Autenticazione tramite IP per i proxy: quale indirizzo consentire e quando usarla

L’autenticazione tramite IP permette di usare un proxy da un indirizzo di connessione approvato. Aggiungi l’indirizzo all’elenco di accesso del fornitore e l’applicazione si connette senza nome utente e password proxy separati. I fornitori lo chiamano comunemente whitelist, allowlist o elenco degli indirizzi IP autorizzati.

Questo metodo è utile quando un’applicazione viene eseguita da una rete stabile, per esempio un server con IP pubblico fisso. Ma l’indirizzo da consentire è quello da cui si connette l’applicazione, non l’indirizzo del proxy acquistato. È facile confonderli durante la configurazione.

Per un confronto tra i metodi di accesso, consulta Autenticazione proxy. Questa guida spiega quale IP di origine consentire, come più dispositivi condividono l’accesso e che cosa verificare dopo un cambio di rete.

Come un proxy controlla un IP consentito

Quando arriva una connessione, il proxy ne vede l’IP di origine e lo confronta con gli indirizzi consentiti. Se corrisponde e sono soddisfatti gli altri requisiti del servizio, accetta la richiesta. Con la sola autenticazione tramite IP, non serve inviare una password proxy. Un servizio può anche combinare il controllo dell’indirizzo con altri requisiti di accesso.

Considera un computer domestico che si connette a Internet attraverso un router.

L’indirizzo di connessione e l’IP di uscita di un proxy possono coincidere oppure essere diversi. Nessuno dei due sostituisce l’IP del client nell’elenco di accesso. Acquistare un proxy con IP di uscita statico non rende permanente neppure il tuo indirizzo domestico.

Lo stesso principio vale per un proxy all’interno di una rete locale: controlla l’origine della connessione che può vedere. Tale origine può essere un indirizzo privato. Per un proxy commerciale su Internet, serve normalmente l’indirizzo pubblico in uscita della tua rete.

Quando è utile l’autenticazione tramite IP

Su un server con indirizzo di uscita fisso, puoi autorizzare l’indirizzo una volta e usare i proxy in più processi. Non devi memorizzare una password proxy in ogni configurazione, distribuirla tra applicazioni o aggiornare ogni copia quando cambia.

In un ufficio gestito, più computer possono condividere un IP pubblico. Una sola voce può autorizzare l’indirizzo di uscita di quella rete, se il servizio permette tale uso. L’amministratore di rete resta responsabile del controllo degli accessi all’interno dell’ufficio.

Un altro caso è un’applicazione che supporta il protocollo proxy richiesto ma non può inviare nome utente e password con il metodo offerto. L’autenticazione tramite IP può risolvere quel problema specifico. Non aggiunge HTTP, SOCKS5 o altre funzionalità mancanti all’applicazione.

Come trovare l’IP da aggiungere

Controlla l’indirizzo dall’ambiente in cui verrà eseguita l’applicazione. Per un browser sul computer domestico, puoi aprire la pagina di ricerca dell’indirizzo IP senza usare il proxy che stai configurando. Se la apri attraverso quel proxy, vedrai il suo indirizzo di uscita e potresti aggiungere l’IP sbagliato all’elenco.

Se uno script viene eseguito su una VPS, serve l’indirizzo di uscita della VPS, non quello del computer domestico con cui la gestisci. In un ambiente cloud, un server o un container può inviare traffico attraverso un gateway NAT condiviso. L’indirizzo pubblico del gateway è allora quello pertinente; può essere diverso dall’indirizzo usato per accedere al server.

Con una VPN, presta attenzione al percorso. Se la connessione al proxy attraversa la VPN, il proxy vede l’indirizzo di uscita della VPN. Con instradamento separato, browser e script possono usare uscite diverse. Una ricerca nel browser conferma quindi soltanto il percorso che ha testato; i log delle connessioni del fornitore, dove disponibili, possono aiutare a stabilire direttamente l’origine.

IPv4 e IPv6 sono indirizzi separati. Consentire un indirizzo IPv4 non consente automaticamente una connessione IPv6. Controlla quale versione accetta l’elenco di accesso e quale indirizzo usa l’applicazione per raggiungere il proxy. È distinto dalla versione dell’IP di uscita del proxy che vedrà il sito.

Su ProxyCompass, usa l’indirizzo IPv4 pubblico della ricerca, anche se mostra anche IPv6. Nella scheda del servizio, apri IP Whitelist → Manage, incolla l’indirizzo IPv4 nel campo di aggiunta e fai clic su Add IP. Dopo aver configurato l’elenco, fai clic su Save e attendi circa tre minuti affinché la regola di accesso diventi effettiva. Testa poi una nuova connessione attraverso il proxy.

Quanti IP consentiti servono per più dispositivi?

Conta gli indirizzi di origine diversi da cui le connessioni raggiungono il proxy. Il numero di computer e quello dei proxy acquistati possono essere molto diversi.

Per esempio, otto computer dell’ufficio che condividono un indirizzo pubblico in uscita possono usare una sola voce. Un computer domestico e una VPS con indirizzi di uscita diversi richiedono due indirizzi consentiti per funzionare contemporaneamente. Se è disponibile una sola voce, sostituire l’IP domestico con quello della VPS non concede accesso simultaneo a entrambe le origini.

Viceversa, se una voce vale per l’intero ordine, connettersi da un server a venti proxy non richiede venti IP client. Gli indirizzi di origine consentiti, il numero di proxy in un ordine e il limite delle connessioni simultanee sono impostazioni separate del servizio.

Prima di acquistare, controlla il numero di voci disponibili e le condizioni per aggiungerle o sostituirle. Più reti possono richiedere voci aggiuntive, un’uscita condivisa gestita o un altro metodo di autenticazione, se il servizio lo consente. Un’uscita condivisa richiede manutenzione e aggiunge un altro componente la cui disponibilità influisce sull’attività.

Nell’esempio ProxyCompass mostrato, il pacchetto consente 1 500 connessioni simultanee. Il valore 750 accanto a un IP è il limite per le connessioni da quell’indirizzo client, non il numero attualmente aperto. I due indirizzi ricevono 750 ciascuno; usa i cursori per cambiare la ripartizione, per esempio 1 000 al primo e 500 al secondo. I dispositivi dietro un IP pubblico condividono l’assegnazione di quell’IP.

Aggiungere un altro IP alla whitelist non aumenta il limite totale di connessioni del pacchetto. L’articolo sui limiti delle connessioni simultanee spiega come questo limite influisce sulle attività parallele e sulle connessioni riutilizzate.

Come configurare l’accesso e controllare il risultato

1. Identifica l’IP di uscita dell’ambiente di lavoro e aggiungilo all’elenco del servizio corretto. Assicurati di avere selezionato l’ordine o il gruppo di proxy che userà l’applicazione.
2. Ottieni dal fornitore indirizzo di connessione, porta, protocollo e modalità di accesso per l’autenticazione tramite IP. Inseriscili nell’applicazione. Lascia vuoti i campi nome utente e password soltanto per una modalità che funzioni realmente senza di essi.
3. Attendi che la regola diventi effettiva secondo le istruzioni del servizio. Una risposta del pannello o dell’API che conferma il salvataggio di una voce non significa sempre che tutti i nodi stiano già usando la regola. Non esiste un tempo di attesa universale.
4. Apri una nuova connessione dall’applicazione di lavoro ed esegui una piccola richiesta attraverso il proxy. Confronta l’IP di uscita con il risultato previsto e conferma che l’applicazione non sia passata silenziosamente a una connessione diretta. Avvia poi l’attività principale.

Un test da un altro computer o un servizio remoto arriva da un altro IP di origine. Rifiutare quel verificatore può significare che la restrizione di accesso funzioni correttamente. Non dimostra di per sé che il proxy sia difettoso.

Che cosa succede quando cambia il tuo IP o la rete?

Se l’ISP assegna un nuovo indirizzo, un portatile passa a Internet mobile o cambia l’uscita della VPN, le nuove connessioni possono arrivare da un IP non presente nell’elenco. I proxy stessi possono continuare a funzionare: è cambiata la condizione di accesso del client.

Una breve interruzione di Internet non cambia necessariamente l’IP. Controlla prima l’indirizzo attuale e confrontalo con la voce consentita. Se è invariato, esamina disponibilità della rete, impostazioni dell’applicazione o stato del servizio. Le connessioni esistenti possono comunque dover essere ripristinate dopo un’interruzione di rete.

Se l’indirizzo cambia spesso, considera il lavoro necessario per mantenere l’accesso. Un IP pubblico fisso, un’uscita server stabile o aggiornamenti automatici dell’elenco tramite API possono aiutare dove queste opzioni sono disponibili. L’automazione deve tenere conto del tempo di applicazione della regola e limitare i nuovi tentativi. Una chiave API usata per modificare le impostazioni è un segreto separato anche quando la connessione proxy non usa password.

Non mantenere un vecchio indirizzo “per sicurezza” dopo averne perso il controllo: in seguito potrebbe essere assegnato a qualcun altro. Revocane il permesso tramite i comandi del servizio. La chiusura delle connessioni esistenti dopo la revoca dipende dall’implementazione.

Che cosa protegge l’elenco IP e come gestirlo

Se qualcuno scopre soltanto indirizzo e porta di un proxy, il controllo dell’origine gli impedisce di connettersi da una rete non consentita. Aiuta a proteggere dall’uso di un elenco proxy divulgato. Tuttavia, opera entro le regole del servizio e non sostituisce la protezione dei computer e dei gateway consentiti.

Un IP pubblico non dimostra l’identità di una persona. Dipendenti diversi possono usare un’uscita dell’ufficio, mentre CGNAT, la condivisione degli indirizzi presso il fornitore Internet, può collocare abbonati diversi dietro un IP pubblico. Se l’accesso dipende solo da quell’IP, il proxy non può distinguerli con quella regola. Consenti gli indirizzi solo quando sai chi può usarli.

Rimuovere un IP condiviso blocca quell’origine per tutti; non può revocare l’accesso di un solo dipendente lasciando connessi gli altri. Il controllo individuale degli accessi richiede misure aggiuntive. Prima di consentire un’intera sottorete, verifica chi può connettersi da essa e se il servizio richiede anche credenziali.

L’autenticazione tramite IP non cifra di per sé il traffico e non rende l’IP di uscita irriconoscibile come proxy. La protezione dei dati dipende dalle connessioni usate e il comportamento di rete o altri segnali possono ancora rivelare informazioni sul proxy. L’assenza di una password nelle impostazioni non significa né accesso incontrollato né traffico cifrato.

Perché l’accesso tramite IP può fallire

Il codice 407 appartiene a HTTP. SOCKS5 ha risposte e messaggi di errore propri; non serve cercarvi un codice HTTP. I dettagli utili per l’assistenza includono ora del tentativo, IP di uscita del client, indirizzo e porta del proxy, protocollo selezionato e messaggio di errore esatto.

Quando scegliere l’autenticazione tramite IP

Questo metodo si adatta a un’applicazione con connessione di uscita stabile e controllata quando tutto l’ambiente di lavoro necessita di accesso e vuoi evitare di distribuire una password a ogni processo. Prima di sceglierlo, conferma che vi siano abbastanza voci consentite per ogni posizione e che tu possa aggiornare l’elenco se la rete cambia.

Se gli indirizzi cambiano spesso, il personale lavora da reti diverse o l’accesso deve essere revocato individualmente, considera altri metodi di autenticazione e le restrizioni aggiuntive del servizio. La decisione dipende da chi si connetterà e da dove, non da quanti indirizzi contiene l’elenco proxy acquistato.