Siti e app bloccati
Un fornitore di proxy può mantenere un elenco di risorse alle quali i clienti non possono accedere tramite la sua rete. Una voce può derivare da una segnalazione di abuso o da una richiesta di un fornitore dell’infrastruttura. Altre destinazioni vengono bloccate preventivamente perché il fornitore considera troppo elevato il rischio di incidenti.
È uno dei limiti di utilizzo dei proxy che determina dove il servizio può trasportare il tuo traffico. Il proxy può essere disponibile e configurato correttamente mentre rifiuta connessioni a una destinazione presente nell’elenco.
Come una segnalazione diventa una destinazione bloccata
Quando un cliente utilizza un proxy, la destinazione riceve traffico dall’IP di uscita del proxy. Se quel traffico causa un problema, il gestore del sito può segnalare l’indirizzo all’organizzazione responsabile della sua rete. La segnalazione può raggiungere direttamente il fornitore di proxy oppure arrivare tramite la società di hosting, il data center o l’operatore di rete che fornisce l’infrastruttura.
Una segnalazione di abuso è una comunicazione su un sospetto utilizzo improprio di un servizio. Può riguardare tentativi ripetuti di accesso non autorizzato, scansioni oppure traffico che sovraccarica un sistema. Un fornitore dell’infrastruttura può richiedere al proprio cliente, il fornitore di proxy, di interrompere l’attività. Secondo le regole del fornitore e l’incidente, lasciare irrisolto il problema può mettere a rischio un server o l’accesso alla rete.
Se i dati registrati consentono di identificare l’account coinvolto, il fornitore può indagare e limitarlo. Può inoltre bloccare la destinazione interessata su una parte o sulla totalità del servizio. Queste misure risolvono problemi diversi: una restrizione dell’account riguarda un determinato cliente, mentre un blocco della destinazione impedisce ad altri clienti di inviare traffico alla stessa risorsa attraverso il servizio coperto.
Considera un portale governativo che riceve ripetutamente traffico indesiderato da un servizio proxy. Dopo una segnalazione e una richiesta di interrompere quel traffico, il fornitore aggiunge il portale al proprio elenco di blocco. In seguito un altro cliente prova a scaricare un documento pubblico e riceve un errore. Il secondo cliente non ha fatto nulla di sbagliato, ma la regola condivisa sulla destinazione si applica anche a quella connessione.
Perché i fornitori bloccano risorse prima di un incidente
Un fornitore non deve attendere una segnalazione separata per ogni sito. Dopo aver gestito incidenti relativi a un certo tipo di risorsa, può decidere di limitare preventivamente destinazioni simili. Un elenco di blocco diventa così una misura preventiva oltre che un registro dei problemi precedenti.
Il costo potenziale va oltre la gestione di una singola segnalazione. Gli incidenti ripetuti richiedono tempo al personale, danneggiano i rapporti con i fornitori dell’infrastruttura e possono minacciare la disponibilità del servizio per altri clienti. Un fornitore può decidere che trasportare traffico verso una categoria sensibile non valga questi rischi, anche se alcuni clienti hanno ragioni legittime per accedervi.
Questo spiega perché una restrizione ampia può rimanere anche dopo la rimozione del cliente originario. Il fornitore cerca di evitare che il problema si ripeta. Può limitare un’intera categoria senza prima stabilire se ogni nuovo visitatore intenda leggere una pagina, effettuare l’accesso o compiere un’azione indesiderata.
Quali risorse possono entrare in un elenco di blocco
Le risorse governative e finanziarie sono esempi di categorie che i fornitori possono limitare per precauzione. Comprendono sistemi in cui accessi non autorizzati o interruzioni possono interessare dati personali, servizi pubblici, account o denaro. Un fornitore può scegliere una regola ampia perché valutare l’attività prevista da ogni cliente è più difficile che negare l’accesso alla destinazione.
| Risorse | Perché un fornitore potrebbe limitarle |
|---|---|
| Portali governativi e sistemi del settore pubblico | Per ridurre il rischio di tentativi di accesso non autorizzato, scansioni o interruzioni che interessano i servizi pubblici. |
| Banche, servizi di pagamento e altre piattaforme finanziarie | Per limitare le possibilità di attacchi agli account e frodi finanziarie attraverso la rete proxy. |
| Altre risorse associate a segnalazioni ripetute | Un determinato sito o servizio può essere aggiunto dopo incidenti, indipendentemente dalla categoria. |
Non esiste un unico elenco di blocco utilizzato da tutti i fornitori di proxy. Un servizio può limitare singoli domini, mentre un altro chiude un’intera categoria. Anche all’interno di una stessa azienda, le regole possono variare tra prodotti o reti. La presenza di un sito governativo nell’elenco di un fornitore non dimostra che venga bloccato da tutti.
Una categoria deve inoltre essere tradotta in regole tecniche. Le risorse governative utilizzano molti schemi di denominazione dei domini, quindi bloccare soltanto indirizzi che terminano con .gov non equivale a bloccare tutti i siti governativi. Un fornitore può mantenere un proprio elenco oppure utilizzare un servizio di classificazione per identificare le destinazioni.
Come il proxy applica l’elenco di blocco
Prima che un proxy possa collegarti a una risorsa, deve conoscere la destinazione. Con un proxy HTTP, un client può richiedere un tunnel HTTPS utilizzando CONNECT portal.example:443. Questa richiesta fornisce al proxy il nome host e la porta di destinazione. Anche SOCKS5 trasporta un indirizzo di destinazione, fornito come nome host oppure indirizzo IP.
Il servizio confronta quella destinazione con le proprie regole di accesso. Se una regola corrispondente la proibisce, il servizio può rifiutare la connessione prima di inoltrare la richiesta del cliente al sito. Una regola di dominio verifica un nome; una regola di indirizzo verifica l’IP o il blocco di destinazione. Una regola di categoria può basarsi su un elenco di domini o indirizzi assegnati a quella categoria.
Questo non richiede che il proxy legga una pagina cifrata. In un normale tunnel HTTPS, la destinazione è nota prima dell’inizio dello scambio protetto con il sito. Il blocco può quindi avvenire senza esaminare il contenuto della pagina, il percorso URL completo o la password che un visitatore avrebbe inserito.
Conta l’ambito della regola. Bloccare un nome host non blocca automaticamente ogni sottodominio della stessa organizzazione. Viceversa, una regola di dominio ampia o una regola IP che copre un server condiviso può interessare più risorse di quella che ha provocato la segnalazione. Anche i cambiamenti degli indirizzi dei siti richiedono manutenzione dell’elenco di blocco.
Perché l’accesso dipende dal prodotto
Un fornitore può applicare regole di accesso diverse a prodotti diversi. Un sito può essere bloccato sui suoi proxy datacenter o ISP, disponibile tramite la rete residenziale oppure accessibile soltanto attraverso un servizio gestito di raccolta dati.
Alcuni fornitori consentono l’accesso a determinate risorse soltanto dopo il KYC (Know Your Customer), un processo che verifica l’identità del cliente. Il fornitore può inoltre dover approvare l’attività specifica. L’accesso concesso dopo questi controlli può comunque essere limitato a un determinato prodotto o destinazione; non elimina ogni restrizione dell’account.
Conta anche il modo in cui il servizio gestisce le richieste. Con un normale proxy, il browser o il programma del cliente decide quali richieste inviare. Con un’API di estrazione dati, il cliente invia un’attività, come recuperare una pagina o raccogliere dati di prodotti, e il sistema del fornitore la esegue. Il risultato può essere l’HTML della pagina oppure dati estratti in un formato strutturato.
In un servizio gestito di questo tipo, il fornitore può selezionare la rete proxy, impostare intestazioni e cookie delle richieste, ripetere le richieste fallite ed elaborare la risposta. La suddivisione esatta del controllo dipende dal prodotto: alcune impostazioni sono automatiche, mentre altre possono essere fornite dal cliente entro i limiti consentiti. Il fornitore controlla lo scambio con il sito di destinazione per quell’attività e può limitare i parametri delle richieste accettati.
Questo permette al fornitore di consentire un’operazione specifica mantenendo limitato l’accesso più ampio. Per esempio, un servizio può permettere a un’API di raccogliere prezzi pubblici di prodotti e rifiutare l’accesso proxy ordinario allo stesso dominio. Quel permesso non copre automaticamente l’accesso con credenziali, l’invio di moduli o la gestione di un account. Un prodotto può supportare la lettura di determinate pagine senza supportare ogni azione disponibile sul sito.
Verifica l’accesso per la combinazione di prodotto, destinazione e operazione prevista. Il funzionamento di un sito attraverso l’API di un fornitore non dimostra che funzioni attraverso il suo pacchetto proxy. Anche un’API gestita ha le proprie restrizioni. Prima dell’acquisto chiedi quale prodotto consente la tua attività e se richiede una verifica o un’approvazione separata.
Che cosa vede il cliente
Il risultato più chiaro è un messaggio esplicito che indica che la destinazione non è consentita. In altri casi il software segnala soltanto un errore di connessione o un timeout. Quanto apprende il cliente dipende sia dalla risposta restituita dal servizio sia dai dettagli mostrati dall’applicazione.
Una destinazione bloccata può rimanere indisponibile su molti IP proxy altrimenti funzionanti. Se la stessa regola copre l’intero pacchetto, sostituirne gli indirizzi non cambia il risultato. Anche acquistare più traffico o aumentare il limite di connessioni simultanee lascia invariata la regola sulla destinazione.
Un’applicazione può fallire soltanto in parte. Per esempio, la pagina principale può utilizzare un dominio e il servizio di accesso un altro. Se il secondo indirizzo è bloccato, la pagina si apre ma l’accesso fallisce. Lo stesso può accadere ai download di file o ad altre funzioni che utilizzano server separati. Un elenco di blocco si applica alle destinazioni di rete contattate dall’app, non semplicemente al suo nome.
In che cosa differisce dal rifiuto del proxy da parte di un sito
L’elenco di blocco di un fornitore ferma il traffico lungo il percorso verso una destinazione. Un sito può rifiutare separatamente il traffico che raggiunge i propri server o il proprio servizio di sicurezza, per esempio perché rifiuta l’IP di uscita o considera sospetta l’attività. In quel caso il rifiuto proviene dalla destinazione.
Un semplice HTTP 403 o una connessione fallita non identificano, da soli, chi ha bloccato l’accesso. Un messaggio del fornitore che indica una destinazione proibita è più utile del solo numero di stato. Quando la causa non è chiara, l’assistenza necessita dell’indirizzo esatto, del servizio utilizzato, dell’orario del tentativo e del testo completo dell’errore per verificare se è intervenuta una regola del fornitore.
Esiste anche un tipo separato di restrizione: le porte di destinazione bloccate. Un blocco di dominio nega l’accesso a una risorsa, mentre una restrizione di porta può impedire un determinato tipo di connessione verso molti server diversi. Un sito o un’app inaccessibile è quindi un sintomo; l’elenco delle destinazioni è una possibile causa.
Una risorsa può essere rimossa dall’elenco di blocco?
Dipende dal motivo della regola e da chi la controlla. Se il fornitore ha aggiunto una destinazione per precauzione, potrebbe essere disposto a valutare un’attività specifica. Se l’accesso è escluso dal fornitore dell’infrastruttura o da una regola fissa del prodotto, una normale richiesta di assistenza potrebbe non bastare a cambiarlo.
Quando sono disponibili eccezioni, una richiesta utile identifica la risorsa esatta e spiega l’attività prevista: quali dati o funzioni servono, se è necessario effettuare l’accesso e quale carico è previsto. Il fornitore può così valutare un utilizzo specifico anziché una richiesta indefinita di aprire un’intera categoria.
Una verifica o un’approvazione non elimina necessariamente ogni restrizione dell’account. Un’eccezione può coprire soltanto una determinata destinazione o un prodotto. Qualsiasi accesso concesso dal fornitore di proxy lascia inoltre in vigore i controlli di accesso del sito stesso.
Gli elenchi di blocco possono cambiare con l’arrivo di nuove segnalazioni o con una revisione della valutazione del rischio del fornitore. Una risorsa che funzionava in precedenza può diventare indisponibile dopo l’aggiunta di una regola. Per un’attività che dipende da un determinato sito, accerta che la destinazione e l’operazione richiesta siano supportate prima di scegliere il servizio; il numero di IP disponibili non risponde a questa domanda.