Xác thực proxy bằng IP: cho phép địa chỉ nào và khi nào nên dùng?

Xác thực bằng IP cho phép bạn dùng proxy từ địa chỉ kết nối đã được chấp thuận. Bạn thêm địa chỉ đó vào danh sách truy cập của nhà cung cấp, rồi ứng dụng kết nối mà không cần tên người dùng và mật khẩu proxy riêng. Nhà cung cấp thường gọi đây là whitelist, allowlist hoặc danh sách địa chỉ IP được phép.

Phương thức này hữu ích khi ứng dụng chạy từ mạng ổn định, chẳng hạn máy chủ có IP công cộng cố định. Nhưng địa chỉ cần cho phép là địa chỉ mà ứng dụng kết nối từ đó, không phải địa chỉ proxy đã mua. Hai địa chỉ này dễ bị nhầm khi cấu hình.

Để so sánh các phương thức truy cập, xem Xác thực proxy. Hướng dẫn này giải thích IP nguồn nào cần cho phép, cách nhiều thiết bị chia sẻ quyền truy cập và những gì cần kiểm tra sau khi đổi mạng.

Cách proxy kiểm tra IP được phép

Khi có kết nối đến, proxy thấy IP nguồn và đối chiếu với các địa chỉ được phép. Nếu khớp và đáp ứng các yêu cầu khác của dịch vụ, proxy chấp nhận yêu cầu. Nếu chỉ xác thực bằng IP, bạn không cần gửi mật khẩu proxy. Dịch vụ cũng có thể kết hợp kiểm tra địa chỉ với yêu cầu truy cập khác.

Xét một máy tính gia đình kết nối internet qua bộ định tuyến.

Địa chỉ kết nối và IP đầu ra của proxy có thể giống hoặc khác nhau. Không địa chỉ nào thay thế IP máy khách trong danh sách truy cập. Mua proxy có IP đầu ra tĩnh cũng không làm địa chỉ kết nối gia đình của bạn trở thành cố định vĩnh viễn.

Nguyên tắc tương tự áp dụng cho proxy trong mạng cục bộ: nó kiểm tra nguồn kết nối mà nó nhìn thấy. Nguồn đó có thể là địa chỉ riêng. Với proxy thương mại trên internet, thông thường bạn cần địa chỉ công cộng đầu ra của mạng mình.

Khi nào xác thực bằng IP hữu ích?

Trên máy chủ có địa chỉ đầu ra cố định, bạn có thể cấp quyền cho địa chỉ một lần rồi dùng proxy trong nhiều tiến trình. Bạn không phải lưu mật khẩu proxy trong từng cấu hình, phân phối giữa các ứng dụng hoặc cập nhật mọi bản sao khi mật khẩu thay đổi.

Trong văn phòng có quản trị mạng, nhiều máy tính có thể dùng chung một IP công cộng. Một mục có thể cấp quyền cho địa chỉ đầu ra của mạng nếu dịch vụ cho phép cách sử dụng này. Quản trị viên mạng vẫn chịu trách nhiệm kiểm soát truy cập bên trong văn phòng.

Một trường hợp khác là ứng dụng hỗ trợ giao thức proxy cần thiết nhưng không gửi được tên người dùng và mật khẩu bằng phương thức được cung cấp. Xác thực bằng IP có thể giải quyết vấn đề cụ thể đó. Nó không bổ sung HTTP, SOCKS5 hay bất kỳ khả năng nào khác mà ứng dụng đang thiếu.

Cách tìm IP cần thêm

Kiểm tra địa chỉ từ môi trường sẽ chạy ứng dụng. Với trình duyệt trên máy tính gia đình, bạn có thể mở trang tra cứu địa chỉ IP mà không dùng proxy đang cấu hình. Nếu mở qua proxy đó, bạn sẽ thấy địa chỉ đầu ra của proxy và có thể thêm nhầm IP vào danh sách.

Nếu tập lệnh chạy trên VPS, bạn cần địa chỉ đầu ra của VPS, không phải địa chỉ máy tính gia đình dùng để quản lý nó. Trong môi trường đám mây, máy chủ hoặc container có thể gửi lưu lượng qua gateway NAT dùng chung. Khi đó, địa chỉ công cộng của gateway mới là địa chỉ cần xét; nó có thể khác địa chỉ bạn dùng để đăng nhập vào máy chủ.

Khi dùng VPN, hãy chú ý tuyến kết nối. Nếu kết nối đến proxy đi qua VPN, proxy thấy địa chỉ đầu ra của VPN. Với định tuyến phân tách, trình duyệt và tập lệnh có thể dùng điểm ra khác nhau. Vì vậy, tra cứu bằng trình duyệt chỉ xác nhận tuyến nó đã kiểm tra; nhật ký kết nối của nhà cung cấp, nếu có, có thể giúp xác định trực tiếp nguồn kết nối.

IPv4 và IPv6 là những địa chỉ riêng biệt. Cho phép địa chỉ IPv4 không tự động cho phép kết nối IPv6. Kiểm tra danh sách truy cập chấp nhận phiên bản nào và ứng dụng dùng địa chỉ nào để kết nối đến proxy. Điều này tách biệt với phiên bản IP đầu ra của proxy mà trang web sẽ nhìn thấy.

Tại ProxyCompass, dùng địa chỉ IPv4 công cộng từ trang tra cứu, ngay cả khi trang cũng hiển thị IPv6. Trong thẻ dịch vụ, mở IP Whitelist → Manage, dán địa chỉ IPv4 vào trường thêm địa chỉ rồi bấm Add IP. Sau khi cấu hình danh sách, bấm Save và chờ khoảng ba phút để quy tắc truy cập có hiệu lực. Sau đó thử một kết nối mới qua proxy.

Nhiều thiết bị cần bao nhiêu IP được phép?

Đếm các địa chỉ nguồn khác nhau mà kết nối dùng để đến proxy. Số máy tính và số proxy đã mua có thể rất khác nhau.

Ví dụ, tám máy tính văn phòng dùng chung một địa chỉ công cộng đầu ra có thể chỉ cần một mục. Máy tính gia đình và VPS có địa chỉ đầu ra khác nhau cần hai địa chỉ được phép để hoạt động cùng lúc. Nếu chỉ có một mục, thay IP gia đình bằng IP VPS không cấp quyền truy cập đồng thời cho cả hai nguồn.

Ngược lại, nếu một mục áp dụng cho cả đơn hàng, kết nối từ một máy chủ đến hai mươi proxy không đòi hỏi hai mươi IP máy khách. Địa chỉ nguồn được phép, số proxy trong đơn hàng và giới hạn kết nối đồng thời là các cài đặt dịch vụ riêng biệt.

Trước khi mua, kiểm tra số mục có sẵn và điều kiện thêm hoặc thay thế. Nhiều mạng có thể cần thêm mục, điểm ra được quản lý dùng chung hoặc phương thức xác thực khác nếu dịch vụ cho phép. Điểm ra dùng chung cần bảo trì và bổ sung một thành phần mà tính sẵn sàng của nó ảnh hưởng đến tác vụ.

Trong ví dụ ProxyCompass được minh họa, gói cho phép 1500 kết nối đồng thời. Giá trị 750 cạnh một IP là giới hạn kết nối từ địa chỉ máy khách đó, không phải số kết nối đang mở. Hai địa chỉ được cấp mỗi địa chỉ 750; dùng thanh trượt để đổi cách chia, chẳng hạn 1000 cho địa chỉ đầu và 500 cho địa chỉ thứ hai. Các thiết bị phía sau một IP công cộng dùng chung phần phân bổ của IP đó.

Thêm IP khác vào whitelist không làm tăng tổng giới hạn kết nối của gói. Bài viết về giới hạn kết nối đồng thời giải thích ảnh hưởng của giới hạn này đối với tác vụ song song và việc dùng lại kết nối.

Cách thiết lập truy cập và kiểm tra kết quả

1. Xác định IP đầu ra của môi trường làm việc và thêm vào danh sách của đúng dịch vụ. Bảo đảm đã chọn đơn hàng hoặc nhóm proxy mà ứng dụng sẽ dùng.
2. Lấy địa chỉ kết nối, cổng, giao thức và chế độ truy cập dành cho xác thực bằng IP từ nhà cung cấp. Nhập chúng vào ứng dụng. Chỉ để trống trường tên người dùng và mật khẩu với chế độ thực sự hoạt động mà không cần chúng.
3. Chờ quy tắc có hiệu lực theo hướng dẫn dịch vụ. Phản hồi từ bảng điều khiển hoặc API xác nhận đã lưu mục không phải lúc nào cũng có nghĩa mọi nút đã áp dụng quy tắc. Không có thời gian chờ chung cho mọi dịch vụ.
4. Mở kết nối mới từ ứng dụng làm việc và gửi một yêu cầu nhỏ qua proxy. So sánh IP đầu ra với kết quả mong đợi và xác nhận ứng dụng không âm thầm chuyển sang kết nối trực tiếp. Sau đó bắt đầu tác vụ chính.

Thử nghiệm từ máy tính khác hoặc dịch vụ từ xa đến từ IP nguồn khác. Việc từ chối công cụ thử đó có thể có nghĩa hạn chế truy cập đang hoạt động đúng. Chỉ riêng điều đó không cho thấy proxy bị lỗi.

Điều gì xảy ra khi IP hoặc mạng thay đổi?

Nếu ISP cấp địa chỉ mới, máy tính xách tay chuyển sang internet di động hoặc điểm ra VPN thay đổi, kết nối mới có thể đến từ IP chưa có trong danh sách. Bản thân các proxy vẫn có thể đang hoạt động: điều kiện truy cập của máy khách đã thay đổi.

Mất internet trong thời gian ngắn không nhất thiết làm IP thay đổi. Trước hết, kiểm tra địa chỉ hiện tại và so với mục được phép. Nếu không đổi, hãy tìm hiểu tính sẵn sàng của mạng, cài đặt ứng dụng hoặc trạng thái dịch vụ. Kết nối hiện có vẫn có thể cần được khôi phục sau gián đoạn mạng.

Nếu địa chỉ thường xuyên thay đổi, hãy cân nhắc công sức duy trì truy cập. IP công cộng cố định, điểm ra máy chủ ổn định hoặc cập nhật danh sách tự động qua API có thể hữu ích khi các lựa chọn này có sẵn. Tự động hóa phải tính đến thời gian áp dụng quy tắc và giới hạn lần thử lại. Khóa API dùng để đổi cài đặt là một thông tin bí mật riêng, ngay cả khi kết nối proxy không dùng mật khẩu.

Đừng giữ địa chỉ cũ để đề phòng sau khi không còn kiểm soát nó: địa chỉ có thể được cấp cho người khác. Thu hồi quyền qua công cụ điều khiển của dịch vụ. Việc thu hồi có kết thúc các kết nối hiện có hay không tùy thuộc cách triển khai.

Danh sách IP bảo vệ điều gì và cách quản lý

Nếu người khác chỉ biết địa chỉ và cổng proxy, kiểm tra nguồn ngăn họ kết nối từ mạng không được phép. Điều này giúp chống việc sử dụng danh sách proxy bị rò rỉ. Tuy nhiên, nó hoạt động trong khuôn khổ quy tắc dịch vụ và không thay thế việc bảo vệ các máy tính, gateway được phép.

IP công cộng không chứng minh danh tính một người. Nhiều nhân viên có thể dùng chung điểm ra văn phòng, còn CGNAT—chia sẻ địa chỉ tại nhà cung cấp internet—có thể đặt nhiều thuê bao khác nhau phía sau một IP công cộng. Nếu truy cập chỉ phụ thuộc IP đó, proxy không thể phân biệt họ bằng quy tắc này. Chỉ cho phép địa chỉ khi bạn hiểu ai có thể dùng chúng.

Xóa IP dùng chung sẽ chặn nguồn đó cho tất cả mọi người; không thể chỉ thu hồi quyền một nhân viên trong khi giữ những người khác kết nối. Kiểm soát truy cập cá nhân cần biện pháp bổ sung. Trước khi cho phép cả mạng con, kiểm tra ai có thể kết nối từ đó và dịch vụ có yêu cầu thêm thông tin xác thực hay không.

Xác thực bằng IP tự nó không mã hóa lưu lượng hay làm IP đầu ra không bị nhận diện là proxy. Việc bảo vệ dữ liệu tùy thuộc các kết nối được dùng, còn hành vi mạng hoặc tín hiệu khác vẫn có thể tiết lộ thông tin về proxy. Không có mật khẩu trong cài đặt không đồng nghĩa truy cập không được kiểm soát hoặc lưu lượng được mã hóa.

Vì sao truy cập bằng IP có thể thất bại?

Mã 407 thuộc HTTP. SOCKS5 có phản hồi và thông báo lỗi riêng; không cần tìm mã HTTP trong đó. Thông tin hữu ích cho hỗ trợ gồm thời điểm thử, IP đầu ra của máy khách, địa chỉ và cổng proxy, giao thức đã chọn và thông báo lỗi chính xác.

Khi nào nên chọn xác thực bằng IP?

Phương thức này phù hợp với ứng dụng có kết nối đầu ra ổn định, được kiểm soát khi cả môi trường làm việc cần truy cập và bạn muốn tránh phân phối mật khẩu cho từng tiến trình. Trước khi chọn, xác nhận có đủ mục được phép cho mọi nơi làm việc và có thể cập nhật danh sách nếu mạng thay đổi.

Nếu địa chỉ thường xuyên thay đổi, nhân viên làm từ nhiều mạng hoặc cần thu hồi quyền riêng từng người, hãy cân nhắc phương thức xác thực khác cùng các hạn chế bổ sung của dịch vụ. Quyết định tùy thuộc ai sẽ kết nối và từ đâu, không phải số địa chỉ trong danh sách proxy đã mua.