Autenticação por IP para proxies: qual endereço permitir e quando usar
A autenticação por IP permite usar um proxy a partir de um endereço de conexão aprovado. Você adiciona esse endereço à lista de acesso do provedor, e sua aplicação se conecta sem um nome de usuário e uma senha de proxy separados. Os provedores costumam chamar isso de whitelist, allowlist ou lista de endereços IP autorizados.
Esse método é útil quando uma aplicação é executada a partir de uma rede estável, como um servidor com IP público fixo. Mas o endereço a permitir é aquele de onde a aplicação se conecta, e não o endereço do proxy comprado. É fácil confundir esses endereços durante a configuração.
Para comparar os métodos de acesso, consulte Autenticação de proxy. Este guia explica qual IP de origem permitir, como vários dispositivos compartilham o acesso e o que verificar depois de uma mudança de rede.
Como um proxy verifica um IP permitido
Quando chega uma conexão, o proxy vê seu IP de origem e o compara com os endereços permitidos. Se houver correspondência e os outros requisitos do serviço forem atendidos, o proxy aceitará a solicitação. Com apenas a autenticação por IP, não é necessário enviar uma senha de proxy. Um serviço também pode combinar a verificação do endereço com outros requisitos de acesso.
Considere um computador de casa que se conecta à internet por um roteador.
| Tipo de endereço | Exemplo | Sua função |
|---|---|---|
| IP local do computador | 192.168.1.20 | Usado dentro da rede doméstica. O proxy externo não o vê neste exemplo. |
| IP público da conexão de casa | 198.51.100.24 | A conexão chega ao proxy a partir desse endereço. É ele que deve ser permitido. |
| Endereço de conexão do proxy | 203.0.113.80 | Inserido nas configurações de proxy da aplicação, junto com a porta. |
| IP de saída do proxy | 203.0.113.90 | Visto pelo site como a origem da conexão que vem do proxy. |
O endereço de conexão e o IP de saída de um proxy podem ser iguais ou diferentes. Nenhum deles substitui o IP do cliente na lista de acesso. Comprar um proxy com IP de saída estático também não torna permanente o endereço da sua casa.
O mesmo princípio se aplica a um proxy dentro de uma rede local: ele verifica a origem da conexão que consegue ver. Essa origem pode ser um endereço privado. Para um proxy comercial na internet, você normalmente precisa do endereço público de saída da sua rede.
Quando a autenticação por IP é útil
Em um servidor com endereço de saída fixo, você pode autorizar o endereço uma vez e usar os proxies em vários processos seus. Não é preciso armazenar uma senha de proxy em cada configuração, distribuí-la entre aplicações ou atualizar todas as cópias quando ela mudar.
Em um escritório com rede gerenciada, vários computadores podem compartilhar um IP público. Uma única entrada pode autorizar o endereço de saída dessa rede se o serviço permitir esse uso. O administrador de rede continua responsável por controlar o acesso dentro do escritório.
Outro caso é uma aplicação compatível com o protocolo de proxy necessário, mas que não consegue enviar nome de usuário e senha pelo método oferecido. A autenticação por IP pode resolver esse problema específico. Ela não adiciona HTTP, SOCKS5 ou qualquer outra capacidade ausente à aplicação.
Como encontrar o IP a adicionar
Verifique o endereço a partir do ambiente onde a aplicação será executada. Para um navegador no computador de casa, você pode abrir a página de consulta de endereço IP sem usar o proxy que está configurando. Se abri-la por esse proxy, verá o endereço de saída do proxy e poderá adicionar o IP errado à lista.
Se um script é executado em um VPS, você precisa do endereço de saída do VPS, não do endereço do computador de casa usado para gerenciá-lo. Em um ambiente de nuvem, um servidor ou contêiner pode enviar tráfego por um gateway NAT compartilhado. Nesse caso, o endereço público do gateway é o relevante; ele pode ser diferente do endereço usado para fazer login no servidor.
Com uma VPN, preste atenção à rota. Se a conexão com o proxy passar pela VPN, o proxy verá o endereço de saída da VPN. Com roteamento dividido, um navegador e um script podem usar saídas diferentes. Portanto, uma consulta no navegador confirma apenas a rota que ela testou; os logs de conexão do provedor, quando disponíveis, podem ajudar a identificar a origem diretamente.
IPv4 e IPv6 são endereços separados. Permitir um endereço IPv4 não permite automaticamente uma conexão IPv6. Verifique qual versão a lista de acesso aceita e qual endereço a aplicação usa para chegar ao proxy. Isso é separado da versão do IP de saída do proxy que o site verá.
Na ProxyCompass, use o endereço IPv4 público da consulta, mesmo que ela também mostre IPv6. No cartão do serviço, abra IP Whitelist → Manage, cole o endereço IPv4 no campo de adição e clique em Add IP. Depois de configurar a lista, clique em Save e aguarde cerca de três minutos para que a regra de acesso entre em vigor. Em seguida, teste uma nova conexão pelo proxy.
De quantos IPs permitidos vários dispositivos precisam?
Conte os diferentes endereços de origem a partir dos quais as conexões chegam ao proxy. O número de computadores e o número de proxies comprados podem ser bem diferentes.
Por exemplo, oito computadores de um escritório que compartilham um endereço público de saída podem usar uma única entrada. Um computador de casa e um VPS com endereços de saída diferentes precisam de dois endereços permitidos para funcionar ao mesmo tempo. Se apenas uma entrada estiver disponível, substituir o IP de casa pelo IP do VPS não concederá acesso simultâneo às duas origens.
Por outro lado, se uma entrada se aplica ao pedido inteiro, conectar um servidor a vinte proxies não exige vinte IPs de clientes. Os endereços de origem permitidos, o número de proxies em um pedido e o limite de conexões simultâneas são configurações separadas do serviço.
Antes de comprar, verifique o número de entradas disponíveis e as condições para adicioná-las ou substituí-las. Várias redes podem exigir entradas extras, uma saída gerenciada compartilhada ou outro método de autenticação, se o serviço permitir. Uma saída compartilhada precisa de manutenção e acrescenta outro componente cuja disponibilidade afeta a tarefa.
No exemplo da ProxyCompass mostrado, o pacote permite 1500 conexões simultâneas. O valor 750 ao lado de um IP é o limite de conexões a partir desse endereço de cliente, e não o número de conexões abertas no momento. Os dois endereços recebem 750 cada; use os controles deslizantes para mudar a divisão, por exemplo, para 1000 no primeiro e 500 no segundo. Os dispositivos atrás de um IP público compartilham a alocação desse IP.
Adicionar outro IP à whitelist não aumenta o limite total de conexões do pacote. O artigo sobre limites de conexões simultâneas explica como esse limite afeta tarefas paralelas e conexões reutilizadas.
Como configurar o acesso e verificar o resultado
- Identifique o IP de saída a partir do ambiente de trabalho e adicione-o à lista do serviço correto. Certifique-se de ter selecionado o pedido ou o grupo de proxies que a aplicação usará.
- Obtenha com o provedor o endereço de conexão, a porta, o protocolo e o modo de acesso para autenticação por IP. Insira esses dados na aplicação. Deixe os campos de nome de usuário e senha vazios apenas em um modo que realmente funcione sem eles.
- Aguarde a entrada em vigor da regra conforme as instruções do serviço. Uma confirmação no painel ou na resposta da API de que uma entrada foi salva nem sempre significa que todos os nós já estão usando a regra. Não há um tempo de espera universal.
- Abra uma nova conexão a partir da aplicação de trabalho e faça uma pequena solicitação pelo proxy. Compare o IP de saída com o resultado esperado e confirme que a aplicação não mudou silenciosamente para uma conexão direta. Depois, inicie a tarefa principal.
Um teste a partir de outro computador ou de um serviço remoto chega de outro IP de origem. Rejeitar essa ferramenta de teste pode significar que a restrição de acesso está funcionando corretamente. Isso, por si só, não demonstra que o proxy está com defeito.
O que acontece quando seu IP ou sua rede muda?
Se seu provedor de internet atribuir um novo endereço, um notebook mudar para a internet móvel ou a saída da VPN mudar, novas conexões poderão chegar de um IP que não está na lista. Os próprios proxies podem continuar funcionando: a condição de acesso do cliente é que mudou.
Uma breve interrupção da internet não muda necessariamente o IP. Primeiro, verifique o endereço atual e compare-o com a entrada permitida. Se ele não mudou, investigue a disponibilidade da rede, as configurações da aplicação ou o status do serviço. Ainda pode ser necessário restabelecer conexões existentes após uma interrupção da rede.
Se o endereço muda com frequência, considere o trabalho necessário para manter o acesso. Um IP público fixo, uma saída estável de servidor ou atualizações automáticas da lista por uma API podem ajudar onde essas opções estiverem disponíveis. A automação deve considerar o tempo de aplicação da regra e limitar as novas tentativas. Uma chave de API usada para alterar configurações é um segredo separado, mesmo quando a conexão com o proxy não usa senha.
Não mantenha um endereço antigo “por precaução” depois de perder o controle sobre ele: mais tarde, ele pode ser atribuído a outra pessoa. Revogue a permissão usando os controles do serviço. Se a revogação encerra conexões existentes depende da implementação.
O que a lista de IPs protege e como gerenciá-la
Se alguém souber apenas o endereço e a porta de um proxy, a verificação de origem impede a conexão a partir de uma rede não permitida. Isso ajuda a proteger contra o uso de uma lista de proxies vazada. Porém, atua dentro das regras do serviço e não substitui a proteção dos computadores e gateways permitidos.
Um IP público não comprova a identidade de uma pessoa. Diferentes funcionários podem usar uma saída do escritório, enquanto o CGNAT — compartilhamento de endereços no provedor de internet — pode colocar diferentes assinantes atrás de um IP público. Se o acesso depender apenas desse IP, o proxy não conseguirá distingui-los usando essa regra. Permita endereços apenas quando souber quem pode usá-los.
Remover um IP compartilhado bloqueia essa origem para todos; não é possível revogar apenas o acesso de um funcionário e manter os outros conectados. O controle de acesso individual exige medidas adicionais. Antes de permitir uma sub-rede inteira, verifique quem pode se conectar a partir dela e se o serviço também exige credenciais.
A autenticação por IP, por si só, não criptografa o tráfego nem torna o IP de saída irreconhecível como proxy. A proteção dos dados depende das conexões usadas, e o comportamento da rede ou outros sinais ainda podem revelar informações sobre o proxy. Não ter uma senha nas configurações não significa que o acesso seja sem controle nem que o tráfego seja criptografado.
Por que o acesso por IP pode falhar
| O que acontece | O que verificar primeiro |
|---|---|
| Funciona em casa, mas não em um VPS | O IP de saída do VPS e se ele está na lista. O endereço de casa não autoriza uma origem diferente. |
| Parou de funcionar após uma mudança de rede ou VPN | Se o endereço de origem que chega ao proxy mudou. |
| O IP foi adicionado, mas a conexão não funcionou imediatamente | O serviço selecionado, o endereço exato, se a regra entrou em vigor e as configurações da nova conexão. |
Um proxy HTTP retorna 407 ou a aplicação pede uma senha | O modo de acesso, a porta e os requisitos do provedor. O código solicita autenticação de proxy; ele não explica por que o acesso por IP esperado falhou. |
| A conexão atinge o tempo limite | A acessibilidade do endereço e da porta, as restrições de rede e os logs de conexão. Um tempo limite, por si só, não identifica um problema na lista de IPs. |
| Um site recusa o acesso enquanto outros abrem | Quem retornou a recusa e se a solicitação usou o proxy. Por exemplo, uma resposta 403 de um site não comprova, por si só, um problema de autenticação de proxy. |
O código 407 pertence ao HTTP. O SOCKS5 tem suas próprias respostas e mensagens de erro; não é preciso procurar um código HTTP nelas. Informações úteis para o suporte incluem o horário da tentativa, o IP de saída da rede, o endereço e a porta do proxy, o protocolo selecionado e a mensagem de erro exata.
Quando escolher a autenticação por IP
Esse método é adequado a uma aplicação com conexão de saída estável e controlada quando todo o ambiente de trabalho precisa de acesso e você quer evitar distribuir uma senha a cada processo. Antes de escolhê-lo, confirme que há entradas permitidas suficientes para todos os locais e que você poderá atualizar a lista se a rede mudar.
Se os endereços mudam com frequência, a equipe trabalha em redes diferentes ou o acesso precisa ser revogado individualmente, considere outros métodos de autenticação e as restrições adicionais do serviço. A decisão depende de quem vai se conectar e de onde, e não de quantos endereços há na lista de proxies comprada.