ฐานความรู้ ProxyCompass

การตรวจสอบสิทธิ์พร็อกซี: อนุญาต IP หรือใช้ชื่อผู้ใช้และรหัสผ่าน

การตรวจสอบสิทธิ์พร็อกซีตรวจว่าแอปพลิเคชันของคุณใช้บริการพร็อกซีได้หรือไม่ การทราบที่อยู่และพอร์ตของพร็อกซีมักยังไม่พอ บริการต้องแยกไคลเอนต์ที่อนุญาตออกจากระบบอื่นที่เข้าถึงได้ด้วย จึงจำกัดการใช้พร็อกซีที่ซื้อไว้ให้เฉพาะไคลเอนต์ที่คุณอนุญาต

สองวิธีที่พบบ่อยใช้หลักฐานต่างกัน การตรวจด้วย IP ดูว่าการเชื่อมต่อมาจากไหน ส่วนการใช้ชื่อผู้ใช้และรหัสผ่านให้แอปส่งข้อมูลรับรอง วิธีแรกผูกสิทธิ์กับที่อยู่เครือข่าย ส่วนวิธีหลังอาจให้แอปเก็บสิทธิ์ไว้เมื่อย้ายเครือข่าย บริการยังอาจกำหนดให้ผ่านทั้งสองเงื่อนไขร่วมกัน

ทางเลือกนี้มีผลต่อวิธีเชื่อมต่อ แอปที่ใช้ได้ และสิ่งที่จะเกิดเมื่อสภาพแวดล้อมทำงานเปลี่ยน เป็นอีกด้านหนึ่งของการเลือกการตั้งค่าพร็อกซี การตรวจสอบสิทธิ์ไม่ได้กำหนดว่า IP ขาออกเป็นศูนย์ข้อมูลหรือเครือข่ายที่อยู่อาศัย คงที่หรือหมุนเวียน แต่กำหนดว่าใครใช้บริการที่ให้ IP นั้นได้

สองวิธีตรวจสอบสิทธิ์ทำงานอย่างไร

การตรวจด้วย IP: อนุญาตต้นทางการเชื่อมต่อ

การตรวจด้วย IP ให้คุณเพิ่มที่อยู่ไคลเอนต์ลงในรายการอนุญาตของผู้ให้บริการ ซึ่งมักเรียก whitelist หรือ allowlist เมื่อมีการเชื่อมต่อเข้ามา พร็อกซีเปรียบเทียบ IP ต้นทางกับรายการ หากตรงและผ่านเงื่อนไขเข้าถึงอื่น แอปก็ใช้พร็อกซีได้โดยไม่ส่งชื่อผู้ใช้และรหัสผ่านพร็อกซีแยก

สำหรับพร็อกซีบนอินเทอร์เน็ต ที่อยู่ที่เกี่ยวข้องมักเป็น IP สาธารณะขาออกของเครือข่ายคุณ นั่นคือที่อยู่ที่แอปใช้เข้าถึงพร็อกซี ไม่ใช่ IP ขาออกที่พร็อกซีแสดงต่อเว็บไซต์ภายหลัง การซื้อพร็อกซีคงที่ไม่ได้ทำให้การเชื่อมต่อที่บ้านคงที่ เพราะเป็นที่อยู่คนละส่วนของเส้นทาง

การเข้าถึงจึงสะดวกตราบที่ต้นทางที่อนุญาตไม่เปลี่ยน โปรแกรมเริ่มใหม่ได้ หรืออุปกรณ์อื่นที่อนุญาตเชื่อมต่อผ่านเครือข่ายนั้นได้โดยไม่ต้องมีรหัสผ่านพร็อกซีของตัวเอง หาก IP ขาออกเปลี่ยน สิทธิ์เดิมไม่ได้ครอบคลุมที่อยู่ใหม่โดยอัตโนมัติ คู่มือการตรวจสอบสิทธิ์ด้วย IPอธิบายวิธีหาที่อยู่ต้นทางที่ถูกและจัดการรายการอนุญาต

ชื่อผู้ใช้และรหัสผ่าน: แอปเป็นผู้ส่งหลักฐานสิทธิ์

สำหรับการตรวจด้วยชื่อผู้ใช้และรหัสผ่าน ผู้ให้บริการออกข้อมูลรับรองเพื่อใช้พร็อกซี แอปส่งข้อมูลนั้นเป็นส่วนหนึ่งของโปรโตคอลพร็อกซีที่รองรับ เบราว์เซอร์อาจขอให้ผู้ใช้กรอก ส่วนสคริปต์ส่งจากการตั้งค่าได้โดยไม่แสดงหน้าต่างเข้าสู่ระบบ

เมื่อข้อมูลรับรองเป็นข้อกำหนดตรวจสอบสิทธิ์เพียงอย่างเดียว สิทธิ์อาจติดตามแอปไปยังเครือข่ายอื่นได้ การตั้งค่าที่ใช้ได้เดิมยังเชื่อมต่อจาก IP ต้นทางใหม่ได้ เหมาะเมื่อสถานที่รันงานเปลี่ยนบ่อยกว่าการตั้งค่าพร็อกซี

ข้อมูลรับรองเป็นของการเชื่อมต่อกับพร็อกซี ไม่ได้เป็นรหัสผ่านแดชบอร์ดผู้ให้บริการโดยอัตโนมัติ และไม่ได้ทำให้เข้าสู่เว็บไซต์ปลายทาง เว็บไซต์ยังใช้กฎเข้าสู่ระบบและเข้าถึงของตัวเอง คู่มือการตรวจสอบสิทธิ์ด้วยชื่อผู้ใช้และรหัสผ่านอธิบายช่องเชื่อมต่อ ไคลเอนต์ที่รองรับ และรูปแบบข้อมูลรับรอง

เปรียบเทียบ IP กับชื่อผู้ใช้และรหัสผ่าน

ตารางต่อไปอธิบายสองวิธีแยกกัน การใช้รหัสผ่านในที่นี้หมายถึงไม่มีข้อจำกัด IP เพิ่มเติม ส่วนการใช้ร่วมกันอธิบายด้านล่าง

ทั้งสองวิธีไม่ได้กำหนดจำนวน IP ขาออกในบริการ IP ไคลเอนต์ที่อนุญาตหนึ่งรายการหรือข้อมูลรับรองหนึ่งชุดอาจเข้าถึงพร็อกซีจำนวนมากได้ ไม่ได้ทำให้พร็อกซีเหล่านั้นมีการเชื่อมต่อไม่จำกัดหรือให้ลูกค้ารายเดียวใช้ที่อยู่ขาออกแต่ผู้เดียว

เลือกให้เหมาะกับแอปและเครือข่ายอย่างไร

ตรวจว่าแอปใช้วิธีที่เสนอได้ก่อน

โปรแกรมอาจรองรับโปรโตคอลพร็อกซีแต่ไม่ได้รองรับทุกตัวเลือกตรวจสอบสิทธิ์ การมีช่องที่อยู่กับพอร์ตไม่ได้ยืนยันว่าจะส่งชื่อผู้ใช้และรหัสผ่านได้ เช่น SOCKS5 ที่ Chrome รองรับในตัวไม่มีการตรวจชื่อผู้ใช้และรหัสผ่าน SOCKS5 ข้อมูลรับรองถูกต้องก็แก้การขาดความสามารถของไคลเอนต์นี้ไม่ได้

หากแอปที่ต้องใช้รองรับโปรโตคอลที่เสนอแต่ส่งข้อมูลรับรองไม่ได้ การตรวจด้วย IP อาจเป็นทางที่ใช้งานได้ โดยยังต้องมีต้นทางที่อนุญาต หากที่อยู่นั้นเปลี่ยนบ่อย การเปลี่ยนมาใช้ IP แก้ปัญหาข้อมูลรับรองแต่ยังต้องจัดการปัญหาที่อยู่ต้นทาง คุณอาจต้องใช้ไคลเอนต์ที่รองรับการตรวจสอบสิทธิ์ที่ต้องการ หรือทางออกเครือข่ายที่คงเดิมแทน

การตรวจก่อนซื้อที่มีประโยชน์จึงควรเจาะจงว่า แอปนี้ใช้โปรโตคอลพร็อกซีนี้ด้วยวิธีตรวจสอบสิทธิ์นี้ได้หรือไม่ การใช้สำเร็จในเบราว์เซอร์หรือเครื่องมือบรรทัดคำสั่งอื่นไม่ได้ตอบคำถามนั้น

จากนั้นดูว่าส่วนใดในการตั้งค่าเปลี่ยนบ่อย

การตรวจด้วย IP เหมาะกับงานที่ทางออกเครือข่ายคงเดิมและควบคุมได้ เมื่ออนุญาตทางออกนั้นแล้ว การเปลี่ยนโปรแกรมที่อยู่หลังเครือข่ายไม่ต้องแจกข้อมูลรับรองพร็อกซีให้ทุกโพรเซสใหม่ การตั้งค่าสิทธิ์บริการยังผูกกับเครือข่ายที่งานใช้

ข้อมูลรับรองเหมาะกับงานที่เปลี่ยนสถานที่รัน หากย้ายงานไปเซิร์ฟเวอร์อื่นหรือเริ่มตัวทำงานใหม่จากต่างเครือข่าย ก็ไม่ต้องแก้รายการอนุญาตสำหรับทุกต้นทางแยกกัน ตราบที่บริการรับข้อมูลรับรองโดยไม่ผูก IP การตั้งค่าพร็อกซีย้ายไปกับแอปได้

ความต่างสำคัญคือ IP ต้นทางขาออกเปลี่ยนบ่อยเพียงใด ไม่ใช่เรียกเครื่องว่าแล็ปท็อป VPS หรือคลาวด์เซิร์ฟเวอร์ แล็ปท็อปอาจอยู่หลังทางออกออฟฟิศที่คงที่ ส่วนระบบเซิร์ฟเวอร์อาจสลับ IP สาธารณะ ให้เลือกตามเส้นทางเชื่อมต่อจริงและการเปลี่ยนที่คาดในงานปกติ

หากใช้ได้ทั้งสองแบบ ให้เลือกแบบที่ดูแลง่ายกว่า

พิจารณาว่าใครจะดูแลการตั้งค่า ผู้ดูแลเครือข่ายที่ควบคุมทางออกคงที่ซึ่งหลายแอปใช้ร่วมกันอาจจัดการผ่านสิทธิ์ต้นทางเดียว ส่วนนักพัฒนาที่ย้ายงานข้ามสภาพแวดล้อมแต่ควบคุม IP สาธารณะไม่ได้ อาจดูแลข้อมูลรับรองที่ไม่ผูก IP ได้ง่ายกว่า

คิดทรัพยากรเพิ่มเติมที่ต้องใช้ด้วย IP สาธารณะคงที่ รายการอนุญาตเพิ่ม หรือเกตเวย์ที่มีบริการจัดการอาจมีค่าใช้จ่าย การใช้รหัสผ่านอาจหลีกเลี่ยงต้นทุนเหล่านี้ แต่ต้องใช้จากเครือข่ายที่ต้องการได้จริง ให้เทียบตัวเลือกบริการจริง การมีรหัสผ่านไม่ได้ทำให้พร็อกซีถูกกว่าด้วยตัวมันเอง

การตรวจร่วมกัน: IP และรหัสผ่าน

ผู้ให้บริการอาจให้เลือกเข้าด้วย IP หรือรหัสผ่าน หรือกำหนดให้ใช้ร่วมกัน ซึ่งเป็นคนละรูปแบบ ในโหมดร่วม ข้อมูลรับรองที่ถูกต้องจะได้รับการยอมรับเฉพาะเมื่อการเชื่อมต่อมาจากที่อยู่หรือเครือข่ายที่อนุญาตด้วย รหัสผ่านถูกอย่างเดียวไม่พอ และต้นทางที่อนุญาตอย่างเดียวก็ไม่พอ

เหมาะกับแอปที่ต้องมีช่องชื่อผู้ใช้และรหัสผ่าน แต่ยังต้องการจำกัดต้นทางที่เข้าได้ ยังช่วยจำกัดการใช้ข้อมูลรับรองที่คัดลอกไปนอกเครือข่ายอนุญาต แต่ไม่ได้ให้อิสระย้ายข้ามเครือข่ายใดก็ได้เหมือนการใช้รหัสผ่านที่ไม่ผูก IP

ในแพ็กเกจคงที่ของ ProxyCompass โหมดร่วมรับข้อมูลรับรองถูกต้องจาก IPv4 สาธารณะของไคลเอนต์ที่อยู่ในเครือข่ายย่อย /24 เดียวกับ IP ที่เพิ่มในรายการอนุญาต ที่อยู่เหล่านี้มีเลขสามส่วนแรกเหมือนกัน หลายที่อยู่ไคลเอนต์ในเครือข่ายย่อยนั้นจึงใช้ข้อมูลรับรองผ่านรายการอนุญาตรายการเดียวได้ กฎนี้เกี่ยวกับไคลเอนต์ที่เชื่อมเข้าบริการ ไม่ใช่ IP ขาออกที่ซื้อ คู่มือชื่อผู้ใช้และรหัสผ่านที่ลิงก์ไว้ด้านบนมีตัวอย่างการเชื่อมต่อ

วิธีใดควบคุมสิทธิ์ได้ดีกว่า

การตรวจด้วย IP ตัดสินสิทธิ์ที่ทางออกเครือข่าย ผู้ที่ได้เพียงที่อยู่พร็อกซีใช้จากต้นทางอื่นที่ไม่อนุมัติไม่ได้ แต่พร็อกซีระบุตัวบุคคลจากการใช้ IP ที่อนุญาตร่วมกันเพียงอย่างเดียวไม่ได้ หากผู้ใช้หลายคนเข้าผ่านที่อยู่สาธารณะเดียวกัน การตรวจ IP จะเห็นต้นทางเดียวกันทั้งหมด เรื่องนี้สำคัญกับทางออกออฟฟิศที่ใช้ร่วมกันและ IP สาธารณะที่ผู้ใช้อินเทอร์เน็ตหลายรายแชร์

การใช้ชื่อผู้ใช้และรหัสผ่านวางสิทธิ์ไว้ในข้อมูลรับรองที่แอปส่งได้แยกจากตำแหน่ง จึงใช้ข้ามเครือข่ายที่ไม่เกี่ยวกันได้ดี แต่การตั้งค่าที่คัดลอกไปพร้อมข้อมูลรับรองถูกต้องก็อาจยังใช้ที่อื่นได้ หากผู้ให้บริการออกข้อมูลรับรองแยกสำหรับผู้ใช้หรืองานต่างกัน จะจัดการสิทธิ์ละเอียดขึ้นได้ ส่วนรหัสผ่านเดียวที่ทุกคนใช้ร่วมกันไม่ได้สร้างการแยกนั้น

ดังนั้นทางเลือกขึ้นกับว่าคุณควบคุมสิ่งใดได้มั่นคงกว่า ระหว่างกลุ่มระบบหลังทางออกเครือข่ายที่อนุญาตกับข้อมูลรับรองที่ส่งให้แอป โหมดร่วมต้องผ่านทั้งสองข้อ จึงจำกัดสถานที่ที่ใช้ได้แม้ข้อมูลรับรองถูกต้อง

การควบคุมสิทธิ์กับการเข้ารหัสเป็นคนละเรื่อง การตรวจด้วย IP ไม่ได้เข้ารหัสข้อมูล และรหัสผ่านไม่ได้สร้างการเชื่อมต่อเข้ารหัสโดยอัตโนมัติ การป้องกันข้อมูลรับรองระหว่างส่งต้องป้องกันตัวการเชื่อมต่อจากไคลเอนต์ถึงพร็อกซี การเปิดเว็บไซต์ HTTPS ผ่านพร็อกซีไม่ได้ป้องกันขั้นตอนเข้าสู่ระบบกับพร็อกซีที่ส่งก่อนหน้านั้นโดยไม่เข้ารหัสด้วยตัวมันเอง

การตรวจด้วย IP ทำให้พร็อกซีเร็วขึ้นหรือไม่

การเข้าด้วย IP อาจข้ามการแลกเปลี่ยนข้อมูลรับรองได้ แต่ขั้นตอนสร้างการเชื่อมต่อของ HTTP กับ SOCKS ต่างกัน ใน SOCKS5 การตรวจชื่อผู้ใช้และรหัสผ่านเพิ่มคำขอกับคำตอบระหว่างตั้งการเชื่อมต่อ ส่วน HTTP ไคลเอนต์อาจรอคำท้าทายให้ตรวจสอบสิทธิ์แล้วส่งคำขอซ้ำ หรือส่งข้อมูลรับรองที่เหมาะตั้งแต่แรก การใช้รหัสผ่านจึงไม่ได้เพิ่มการเดินทางไปกลับเครือข่ายเสมอไป

ความต่างนี้สำคัญที่สุดเมื่องานสร้างการเชื่อมต่อใหม่ซ้ำ ๆ เพื่อทำงานเพียงเล็กน้อย และสำคัญน้อยลงเมื่อใช้การเชื่อมต่อเดิมซ้ำ เช่น ขอหลายหน้าจากเว็บไซต์เดียวผ่านทันเนล HTTPS ที่มีอยู่ ไม่ต้องทำขั้นตอนเข้าสู่พร็อกซีที่ใช้สร้างทันเนลนั้นใหม่ นี่คือต้นทุนการสร้างการเชื่อมต่อ ไม่ใช่การลดความเร็วรับส่งข้อมูลของพร็อกซีแบบคงที่

หากใช้ได้ทั้งสองวิธีกับระบบของคุณ ให้เทียบโดยใช้โปรโตคอลเดียว ทรัพยากรพร็อกซีใกล้เคียง และรูปแบบการเชื่อมต่อจริง การทดสอบที่เปิดใหม่ทุกคำขอตอบคนละคำถามกับการใช้การเชื่อมต่อซ้ำ หากไม่มีการเทียบเช่นนี้ คำกล่าวว่าวิธีหนึ่งเร็วกว่าเสมอช่วยเลือกบริการได้น้อย

การตรวจสอบสิทธิ์เปิดเผยได้หรือไม่ว่าที่อยู่นั้นรันพร็อกซี

ได้ รหัสผ่านอาจป้องกันการใช้ที่ไม่ได้รับอนุญาต ขณะเดียวกันระบบภายนอกยังจำแนกบริการได้ เช่น เครื่องมือตรวจติดต่อที่อยู่และพอร์ต HTTP พร็อกซีโดยไม่มีข้อมูลรับรองถูกต้อง การตอบ 407 Proxy Authentication Required พร้อมส่วนหัว Proxy-Authenticate ระบุชัดว่าต้องตรวจสอบสิทธิ์พร็อกซี เครื่องมือตรวจไม่ต้องรู้รหัสผ่านก็ได้รับหลักฐานนี้

บริการที่จำกัด IP อาจเปิดเผยน้อยกว่าหากบล็อกต้นทางที่ไม่อนุมัติก่อนตอบสิ่งที่จำแนกได้ว่าเป็นพร็อกซี แต่การมีรายการอนุญาตอย่างเดียวไม่ได้รับประกันพฤติกรรมนั้น เซิร์ฟเวอร์อาจปฏิเสธด้วยรูปแบบเฉพาะ ส่วนจุดเชื่อมต่อที่ใช้รหัสผ่านก็อาจกรองระดับเครือข่ายด้วย ความต่างที่เกี่ยวข้องคือการเชื่อมต่อภายนอกเข้าถึงอะไรได้และได้รับคำตอบอะไร

ที่อยู่ที่ตรวจมีความสำคัญด้วย หากที่อยู่ทางเข้ากับ IP ขาออกของพร็อกซีเป็นที่อยู่เดียวกัน คำตอบที่จำแนกได้อาจระบุที่อยู่ที่เว็บไซต์เห็น แต่เกตเวย์ที่ใช้ IP ขาออกอื่น การระบุเกตเวย์ได้ไม่ได้ระบุทุก IP ขาออกในกลุ่มด้วยตัวมันเอง

เว็บไซต์ปลายทางไม่ได้รับคำท้าทายเข้าสู่พร็อกซีโดยอัตโนมัติระหว่างท่องเว็บตามปกติ การแลกเปลี่ยนนั้นอยู่ระหว่างไคลเอนต์กับพร็อกซี เว็บไซต์หรือบริการตรวจจับต้องมีหลักฐานอื่น ซึ่งอาจรวมการตรวจที่อยู่แยกต่างหาก ดังนั้นการเปลี่ยนวิธีตรวจสอบสิทธิ์อย่างเดียวจึงรับปากไม่ได้ว่าจะทำให้จำ IP ไม่ได้ว่าเป็นพร็อกซี หรือลบข้อมูลที่รู้เกี่ยวกับ IP นั้นแล้ว