Autenticación por IP en proxies: qué dirección permitir y cuándo utilizarla

La autenticación por IP permite utilizar un proxy desde una dirección de conexión aprobada. Añades esa dirección a la lista de acceso del proveedor y tu aplicación se conecta sin un nombre de usuario y una contraseña de proxy separados. Los proveedores suelen llamarla whitelist, allowlist o lista de direcciones IP autorizadas.

Este método resulta útil cuando una aplicación se ejecuta desde una red estable, como un servidor con IP pública fija. Pero la dirección que debes permitir es aquella desde la que se conecta la aplicación, no la del proxy que has comprado. Es fácil confundir estas direcciones durante la configuración.

Para comparar los métodos de acceso, consulta Autenticación del proxy. Esta guía explica qué IP de origen permitir, cómo comparten el acceso varios dispositivos y qué comprobar después de un cambio de red.

Cómo comprueba un proxy una IP permitida

Cuando llega una conexión, el proxy ve su IP de origen y la compara con las direcciones permitidas. Si coincide y se cumplen los demás requisitos del servicio, el proxy acepta la solicitud. Con autenticación únicamente por IP, no necesitas enviar una contraseña de proxy. Un servicio también puede combinar la comprobación de dirección con otros requisitos de acceso.

Considera un ordenador doméstico que se conecta a Internet mediante un router.

La dirección de conexión y la IP de salida de un proxy pueden ser iguales o distintas. Ninguna sustituye a la IP del cliente en la lista de acceso. Comprar un proxy con IP de salida estática tampoco convierte en permanente la dirección de tu conexión doméstica.

El mismo principio se aplica a un proxy dentro de una red local: comprueba el origen de conexión que puede ver. Ese origen puede ser una dirección privada. Para un proxy comercial en Internet, normalmente necesitas la dirección pública de salida de tu red.

Cuándo resulta útil la autenticación por IP

En un servidor con una dirección de salida fija, puedes autorizar la dirección una vez y utilizar los proxies en varios de tus procesos. No tienes que guardar una contraseña de proxy en cada configuración, distribuirla entre aplicaciones ni actualizar todas las copias cuando cambie.

En una oficina administrada, varios ordenadores pueden compartir una IP pública. Una sola entrada puede autorizar la dirección de salida de esa red si el servicio permite ese uso. El administrador de red sigue siendo responsable de controlar el acceso dentro de la oficina.

Otro caso es una aplicación que admite el protocolo de proxy necesario, pero no puede enviar usuario y contraseña mediante el método ofrecido. La autenticación por IP puede resolver ese problema concreto. No añadirá HTTP, SOCKS5 ni ninguna otra función ausente a la aplicación.

Cómo encontrar la IP que debes añadir

Comprueba la dirección desde el entorno donde se ejecutará la aplicación. Para un navegador de tu ordenador doméstico, puedes abrir la página de consulta de dirección IP sin utilizar el proxy que estás configurando. Si la abres a través de ese proxy, verás su dirección de salida y podrías añadir una IP incorrecta a la lista.

Si un script se ejecuta en un VPS, necesitas la dirección de salida del VPS, no la del ordenador doméstico desde el que lo administras. En un entorno de nube, un servidor o contenedor puede enviar tráfico mediante una puerta de enlace NAT compartida. Entonces la dirección pública de la puerta de enlace es la relevante; puede ser distinta de la que utilizas para iniciar sesión en el servidor.

Con una VPN, presta atención a la ruta. Si la conexión con el proxy pasa por la VPN, el proxy ve la dirección de salida de la VPN. Con enrutamiento dividido, un navegador y un script pueden utilizar salidas distintas. Por tanto, una consulta desde el navegador solo confirma la ruta que ha probado; los registros de conexión del proveedor, cuando existen, pueden ayudar a determinar directamente el origen.

IPv4 e IPv6 son direcciones separadas. Permitir una dirección IPv4 no permite automáticamente una conexión IPv6. Comprueba qué versión acepta la lista de acceso y qué dirección utiliza la aplicación para llegar al proxy. Esto es independiente de la versión de la IP de salida del proxy que verá el sitio web.

En ProxyCompass, utiliza la dirección IPv4 pública de la consulta, aunque también muestre IPv6. En la ficha del servicio, abre IP Whitelist → Manage, pega la dirección IPv4 en el campo para añadirla y pulsa Add IP. Después de configurar la lista, pulsa Save y espera unos tres minutos a que entre en vigor la regla de acceso. Después prueba una conexión nueva a través del proxy.

¿Cuántas IP permitidas necesitan varios dispositivos?

Cuenta las distintas direcciones de origen desde las que llegan las conexiones al proxy. El número de ordenadores y el número de proxies comprados pueden ser muy diferentes.

Por ejemplo, ocho ordenadores de oficina que comparten una dirección pública de salida pueden utilizar una sola entrada. Un ordenador doméstico y un VPS con direcciones de salida distintas necesitan dos direcciones permitidas para funcionar al mismo tiempo. Si solo hay una entrada disponible, sustituir la IP doméstica por la del VPS no concede acceso simultáneo a ambos orígenes.

A la inversa, si una entrada se aplica a todo el pedido, conectarse desde un servidor a veinte proxies no requiere veinte IP de cliente. Las direcciones de origen permitidas, el número de proxies de un pedido y el límite de conexiones simultáneas son ajustes separados del servicio.

Antes de comprar, comprueba el número de entradas disponibles y las condiciones para añadirlas o sustituirlas. Varias redes pueden necesitar entradas adicionales, una salida gestionada compartida u otro método de autenticación si el servicio lo permite. Una salida compartida necesita mantenimiento y añade otro componente cuya disponibilidad afecta a la tarea.

En el ejemplo de ProxyCompass mostrado, el paquete permite 1500 conexiones simultáneas. El valor 750 junto a una IP es el límite de conexiones desde esa dirección de cliente, no el número de conexiones abiertas en ese momento. Las dos direcciones reciben 750 cada una; utiliza los controles deslizantes para cambiar el reparto, por ejemplo a 1000 para la primera y 500 para la segunda. Los dispositivos detrás de una IP pública comparten la asignación de esa IP.

Añadir otra IP a la lista de permitidas no aumenta el límite total de conexiones del paquete. El artículo sobre límites de conexiones simultáneas explica cómo afecta este límite a las tareas paralelas y las conexiones reutilizadas.

Cómo configurar el acceso y comprobar el resultado

1. Identifica la IP de salida del entorno de trabajo y añádela a la lista del servicio correcto. Asegúrate de haber seleccionado el pedido o grupo de proxies que utilizará la aplicación.
2. Obtén del proveedor la dirección de conexión, el puerto, el protocolo y el modo de acceso para la autenticación por IP. Introdúcelos en la aplicación. Deja vacíos los campos de usuario y contraseña solo para un modo que realmente funcione sin ellos.
3. Deja que la regla entre en vigor según las instrucciones del servicio. Una respuesta del panel o la API que confirme que una entrada se ha guardado no siempre significa que todos los nodos ya utilicen la regla. No existe un período de espera universal.
4. Abre una conexión nueva desde la aplicación de trabajo y realiza una solicitud pequeña mediante el proxy. Compara la IP de salida con el resultado esperado y confirma que la aplicación no haya cambiado silenciosamente a una conexión directa. Después inicia la tarea principal.

Una prueba desde otro ordenador o un servicio remoto llega desde otra IP de origen. Rechazar ese comprobador puede significar que la restricción de acceso funciona correctamente. No demuestra por sí solo que el proxy esté averiado.

¿Qué sucede cuando cambia tu IP o tu red?

Si tu ISP asigna otra dirección, un portátil cambia a Internet móvil o cambia la salida de la VPN, las nuevas conexiones pueden llegar desde una IP que no está en la lista. Los proxies pueden seguir funcionando: ha cambiado la condición de acceso del cliente.

Una breve interrupción de Internet no cambia necesariamente la IP. Comprueba primero la dirección actual y compárala con la entrada permitida. Si no ha cambiado, investiga la disponibilidad de la red, la configuración de la aplicación o el estado del servicio. Es posible que también deban restablecerse las conexiones existentes después de una interrupción de red.

Si la dirección cambia a menudo, considera el trabajo necesario para mantener el acceso. Una IP pública fija, una salida de servidor estable o las actualizaciones automáticas de la lista mediante una API pueden ayudar cuando estén disponibles. La automatización debe tener en cuenta el tiempo de aplicación de la regla y limitar los reintentos. Una clave de API utilizada para cambiar ajustes es un secreto separado, incluso si la conexión al proxy no utiliza contraseña.

No conserves una dirección antigua «por si acaso» después de perder su control: más adelante podría asignarse a otra persona. Revoca su permiso mediante los controles del servicio. Que esa revocación termine las conexiones existentes depende de la implementación.

Qué protege la lista de IP y cómo gestionarla

Si alguien conoce solo la dirección y el puerto de un proxy, la comprobación de origen le impide conectarse desde una red no permitida. Esto ayuda a proteger frente al uso de una lista de proxies filtrada. Sin embargo, funciona dentro de las reglas del servicio y no sustituye la protección de los ordenadores y puertas de enlace permitidos.

Una IP pública no demuestra la identidad de una persona. Distintos empleados pueden utilizar una salida de oficina, mientras CGNAT —la compartición de direcciones en el proveedor de Internet— puede situar a distintos abonados detrás de una IP pública. Si el acceso depende solo de esa IP, el proxy no puede distinguirlos mediante esa regla. Permite direcciones solo cuando sepas quién puede utilizarlas.

Eliminar una IP compartida bloquea ese origen para todos; no puede revocar solo el acceso de un empleado y mantener conectados a los demás. El control de acceso individual necesita medidas adicionales. Antes de permitir una subred entera, comprueba quién puede conectarse desde ella y si el servicio exige también credenciales.

La autenticación por IP no cifra por sí misma el tráfico ni hace que la IP de salida sea irreconocible como proxy. La protección de datos depende de las conexiones utilizadas, y el comportamiento de red u otras señales pueden seguir revelando información sobre el proxy. No tener una contraseña en la configuración no significa que el acceso sea incontrolado ni que el tráfico esté cifrado.

Por qué puede fallar el acceso por IP

El código 407 pertenece a HTTP. SOCKS5 tiene sus propias respuestas y mensajes de error; no necesitas buscar en ellos un código HTTP. Entre los datos útiles para soporte están la hora del intento, la IP de salida del cliente, la dirección y el puerto del proxy, el protocolo seleccionado y el mensaje de error exacto.

Cuándo elegir la autenticación por IP

Este método encaja con una aplicación que tiene una conexión de salida estable y controlada cuando todo el entorno de trabajo necesita acceso y quieres evitar distribuir una contraseña a cada proceso. Antes de elegirlo, confirma que hay suficientes entradas permitidas para cada ubicación y que puedes actualizar la lista si cambia la red.

Si las direcciones cambian con frecuencia, el personal trabaja desde redes distintas o el acceso debe revocarse individualmente, considera otros métodos de autenticación y las restricciones adicionales del servicio. La decisión depende de quién se conectará y desde dónde, más que del número de direcciones de la lista de proxies que has comprado.