Trang web và ứng dụng bị chặn

Từ khiếu nại đến một đích bị chặn

Khi khách hàng dùng proxy, đích nhận lưu lượng từ IP đầu ra của proxy. Nếu lưu lượng gây vấn đề, đơn vị vận hành trang web có thể báo cáo địa chỉ với tổ chức chịu trách nhiệm về mạng đó. Khiếu nại có thể đến trực tiếp nhà cung cấp proxy hoặc qua công ty lưu trữ, trung tâm dữ liệu hay đơn vị vận hành mạng cung cấp hạ tầng.

Báo cáo lạm dụng là thông báo về nghi vấn sử dụng dịch vụ sai mục đích. Nó có thể liên quan các lần thử đăng nhập trái phép lặp lại, quét hoặc lưu lượng gây quá tải hệ thống. Bên cung cấp hạ tầng có thể yêu cầu khách hàng của mình—nhà cung cấp proxy—dừng hoạt động đó. Tùy quy tắc của bên cung cấp và sự cố, để vấn đề chưa được xử lý có thể khiến máy chủ hoặc quyền truy cập mạng gặp rủi ro.

Nếu hồ sơ cho phép xác định tài khoản liên quan, nhà cung cấp có thể điều tra và hạn chế tài khoản đó. Họ cũng có thể chặn đích bị ảnh hưởng trên một phần hoặc toàn bộ dịch vụ. Các biện pháp giải quyết những vấn đề khác nhau: hạn chế tài khoản nhắm đến một khách hàng cụ thể, còn chặn đích ngăn các khách hàng khác gửi lưu lượng đến cùng tài nguyên qua phần dịch vụ bị áp dụng quy tắc.

Hãy xét một cổng thông tin chính phủ liên tục nhận lưu lượng không mong muốn từ dịch vụ proxy. Sau khiếu nại và yêu cầu dừng lưu lượng đó, nhà cung cấp thêm cổng thông tin vào danh sách chặn. Một khách hàng khác sau đó thử tải tài liệu công khai và nhận lỗi. Khách hàng thứ hai không làm gì sai, nhưng quy tắc chung về đích cũng áp dụng cho kết nối này.

Vì sao nhà cung cấp chặn tài nguyên trước khi có sự cố

Nhà cung cấp không nhất thiết phải đợi khiếu nại riêng cho từng trang web. Sau khi xử lý sự cố liên quan một loại tài nguyên, họ có thể quyết định hạn chế trước các đích tương tự. Khi đó, danh sách chặn vừa là biện pháp phòng ngừa vừa là ghi nhận các vấn đề trước đây.

Chi phí tiềm ẩn không chỉ là xử lý một khiếu nại. Sự cố lặp lại tốn thời gian nhân sự, làm tổn hại quan hệ với bên cung cấp hạ tầng và có thể đe dọa tính sẵn sàng của dịch vụ cho khách hàng khác. Nhà cung cấp có thể cho rằng việc truyền lưu lượng đến nhóm tài nguyên nhạy cảm không đáng với các rủi ro đó, dù một số khách hàng có lý do hợp lệ để truy cập.

Điều này giải thích vì sao hạn chế rộng vẫn có thể còn sau khi khách hàng ban đầu đã bị loại bỏ. Nhà cung cấp muốn tránh tái diễn. Họ có thể hạn chế cả một nhóm mà không xác định trước từng khách truy cập mới muốn đọc trang, đăng nhập hay thực hiện hành động không mong muốn.

Những tài nguyên nào có thể nằm trong danh sách chặn

Tài nguyên chính phủ và tài chính là ví dụ về các nhóm có thể bị hạn chế để phòng ngừa. Chúng gồm những hệ thống mà truy cập trái phép hoặc gián đoạn có thể ảnh hưởng hồ sơ cá nhân, dịch vụ công, tài khoản hay tiền. Nhà cung cấp có thể chọn quy tắc rộng vì đánh giá hoạt động dự kiến của từng khách hàng khó hơn từ chối truy cập đích.

Không có một danh sách chặn duy nhất được mọi nhà cung cấp proxy sử dụng. Dịch vụ này có thể hạn chế từng tên miền, dịch vụ khác chặn cả nhóm. Ngay trong cùng công ty, quy tắc có thể khác nhau giữa các sản phẩm hoặc mạng. Việc một trang chính phủ nằm trong danh sách của một nhà cung cấp không chứng minh mọi nhà cung cấp đều chặn nó.

Một nhóm tài nguyên cũng phải được chuyển thành quy tắc kỹ thuật. Tài nguyên chính phủ dùng nhiều cách đặt tên miền, nên chỉ chặn địa chỉ kết thúc bằng .gov không đồng nghĩa chặn mọi trang chính phủ. Nhà cung cấp có thể duy trì danh sách riêng hoặc dùng dịch vụ phân loại để nhận diện đích.

Proxy áp dụng danh sách chặn như thế nào

Trước khi kết nối bạn với tài nguyên, proxy cần biết đích. Với proxy HTTP, máy khách có thể yêu cầu đường hầm HTTPS bằng CONNECT portal.example:443. Yêu cầu cho proxy biết tên máy chủ và cổng đích. SOCKS5 cũng mang địa chỉ đích, được cung cấp dưới dạng tên máy chủ hoặc địa chỉ IP.

Dịch vụ đối chiếu đích với quy tắc truy cập. Nếu có quy tắc phù hợp cấm đích đó, dịch vụ có thể từ chối kết nối trước khi chuyển yêu cầu khách hàng đến trang web. Quy tắc tên miền kiểm tra tên; quy tắc địa chỉ kiểm tra IP hoặc dải IP đích. Quy tắc nhóm có thể dựa trên danh sách tên miền hoặc địa chỉ được xếp vào nhóm đó.

Việc này không yêu cầu proxy đọc trang đã mã hóa. Với đường hầm HTTPS thông thường, đích đã được biết trước khi trao đổi được bảo vệ với trang web bắt đầu. Vì vậy, có thể chặn mà không xem nội dung trang, đường dẫn URL đầy đủ hoặc mật khẩu mà người truy cập định nhập.

Phạm vi quy tắc rất quan trọng. Chặn một tên máy chủ không tự động chặn mọi tên miền con của cùng tổ chức. Ngược lại, quy tắc tên miền rộng hoặc quy tắc IP bao phủ máy chủ dùng chung có thể ảnh hưởng nhiều tài nguyên hơn tài nguyên gây ra khiếu nại. Địa chỉ trang web thay đổi cũng khiến danh sách chặn cần được duy trì cập nhật.

Vì sao quyền truy cập phụ thuộc sản phẩm

Nhà cung cấp có thể áp dụng quy tắc truy cập khác nhau cho từng sản phẩm. Một trang web có thể bị chặn trên proxy trung tâm dữ liệu hoặc ISP, khả dụng qua mạng dân cư hoặc chỉ truy cập được qua dịch vụ thu thập dữ liệu được quản lý.

Một số nhà cung cấp chỉ cho truy cập tài nguyên nhất định sau KYC (Know Your Customer), quy trình xác minh danh tính khách hàng. Nhà cung cấp còn có thể phải phê duyệt tác vụ cụ thể. Quyền cấp sau các bước này vẫn có thể chỉ giới hạn ở một sản phẩm hoặc đích; nó không loại bỏ mọi hạn chế của tài khoản.

Cách dịch vụ xử lý yêu cầu cũng quan trọng. Với proxy thông thường, trình duyệt hoặc chương trình của khách hàng quyết định gửi yêu cầu nào. Với API thu thập dữ liệu, khách hàng gửi một tác vụ, chẳng hạn lấy trang hoặc thu thập dữ liệu sản phẩm, và hệ thống của nhà cung cấp thực hiện. Kết quả có thể là HTML của trang hoặc dữ liệu trích xuất ở định dạng có cấu trúc.

Trong dịch vụ được quản lý như vậy, nhà cung cấp có thể chọn mạng proxy, đặt tiêu đề yêu cầu và cookie, thử lại yêu cầu lỗi và xử lý phản hồi. Cách phân chia quyền kiểm soát cụ thể phụ thuộc sản phẩm: một số thiết lập tự động, số khác do khách hàng cung cấp trong giới hạn cho phép. Nhà cung cấp kiểm soát trao đổi với trang đích cho tác vụ đó và có thể hạn chế những tham số yêu cầu được chấp nhận.

Điều này giúp nhà cung cấp cho phép một thao tác cụ thể trong khi vẫn hạn chế truy cập rộng hơn. Ví dụ, dịch vụ có thể cho API thu thập giá sản phẩm công khai nhưng từ chối truy cập proxy thông thường đến cùng tên miền. Quyền đó không tự động bao gồm đăng nhập, gửi biểu mẫu hoặc quản lý tài khoản. Sản phẩm có thể hỗ trợ đọc một số trang mà không hỗ trợ mọi hành động trên trang web.

Kiểm tra quyền truy cập cho tổ hợp sản phẩm, đích và thao tác dự kiến. Trang web hoạt động qua API của nhà cung cấp không chứng minh nó sẽ hoạt động qua gói proxy của họ. API được quản lý cũng có hạn chế riêng. Trước khi mua, hãy hỏi sản phẩm nào cho phép tác vụ của bạn và liệu có cần xác minh hoặc phê duyệt riêng không.

Khách hàng nhìn thấy gì

Kết quả rõ nhất là thông báo trực tiếp rằng đích không được phép. Trong trường hợp khác, phần mềm chỉ báo lỗi kết nối hoặc hết thời gian chờ. Khách hàng biết được bao nhiêu phụ thuộc cả phản hồi dịch vụ trả về lẫn chi tiết ứng dụng hiển thị.

Một đích bị chặn có thể vẫn không truy cập được qua nhiều IP proxy vốn hoạt động bình thường. Nếu cùng quy tắc bao phủ toàn gói, thay các địa chỉ không đổi kết quả. Mua thêm lưu lượng hoặc nâng giới hạn kết nối đồng thời cũng không thay đổi quy tắc đích đó.

Ứng dụng có thể chỉ lỗi một phần. Ví dụ, trang chính dùng một tên miền còn dịch vụ đăng nhập dùng tên miền khác. Nếu địa chỉ thứ hai bị chặn, trang mở được nhưng đăng nhập thất bại. Điều tương tự có thể xảy ra với tải tệp hoặc chức năng dùng máy chủ riêng. Danh sách chặn áp dụng cho các đích mạng mà ứng dụng liên hệ, không chỉ tên ứng dụng.

Khác gì với việc trang web từ chối proxy của bạn

Danh sách chặn của nhà cung cấp dừng lưu lượng trên đường đến đích. Trang web có thể độc lập từ chối lưu lượng đến máy chủ hoặc dịch vụ bảo mật của mình—chẳng hạn vì từ chối IP đầu ra hoặc xem hoạt động là đáng ngờ. Khi đó, sự từ chối đến từ phía đích.

Chỉ một mã HTTP 403 thông thường hoặc lỗi kết nối không xác định được bên chặn truy cập. Thông báo từ nhà cung cấp nêu rõ đích bị cấm hữu ích hơn chỉ số trạng thái. Khi nguyên nhân chưa rõ, bộ phận hỗ trợ cần địa chỉ chính xác, dịch vụ đã dùng, thời điểm thử và toàn bộ nội dung lỗi để kiểm tra có liên quan quy tắc nhà cung cấp không.

Còn một loại hạn chế riêng: cổng đích bị chặn. Chặn tên miền từ chối truy cập một tài nguyên, còn hạn chế cổng có thể ngăn một kiểu kết nối đến nhiều máy chủ khác nhau. Vì vậy, không truy cập được trang web hay ứng dụng là triệu chứng; danh sách đích là một nguyên nhân có thể.

Có thể gỡ tài nguyên khỏi danh sách chặn không

Điều này phụ thuộc lý do có quy tắc và bên kiểm soát nó. Nếu nhà cung cấp thêm đích để phòng ngừa, họ có thể sẵn sàng xem xét một tác vụ cụ thể. Nếu bên cung cấp hạ tầng hoặc quy tắc sản phẩm cố định cấm truy cập, yêu cầu hỗ trợ thông thường có thể chưa đủ để thay đổi.

Khi có ngoại lệ, yêu cầu hữu ích phải nêu đúng tài nguyên và giải thích hoạt động dự kiến: cần dữ liệu hoặc chức năng nào, có đăng nhập không và tải dự kiến ra sao. Khi đó nhà cung cấp có thể đánh giá một cách dùng cụ thể thay vì yêu cầu không rõ ràng về mở cả nhóm tài nguyên.

Xác minh hoặc phê duyệt không nhất thiết gỡ mọi hạn chế trên tài khoản. Ngoại lệ có thể chỉ bao phủ một đích hoặc sản phẩm. Mọi quyền do nhà cung cấp proxy cấp vẫn không loại bỏ kiểm soát truy cập của chính trang web.

Danh sách chặn có thể thay đổi khi có khiếu nại mới hoặc nhà cung cấp đánh giá lại rủi ro. Tài nguyên trước đây hoạt động có thể trở nên không khả dụng sau khi thêm quy tắc. Với tác vụ phụ thuộc một trang cụ thể, hãy xác nhận đích và thao tác cần thiết được hỗ trợ trước khi chọn dịch vụ; số IP có sẵn không trả lời được câu hỏi đó.