Sie vor dem Kauf verfügbare Einträge und Bedingungen für Ergänzung oder Austausch. Mehrere Netzwerke können zusätzliche Einträge, einen gemeinsamen verwalteten Ausgang oder ein anderes unterstütztes Authentifizierungsverfahren verlangen. Ein gemeinsamer Ausgang benötigt Betreuung und fügt eine Komponente hinzu, deren Verfügbarkeit die Aufgabe beeinflusst.

Im dargestellten ProxyCompass-Beispiel erlaubt das Paket 1500 gleichzeitige Verbindungen. Der Wert 750 neben einer IP-Adresse begrenzt die Verbindungen dieser Clientadresse; er zählt keine aktuell offenen Verbindungen. Beide Adressen erhalten je 750. Mit den Schiebereglern lässt sich dies etwa auf 1000 und 500 aufteilen. Geräte hinter derselben öffentlichen IP-Adresse teilen deren Zuteilung.

Eine weitere Whitelist-IP-Adresse erhöht das Gesamtverbindungslimit des Pakets nicht. Der Artikel zu Limits gleichzeitiger Verbindungen erklärt die Folgen für parallele Aufgaben und wiederverwendete Verbindungen.

Zugang einrichten und Ergebnis prüfen

1. Ermitteln Sie die Ausgangs-IP-Adresse der Arbeitsumgebung und tragen Sie sie in die Liste des richtigen Dienstes ein. Wählen Sie die Bestellung oder Proxygruppe, die Ihre Anwendung verwenden wird.
2. Übernehmen Sie vom Anbieter Verbindungsadresse, Port, Protokoll und Zugangsmodus für IP-Authentifizierung. Tragen Sie diese in der Anwendung ein. Lassen Sie Benutzername und Passwort nur bei einem tatsächlich ohne diese funktionierenden Modus leer.
3. Warten Sie die Aktivierung nach den Diensthinweisen ab. Eine Speicherbestätigung durch Panel oder API bedeutet nicht immer, dass bereits jeder Knoten die Regel anwendet. Es gibt keine allgemeingültige Wartezeit.
4. Öffnen Sie aus der Arbeitsanwendung eine neue Verbindung und senden Sie eine kleine Anfrage über den Proxy. Vergleichen Sie die Ausgangs-IP-Adresse mit dem erwarteten Ergebnis und bestätigen Sie, dass die Anwendung nicht unbemerkt direkt verbindet. Starten Sie dann die Hauptaufgabe.

Ein Test von einem anderen Computer oder entfernten Dienst kommt von einer anderen Quell-IP-Adresse. Seine Ablehnung kann eine korrekt funktionierende Zugangsbeschränkung bedeuten. Sie beweist allein keinen defekten Proxy.

Was geschieht bei einer IP- oder Netzwerkänderung?

Vergibt Ihr Internetanbieter eine neue Adresse, wechselt ein Laptop ins Mobilfunknetz oder ändert sich der VPN-Ausgang, können neue Verbindungen von einer nicht gelisteten IP-Adresse kommen. Die Proxies können weiterhin funktionieren; geändert hat sich die Zugangsbedingung des Clients.

Eine kurze Internetunterbrechung ändert die IP-Adresse nicht zwangsläufig. Prüfen und vergleichen Sie zuerst die aktuelle Adresse mit dem Freigabeeintrag. Ist sie gleich, untersuchen Sie Netzwerkerreichbarkeit, Anwendungseinstellungen oder Dienststatus. Bestehende Verbindungen müssen nach einer Unterbrechung möglicherweise trotzdem neu aufgebaut werden.

Bei häufigen Adresswechseln berücksichtigen Sie den Pflegeaufwand. Eine feste öffentliche IP-Adresse, ein stabiler Serverausgang oder automatische Listenaktualisierung per API können helfen, sofern verfügbar. Automatisierung muss Aktivierungszeiten beachten und Wiederholungsversuche begrenzen. Ein API-Schlüssel für Einstellungsänderungen bleibt ein eigenes Geheimnis, auch wenn die Proxyverbindung passwortlos ist.

Behalten Sie eine alte Adresse nach Kontrollverlust nicht vorsorglich in der Liste: Sie kann später jemand anderem zugewiesen werden. Entziehen Sie ihr die Berechtigung über die Dienststeuerung. Ob das bestehende Verbindungen beendet, hängt von der Implementierung ab.

Was die IP-Liste schützt und wie sie verwaltet wird

Kennt jemand nur Proxyadresse und Port, verhindert die Quellprüfung den Zugang aus einem nicht erlaubten Netzwerk. Das schützt vor der Nutzung offengelegter Proxylisten. Die Prüfung gilt innerhalb der Dienstregeln und ersetzt nicht den Schutz zugelassener Computer und Gateways.

Eine öffentliche IP-Adresse beweist keine persönliche Identität. Mitarbeiter können denselben Büroausgang verwenden; CGNAT beim Internetanbieter kann unterschiedliche Teilnehmer hinter einer öffentlichen IP-Adresse zusammenfassen. Beruht der Zugang allein darauf, unterscheidet diese Regel sie nicht. Geben Sie Adressen nur frei, wenn Sie deren mögliche Nutzer kennen.

Das Entfernen einer gemeinsamen IP-Adresse sperrt diese Quelle für alle. Es entzieht nicht nur einem Mitarbeiter den Zugang unter Erhalt der anderen Verbindungen. Individuelle Kontrolle benötigt zusätzliche Maßnahmen. Prüfen Sie vor Freigabe eines ganzen Subnetzes, wer daraus verbinden kann und ob der Dienst zusätzlich Zugangsdaten verlangt.

IP-Authentifizierung verschlüsselt für sich genommen keinen Verkehr und macht die Ausgangs-IP-Adresse nicht als Proxy unerkennbar. Datenschutz hängt von den Verbindungen ab; Netzwerkverhalten und andere Signale können Informationen offenlegen. Ein fehlendes Passwort bedeutet weder unkontrollierten Zugang noch Verschlüsselung.

Warum IP-Zugang scheitern kann

407 gehört zu HTTP. SOCKS5 besitzt eigene Antworten und Fehlermeldungen; suchen Sie darin keinen HTTP-Code. Hilfreiche Supportangaben sind Versuchsuhrzeit, Ausgangs-IP-Adresse des Clients, Proxyadresse und Port, gewähltes Protokoll und genaue Fehlermeldung.

Wann Sie IP-Authentifizierung wählen sollten

Das Verfahren passt zu Anwendungen mit stabilem, kontrolliertem Netzausgang, wenn die gesamte Arbeitsumgebung Zugang braucht und kein Passwort an jeden Prozess verteilt werden soll. Prüfen Sie vorher genügend Freigabeeinträge für alle Standorte und Ihre Möglichkeit zur Listenaktualisierung nach Netzwerkwechseln.

Bei häufig wechselnden Adressen, Mitarbeitern in verschiedenen Netzwerken oder benötigtem individuellem Widerruf betrachten Sie andere Authentifizierungsverfahren und zusätzliche Dienstbeschränkungen. Entscheidend ist, wer sich von wo verbindet, nicht die Anzahl gekaufter Proxyadressen.