Authentification par IP pour les proxys : quelle adresse autoriser et quand l’utiliser

L’authentification par IP vous permet d’utiliser un proxy depuis une adresse de connexion approuvée. Vous ajoutez cette adresse à la liste d’accès du fournisseur, et votre application se connecte sans nom d’utilisateur et mot de passe proxy distincts. Les fournisseurs parlent couramment de whitelist, d’allowlist ou de liste d’adresses IP autorisées.

Cette méthode est utile lorsqu’une application fonctionne depuis un réseau stable, par exemple un serveur avec une IP publique fixe. Mais l’adresse à autoriser est celle depuis laquelle l’application se connecte, pas celle du proxy que vous avez acheté. Ces adresses sont faciles à confondre pendant la configuration.

Pour une comparaison des méthodes d’accès, consultez Authentification proxy. Ce guide explique quelle IP source autoriser, comment plusieurs appareils partagent l’accès et ce qu’il faut vérifier après un changement de réseau.

Comment un proxy vérifie une IP autorisée

Lorsqu’une connexion arrive, le proxy voit son IP source et la compare aux adresses autorisées. Si elle correspond et que les autres exigences du service sont remplies, le proxy accepte la requête. Avec la seule authentification par IP, vous n’avez pas besoin d’envoyer un mot de passe proxy. Un service peut aussi combiner une vérification d’adresse et d’autres exigences d’accès.

Prenons un ordinateur domestique qui se connecte à Internet par un routeur.

L’adresse de connexion d’un proxy et son IP de sortie peuvent être identiques ou différentes. Aucune ne remplace l’IP du client dans la liste d’accès. Acheter un proxy avec une IP de sortie statique ne rend pas non plus votre adresse domestique permanente.

Le même principe s’applique à un proxy dans un réseau local : il vérifie la source de connexion qu’il peut voir. Cette source peut être une adresse privée. Pour un proxy commercial sur Internet, il faut normalement l’adresse publique de sortie de votre réseau.

Quand l’authentification par IP est utile

Sur un serveur avec une adresse de sortie fixe, vous pouvez autoriser cette adresse une fois et utiliser les proxys dans plusieurs de vos processus. Vous n’avez pas besoin de stocker un mot de passe proxy dans chaque configuration, de le distribuer entre les applications ou de mettre à jour toutes ses copies lorsqu’il change.

Dans un bureau doté d’un réseau administré, plusieurs ordinateurs peuvent partager une IP publique. Une seule entrée peut autoriser l’adresse de sortie de ce réseau si le service permet cette utilisation. L’administrateur réseau reste responsable du contrôle d’accès au sein du bureau.

Un autre cas est une application qui prend en charge le protocole proxy requis, mais ne peut pas envoyer de nom d’utilisateur et de mot de passe selon la méthode proposée. L’authentification par IP peut résoudre ce problème précis. Elle n’ajoutera pas HTTP, SOCKS5 ou une autre fonction absente de l’application.

Comment trouver l’IP à ajouter

Vérifiez l’adresse depuis l’environnement où l’application s’exécutera. Pour un navigateur sur votre ordinateur domestique, vous pouvez ouvrir la page de consultation de l’adresse IP sans utiliser le proxy en cours de configuration. Si vous l’ouvrez par ce proxy, vous verrez l’adresse de sortie du proxy et risquez d’ajouter la mauvaise IP à la liste.

Si un script s’exécute sur un VPS, il vous faut l’adresse de sortie du VPS, pas celle de l’ordinateur domestique utilisé pour l’administrer. Dans un environnement cloud, un serveur ou un conteneur peut envoyer son trafic par une passerelle NAT partagée. L’adresse publique de cette passerelle est alors celle qui compte ; elle peut différer de l’adresse utilisée pour vous connecter au serveur.

Avec un VPN, prêtez attention au trajet. Si la connexion au proxy passe par le VPN, le proxy voit l’adresse de sortie du VPN. Avec un routage fractionné, un navigateur et un script peuvent utiliser des sorties différentes. Une consultation dans un navigateur ne confirme donc que le trajet testé ; les journaux de connexion du fournisseur, lorsqu’ils sont disponibles, peuvent aider à établir directement la source.

IPv4 et IPv6 sont des adresses distinctes. Autoriser une adresse IPv4 n’autorise pas automatiquement une connexion IPv6. Vérifiez quelle version la liste d’accès accepte et quelle adresse l’application utilise pour atteindre le proxy. Cela est distinct de la version de l’IP de sortie du proxy que le site web verra.

Chez ProxyCompass, utilisez l’adresse IPv4 publique indiquée par la consultation, même si celle-ci affiche aussi IPv6. Dans la fiche du service, ouvrez IP Whitelist → Manage, collez l’adresse IPv4 dans le champ d’ajout et cliquez sur Add IP. Après avoir configuré la liste, cliquez sur Save et attendez environ trois minutes pour que la règle d’accès prenne effet. Testez ensuite une nouvelle connexion par le proxy.

Combien d’IP autorisées faut-il pour plusieurs appareils ?

Comptez les adresses sources différentes depuis lesquelles les connexions atteignent le proxy. Le nombre d’ordinateurs et le nombre de proxys achetés peuvent être très différents.

Par exemple, huit ordinateurs de bureau partageant une seule adresse publique de sortie peuvent utiliser une seule entrée. Un ordinateur domestique et un VPS ayant des adresses de sortie différentes ont besoin de deux adresses autorisées pour fonctionner en même temps. Si une seule entrée est disponible, remplacer l’IP domestique par celle du VPS ne donne pas un accès simultané aux deux sources.

À l’inverse, si une entrée s’applique à la commande entière, se connecter depuis un serveur à vingt proxys ne nécessite pas vingt IP client. Les adresses sources autorisées, le nombre de proxys d’une commande et la limite de connexions simultanées sont des paramètres de service distincts.

Avant l’achat, vérifiez le nombre d’entrées disponibles et les conditions d’ajout ou de remplacement. Plusieurs réseaux peuvent nécessiter des entrées supplémentaires, une sortie partagée administrée ou une autre méthode d’authentification si le service le permet. Une sortie partagée demande de la maintenance et ajoute un composant dont la disponibilité affecte la tâche.

Dans l’exemple ProxyCompass présenté, l’offre autorise 1500 connexions simultanées. La valeur 750 à côté d’une IP est la limite de connexions depuis cette adresse client, pas le nombre de connexions actuellement ouvertes. Les deux adresses reçoivent 750 chacune ; utilisez les curseurs pour modifier la répartition, par exemple 1000 pour la première et 500 pour la seconde. Les appareils derrière une même IP publique partagent le quota de cette IP.

Ajouter une autre IP à la liste des adresses autorisées n’augmente pas la limite totale de connexions de l’offre. L’article sur les limites de connexions simultanées explique comment cette limite affecte les tâches parallèles et les connexions réutilisées.

Comment configurer l’accès et vérifier le résultat

1. Identifiez l’IP de sortie de l’environnement de travail et ajoutez-la à la liste du bon service. Assurez-vous d’avoir sélectionné la commande ou le groupe de proxys que l’application utilisera.
2. Obtenez auprès du fournisseur l’adresse de connexion, le port, le protocole et le mode d’accès pour l’authentification par IP. Saisissez-les dans l’application. Laissez les champs de nom d’utilisateur et de mot de passe vides uniquement pour un mode qui fonctionne réellement sans eux.
3. Laissez la règle prendre effet selon les instructions du service. Une interface ou une réponse API confirmant l’enregistrement d’une entrée ne signifie pas toujours que tous les nœuds utilisent déjà la règle. Il n’existe pas de délai d’attente universel.
4. Ouvrez une nouvelle connexion depuis l’application de travail et envoyez une petite requête par le proxy. Comparez l’IP de sortie au résultat attendu et confirmez que l’application n’a pas basculé silencieusement vers une connexion directe. Lancez ensuite la tâche principale.

Un test depuis un autre ordinateur ou un service distant arrive d’une autre IP source. Le refus de cet outil de test peut signifier que la restriction d’accès fonctionne correctement. Il ne prouve pas, à lui seul, que le proxy est défectueux.

Que se passe-t-il quand votre IP ou votre réseau change ?

Si votre fournisseur d’accès attribue une nouvelle adresse, qu’un ordinateur portable passe à Internet mobile ou que la sortie VPN change, les nouvelles connexions peuvent arriver depuis une IP absente de la liste. Les proxys eux-mêmes peuvent toujours fonctionner : c’est la condition d’accès du client qui a changé.

Une brève coupure Internet ne change pas nécessairement l’IP. Vérifiez d’abord l’adresse actuelle et comparez-la à l’entrée autorisée. Si elle est identique, examinez la disponibilité du réseau, les paramètres de l’application ou l’état du service. Les connexions existantes peuvent tout de même devoir être rétablies après une interruption réseau.

Si l’adresse change souvent, tenez compte du travail nécessaire pour maintenir l’accès. Une IP publique fixe, une sortie de serveur stable ou des mises à jour automatiques de la liste par une API peuvent aider lorsque ces options sont disponibles. L’automatisation doit tenir compte du délai d’application de la règle et limiter les nouvelles tentatives. Une clé API utilisée pour modifier les paramètres est un secret distinct, même si la connexion proxy n’utilise pas de mot de passe.

Ne conservez pas une ancienne adresse « au cas où » après en avoir perdu le contrôle : elle pourrait ensuite être attribuée à quelqu’un d’autre. Révoquez son autorisation avec les commandes du service. L’arrêt éventuel des connexions existantes lors de cette révocation dépend de l’implémentation.

Ce que protège la liste d’IP et comment la gérer

Si quelqu’un ne connaît que l’adresse et le port d’un proxy, la vérification de la source l’empêche de se connecter depuis un réseau non autorisé. Cela aide à se protéger contre l’utilisation d’une liste de proxys divulguée. Toutefois, cette vérification s’exerce dans le cadre des règles du service et ne remplace pas la protection des ordinateurs et des passerelles autorisés.

Une IP publique ne prouve pas l’identité d’une personne. Différents employés peuvent utiliser une sortie de bureau commune, tandis que le CGNAT — le partage d’adresses chez le fournisseur d’accès — peut placer différents abonnés derrière une seule IP publique. Si l’accès dépend uniquement de cette IP, le proxy ne peut pas les distinguer avec cette règle. N’autorisez des adresses que si vous savez qui peut les utiliser.

Supprimer une IP partagée bloque cette source pour tout le monde ; cela ne permet pas de révoquer l’accès d’un seul employé tout en maintenant les autres connectés. Le contrôle d’accès individuel exige des mesures supplémentaires. Avant d’autoriser un sous-réseau entier, vérifiez qui peut s’y connecter et si le service exige aussi des identifiants.

L’authentification par IP ne chiffre pas elle-même le trafic et ne rend pas l’IP de sortie méconnaissable comme proxy. La protection des données dépend des connexions utilisées, et le comportement réseau ou d’autres signaux peuvent encore révéler des informations sur le proxy. L’absence de mot de passe dans les paramètres ne signifie ni que l’accès est libre ni que le trafic est chiffré.

Pourquoi l’accès par IP peut échouer

Le code 407 appartient à HTTP. SOCKS5 possède ses propres réponses et messages d’erreur ; il n’est pas nécessaire d’y rechercher un code HTTP. Les informations utiles à l’assistance comprennent l’heure de la tentative, l’IP de sortie du client, l’adresse et le port du proxy, le protocole sélectionné et le message d’erreur exact.

Quand choisir l’authentification par IP

Cette méthode convient à une application avec une connexion sortante stable et contrôlée, lorsque tout l’environnement de travail a besoin d’un accès et que vous souhaitez éviter de distribuer un mot de passe à chaque processus. Avant de la choisir, confirmez qu’il y a suffisamment d’entrées autorisées pour chaque lieu et que vous pouvez mettre à jour la liste en cas de changement de réseau.

Si les adresses changent fréquemment, que le personnel travaille depuis différents réseaux ou que l’accès doit être révoqué individuellement, envisagez d’autres méthodes d’authentification et les restrictions supplémentaires du service. La décision dépend des personnes qui se connecteront et de leur provenance, plutôt que du nombre d’adresses dans la liste de proxys achetée.