Whitelist IP động: Dùng proxy khi IP nhà mạng thay đổi
Whitelist IP động là tình huống dùng proxy xác thực theo danh sách IP được phép trong khi IP công khai của mạng nhà hay mạng di động liên tục thay đổi. Hệ quả quen thuộc: hôm qua proxy chạy tốt, sáng nay khởi động lại modem là proxy báo lỗi, phải vào trang quản lý cập nhật IP mới. Bài này ProxyVN giải thích vì sao IP nhà mạng thay đổi, cách nhận biết whitelist đã lệch, các cách cập nhật nhanh, tự động hoá qua API và khi nào nên chuyển hẳn sang xác thực bằng tài khoản mật khẩu. Xem thêm dịch vụ tại ProxyVN.
Tổng quan về whitelist IP động
Proxy trả phí thường có hai cách xác thực. Cách thứ nhất là tài khoản mật khẩu: mỗi kết nối gửi kèm thông tin đăng nhập. Cách thứ hai là whitelist IP: anh em khai báo IP công khai của máy mình với nhà cung cấp, mọi kết nối từ IP đó được chấp nhận mà không cần mật khẩu. So sánh chi tiết hai cách có trong bài xác thực proxy bằng IP whitelist hay user password.
Whitelist tiện vì không phải điền mật khẩu vào từng phần mềm, nhiều phần mềm không hỗ trợ proxy có mật khẩu cũng dùng được. Nhưng whitelist dựa trên giả định IP của anh em không đổi. Với phần lớn mạng gia đình ở Việt Nam, giả định này sai. IP công khai do nhà mạng cấp là IP động, thay đổi theo thời gian. Đó là gốc rễ của vấn đề whitelist IP động.
Ai hay gặp vấn đề whitelist IP động
- Người dùng mạng gia đình: cáp quang Viettel, VNPT, FPT thông thường cấp IP động.
- Người làm việc bằng mạng di động: IP 4G, 5G đổi rất thường xuyên, thậm chí giữa các lần bật tắt dữ liệu.
- Người hay di chuyển: laptop dùng mạng nhà, quán cà phê, văn phòng, mỗi nơi một IP.
- Đội nhóm nhiều người: mỗi người một mạng, danh sách whitelist phải chứa nhiều IP cùng thay đổi.
Nhắc lại IP tĩnh và IP động
IP tĩnh giữ nguyên lâu dài, thường phải đăng ký và trả thêm phí với nhà mạng, phổ biến với doanh nghiệp và máy chủ. IP động được cấp từ một dải chung, có thể đổi mỗi khi kết nối lại hoặc theo chu kỳ. Khái niệm chi tiết có trong bài IP tĩnh và IP động, bài này chỉ tập trung vào tác động của IP động lên whitelist proxy.
Khi nào IP nhà mạng thay đổi
Biết thời điểm IP đổi giúp đoán trước lúc nào cần cập nhật whitelist.
IP nhà mạng thay đổi khi nào
Khởi động lại modem
Đây là nguyên nhân phổ biến nhất. Khi modem kết nối lại với nhà mạng, nó thường nhận IP mới. Mất điện, rút dây, modem tự khởi động lại khi cập nhật phần mềm đều dẫn tới cùng kết quả.
Hết chu kỳ cấp phát
Một số nhà mạng định kỳ cấp lại IP dù modem không khởi động lại, chu kỳ có thể vài ngày hoặc vài tuần. Anh em không làm gì mà IP vẫn đổi.
Bảo trì của nhà mạng
Khi nhà mạng bảo trì thiết bị trong khu vực, kết nối bị ngắt và cấp lại, IP thay đổi hàng loạt cho cả khu vực.
Mạng di động
IP mạng di động đổi khi điện thoại chuyển trạm phát sóng, bật tắt chế độ máy bay, hoặc chỉ sau một thời gian không dùng dữ liệu. Phát mạng từ điện thoại cho laptop thì laptop nhận IP của điện thoại, cũng đổi liên tục.
CGNAT: nhiều người chung một IP
Nhiều nhà mạng dùng CGNAT để tiết kiệm IPv4, nhiều thuê bao dùng chung một IP công khai. Modem của anh em có thể nhận địa chỉ trong dải 100.64.0.0/10, dải dành riêng cho CGNAT theo RFC 6598. IP công khai thật nằm ở thiết bị của nhà mạng và có thể đổi mà anh em không biết. Thêm rủi ro: whitelist IP CGNAT nghĩa là những thuê bao khác chung IP đó cũng dùng được proxy của anh em. Cơ chế CGNAT có trong bài CGNAT.
Dấu hiệu whitelist IP động đã lệch
Khi IP đổi mà whitelist chưa cập nhật, proxy từ chối kết nối. Dấu hiệu tuỳ phần mềm, nhưng có vài kiểu điển hình.
Dấu hiệu whitelist đã lệch
Thông báo lỗi thường gặp
Phần mềm |
Dấu hiệu |
|---|---|
Trình duyệt |
Không thể kết nối máy chủ proxy, hoặc hiện hộp hỏi tài khoản mật khẩu |
curl, script |
Mã 407 Proxy Authentication Required, hoặc kết nối bị đóng |
Phần mềm MMO, antidetect |
Proxy báo chết, kiểm tra proxy thất bại |
Ứng dụng điện thoại |
Không có mạng khi bật proxy |
Hộp hỏi mật khẩu hiện ra dù anh em chưa bao giờ dùng mật khẩu là dấu hiệu rất rõ: proxy không nhận ra IP nên chuyển sang yêu cầu xác thực. Cơ chế mã 407 có trong bài sửa lỗi 407 Proxy Authentication Required.
Kiểm tra IP hiện tại
Mở một dịch vụ trả về IP như ifconfig.me khi đã tắt proxy. So với IP đang có trong whitelist ở trang quản lý proxy. Khác nhau là nguyên nhân đã rõ. Lưu ý phải tắt proxy khi kiểm tra, nếu không sẽ thấy IP của proxy chứ không phải IP mạng nhà.
Phân biệt với proxy chết thật
Nếu IP hiện tại trùng whitelist mà proxy vẫn lỗi, vấn đề nằm ở chỗ khác: proxy hết hạn, máy chủ proxy gặp sự cố, sai cổng. Kiểm tra trạng thái gói trong trang quản lý hoặc liên hệ nhà cung cấp.
Kiểm tra IPv4 và IPv6
Một số mạng có cả IPv4 và IPv6. Dịch vụ kiểm tra có thể hiện IPv6, trong khi kết nối tới proxy lại đi bằng IPv4, hoặc ngược lại. Whitelist cần đúng loại IP mà máy dùng để kết nối tới proxy. Dùng trang kiểm tra hiện cả hai loại, hoặc mở ifconfig.me với tuỳ chọn ép IPv4. Khác biệt giữa hai giao thức có trong bài proxy IPv4 và IPv6.
Cách cập nhật whitelist IP động nhanh
Khi đã biết IP đổi, cập nhật càng nhanh càng ít gián đoạn.
Cập nhật tay trong trang quản lý
Đăng nhập trang quản lý proxy, vào mục whitelist hoặc IP được phép, thay IP cũ bằng IP mới. Thay đổi thường có hiệu lực sau vài giây tới vài phút. Đây là cách đơn giản nhất nhưng phải làm mỗi lần IP đổi.
Giữ vài IP gần đây
Nếu nhà cung cấp cho khai báo nhiều IP, giữ lại cả IP cũ và IP mới trong một thời gian. Trường hợp mạng nhà đổi qua lại giữa vài IP, không phải sửa liên tục. Nhưng xoá các IP quá cũ để tránh người khác nhận lại IP đó và dùng được proxy.
Đánh dấu trang quản lý
Lưu đường dẫn tới đúng trang whitelist, đăng nhập sẵn trên trình duyệt. Khi proxy lỗi buổi sáng, mất ba mươi giây thay vì vài phút tìm menu.
Báo cho cả nhóm
Trong nhóm nhiều người, quy định ai cập nhật whitelist cho ai. Mỗi người tự cập nhật IP của mình nếu nhà cung cấp cho tài khoản phụ, tránh việc một người sửa nhầm IP của người khác.
Tự động cập nhật whitelist IP động qua API
Cập nhật tay mãi rồi cũng mệt. Nếu nhà cung cấp có API quản lý whitelist, có thể tự động hoá hoàn chỉnh.
Tự động cập nhật whitelist
Nguyên lý
Một kịch bản nhỏ chạy định kỳ trên máy, ví dụ mỗi năm phút. Kịch bản lấy IP công khai hiện tại, so với IP lần trước. Nếu khác, gọi API của nhà cung cấp để thay IP trong whitelist, rồi lưu IP mới. Toàn bộ diễn ra ngầm, anh em không cần để ý.
Ví dụ kịch bản đơn giản
#!/bin/bash
IP=$(curl -s -4 https://ifconfig.me)
OLD=$(cat ~/.last_ip 2>/dev/null)
if [ "$IP" != "$OLD" ]; then
curl -s -X POST "https://api.nhacungcap.vn/whitelist" \
-H "Authorization: Bearer $API_KEY" \
-d "ip=$IP"
echo "$IP" > ~/.last_ip
fiĐường dẫn và tham số API ở đây chỉ là minh hoạ, mỗi nhà cung cấp một khác, anh em xem tài liệu API của nhà cung cấp đang dùng. Trên Windows, kịch bản tương tự viết bằng PowerShell và chạy bằng Task Scheduler. Tổng quan về API của dịch vụ proxy có trong bài mua proxy API.
Chọn tần suất kiểm tra
Mỗi năm phút là hợp lý với mạng nhà. Kiểm tra quá dày tốn yêu cầu tới dịch vụ trả IP và có thể bị giới hạn. Kiểm tra quá thưa thì gián đoạn lâu hơn mỗi khi IP đổi.
Bảo vệ khoá API
Khoá API quản lý proxy cho phép thay đổi whitelist, ai có khoá có thể thêm IP của họ vào. Lưu khoá trong tệp có quyền hạn chế, không chia sẻ kịch bản kèm khoá.
Dùng router chạy kịch bản
Router chạy phần mềm mở như OpenWrt có thể chạy kịch bản này ngay trên router, vì router là thiết bị biết IP mới sớm nhất. Lợi ích là máy tính tắt thì whitelist vẫn được cập nhật cho các thiết bị khác trong nhà.
Dùng DNS động cho whitelist IP động
DNS động (DDNS) là dịch vụ gắn một tên miền cố định với IP thay đổi của mạng nhà, tự cập nhật mỗi khi IP đổi. Cloudflare giải thích khái niệm này trong trang Dynamic DNS.
DDNS giúp gì cho whitelist
Nếu nhà cung cấp proxy cho phép whitelist theo tên miền thay vì IP, khai báo tên miền DDNS là xong. Proxy tự phân giải tên miền ra IP hiện tại. Tiếc là phần lớn nhà cung cấp chỉ nhận IP, nên cách này không phải lúc nào cũng dùng được.
Router có sẵn DDNS
Nhiều modem, router có mục DDNS trong cài đặt, hỗ trợ một số dịch vụ miễn phí. Bật lên, router tự cập nhật tên miền mỗi khi IP đổi. Kịch bản tự động cập nhật whitelist có thể đọc IP từ tên miền này thay vì gọi dịch vụ trả IP.
Không dùng được với CGNAT
Với CGNAT, IP mà router thấy là IP nội bộ của nhà mạng, DDNS cập nhật sai IP. Phải lấy IP công khai từ dịch vụ bên ngoài như ifconfig.me.
Dùng VPS IP tĩnh làm điểm ra cho whitelist IP động
Một cách giải quyết tận gốc là đặt một máy có IP tĩnh làm điểm trung gian, whitelist IP của máy đó thay vì IP mạng nhà.
Cách làm
Thuê một VPS có IP tĩnh. Whitelist IP của VPS với nhà cung cấp proxy. Từ máy nhà, kết nối tới VPS qua đường hầm SSH hoặc một proxy trung gian chạy trên VPS, rồi từ VPS đi tiếp tới proxy mua. IP nhà đổi bao nhiêu lần cũng không ảnh hưởng, vì proxy chỉ thấy IP của VPS.
Ưu điểm
Whitelist ổn định lâu dài. Nhiều người trong nhóm cùng đi qua một VPS, chỉ cần một IP trong whitelist. Phần mềm không hỗ trợ proxy có mật khẩu vẫn dùng được.
Nhược điểm
Tốn thêm chi phí VPS, thêm một chặng mạng làm tăng độ trễ, và VPS trở thành điểm hỏng duy nhất. Kết nối từ máy nhà tới VPS cũng cần được bảo vệ bằng mật khẩu hoặc khoá, nếu không VPS trở thành proxy mở cho cả Internet. Vai trò của VPS trong hệ thống proxy có trong bài proxy và VPS.
Khi nào đáng làm
Đội nhóm làm việc từ nhiều nơi, phần mềm bắt buộc dùng whitelist, hoặc công việc chạy liên tục không chấp nhận gián đoạn. Với cá nhân dùng một hai phần mềm, chuyển sang tài khoản mật khẩu đơn giản hơn nhiều.
Chuyển sang tài khoản mật khẩu thay cho whitelist IP động
Nếu IP đổi liên tục và phần mềm hỗ trợ proxy có mật khẩu, chuyển sang xác thực bằng tài khoản mật khẩu là cách gọn nhất.
Chọn cách xác thực phù hợp
Ưu điểm
Không phụ thuộc IP, dùng được ở mọi mạng, laptop mang đi đâu cũng chạy. Không lo người khác chung IP CGNAT dùng ké proxy.
Định dạng proxy có mật khẩu
Phần lớn phần mềm nhận dạng host:port:user:pass hoặc user:pass@host:port. Cơ chế xác thực Basic gửi tài khoản mật khẩu mã hoá Base64 trong tiêu đề, mô tả trong RFC 7617. Base64 không phải mã hoá bảo mật, nên tránh gửi qua mạng không tin cậy bằng HTTP thường khi có thể. Các định dạng phổ biến có trong bài định dạng proxy.
Phần mềm không hỗ trợ mật khẩu
Một số phần mềm cũ, một số thiết bị như TV, máy chơi game chỉ nhận host:port. Với chúng, dùng whitelist hoặc đặt một proxy trung gian trên máy tính trong nhà, phần mềm kết nối tới proxy trung gian không mật khẩu, proxy trung gian gửi mật khẩu tới proxy mua. Công cụ như Proxifier làm được việc này, xem bài Proxifier.
Kết hợp cả hai
Nhiều nhà cung cấp cho dùng đồng thời: whitelist cho máy cố định, mật khẩu cho thiết bị di động. Tận dụng cả hai để mỗi thiết bị dùng cách phù hợp.
So sánh các cách xử lý whitelist IP động
Bảng dưới giúp chọn nhanh theo tình huống.
Cách |
Công sức |
Chi phí thêm |
Phù hợp với |
|---|---|---|---|
Cập nhật tay |
Mỗi lần IP đổi |
Không |
Người dùng ít, IP ít đổi |
Kịch bản tự động qua API |
Thiết lập một lần |
Không |
Người quen kỹ thuật, nhà cung cấp có API |
DNS động |
Thiết lập một lần |
Thường không |
Nhà cung cấp nhận tên miền |
VPS IP tĩnh trung gian |
Thiết lập và bảo trì |
Thuê VPS |
Đội nhóm, phần mềm bắt buộc whitelist |
Chuyển sang tài khoản mật khẩu |
Rất ít |
Không |
Phần lớn người dùng |
Đăng ký IP tĩnh với nhà mạng |
Thủ tục với nhà mạng |
Phí hằng tháng |
Doanh nghiệp, văn phòng |
Đăng ký IP tĩnh với nhà mạng
Viettel, VNPT, FPT đều có gói IP tĩnh, thường dành cho doanh nghiệp hoặc phải trả thêm phí. Với văn phòng chạy nhiều công việc qua proxy, IP tĩnh giải quyết dứt điểm vấn đề. Với hộ gia đình, chi phí thường không đáng so với chuyển sang mật khẩu. Thông tin về IP các nhà mạng có trong bài proxy Viettel, VNPT, FPT.
Whitelist IP động trên từng loại thiết bị và phần mềm
Mỗi môi trường làm việc có cách xử lý IP động hợp lý riêng. Phần này gom kinh nghiệm cho các trường hợp hay gặp.
Máy tính bàn ở nhà
Máy bàn ít di chuyển, chỉ đổi IP khi modem kết nối lại. Kịch bản tự động cập nhật qua API là lựa chọn tốt nhất nếu nhà cung cấp hỗ trợ. Nếu không, cập nhật tay vài lần mỗi tháng vẫn chấp nhận được. Đặt modem ở nơi ít bị mất điện, dùng bộ lưu điện nhỏ cho modem cũng giảm số lần IP đổi.
Laptop di chuyển nhiều nơi
Mỗi quán cà phê, mỗi văn phòng một IP, whitelist gần như không dùng được. Chuyển sang tài khoản mật khẩu cho mọi phần mềm trên laptop. Nếu một phần mềm bắt buộc whitelist, đi qua VPS trung gian.
Điện thoại
Cài proxy trên Android hay iPhone qua cài đặt Wi-Fi, iPhone hỗ trợ xác thực bằng tài khoản mật khẩu, Android thì tuỳ phiên bản và ứng dụng. Khi dùng mạng di động, IP đổi liên tục nên whitelist không thực tế. Các bước cài proxy cho điện thoại và cách gỡ khi không cần có trong bài cài proxy cho Android.
Trình duyệt antidetect và phần mềm MMO
Phần lớn trình duyệt quản lý nhiều hồ sơ hỗ trợ proxy có mật khẩu, nên không cần whitelist. Nếu đang dùng whitelist cho hàng trăm hồ sơ, mỗi lần IP nhà đổi cả hệ thống ngừng chạy cùng lúc, rủi ro rất lớn. Chuyển sang mật khẩu một lần để không bao giờ gặp lại tình huống này.
Máy chủ, VPS
Máy chủ trên đám mây thường có IP tĩnh, whitelist là lựa chọn gọn gàng. Lưu ý một số nền tảng đám mây cấp IP công khai thay đổi khi khởi động lại máy, trừ khi đăng ký IP tĩnh riêng. Kiểm tra cấu hình mạng của máy chủ trước khi dựa vào whitelist.
Thiết bị trong nhà như TV, máy chơi game
Các thiết bị này thường chỉ nhận proxy dạng host:port không mật khẩu, nên buộc phải dùng whitelist. Kết hợp kịch bản tự động trên router hoặc máy tính luôn bật để whitelist luôn đúng. Khi thiết bị báo mất mạng sau mất điện, nghĩ ngay tới khả năng IP đã đổi.
Bảo mật khi dùng whitelist IP động
Whitelist trao quyền dùng proxy cho mọi kết nối từ một IP. Với IP động, IP đó có thể sớm thuộc về người khác.
IP cũ được cấp cho người khác
Khi modem nhận IP mới, IP cũ trả về dải chung và có thể được cấp cho thuê bao khác. Nếu IP cũ vẫn trong whitelist, người đó dùng được proxy của anh em mà không biết. Xoá IP cũ ngay khi cập nhật.
CGNAT và mạng công cộng
Whitelist IP của mạng CGNAT, Wi-Fi quán cà phê, mạng công ty dùng chung nghĩa là cho tất cả người dùng mạng đó dùng proxy. Tránh whitelist IP của mạng dùng chung, dùng mật khẩu khi ở những mạng này.
Theo dõi lưu lượng bất thường
Kiểm tra định kỳ dung lượng đã dùng trong trang quản lý. Dung lượng tăng vọt không rõ lý do có thể là người khác đang dùng proxy qua IP còn sót trong whitelist.
Chia sẻ proxy cho nhiều thiết bị
Khi nhiều thiết bị trong nhà cùng dùng proxy qua whitelist, tất cả đi qua cùng một IP mạng nhà nên chỉ cần một IP trong whitelist. Lưu ý chia sẻ proxy cho nhiều thiết bị có thể ảnh hưởng tới tài khoản nếu các thiết bị dùng cho mục đích khác nhau, xem bài dùng chung proxy cho nhiều thiết bị.
Chọn nhà cung cấp proxy hỗ trợ tốt cho IP động
Khi IP mạng nhà thay đổi thường xuyên, tính năng của nhà cung cấp ảnh hưởng nhiều tới trải nghiệm.
Cho dùng cả hai cách xác thực
Nhà cung cấp hỗ trợ cả whitelist và tài khoản mật khẩu cho phép linh hoạt theo từng thiết bị. Proxy ProxyVN hỗ trợ cả hai cách, và mỗi proxy dùng được cả HTTP lẫn SOCKS5. Nếu cần proxy Việt Nam linh hoạt cho mạng nhà hay đổi IP, anh em có thể mua proxy tại ProxyVN.
Cho khai báo nhiều IP
Số IP tối đa trong whitelist càng nhiều càng tiện cho đội nhóm và cho việc giữ vài IP gần đây.
Có API quản lý
API cập nhật whitelist cho phép tự động hoá như đã nói ở trên. Hỏi nhà cung cấp trước khi mua nếu đây là yêu cầu quan trọng.
Cập nhật có hiệu lực nhanh
Thời gian từ lúc sửa whitelist tới lúc có hiệu lực ảnh hưởng tới thời gian gián đoạn. Vài giây là tốt, vài chục phút thì bất tiện.
Câu hỏi thường gặp về whitelist IP động
Làm sao biết mạng nhà là IP động hay IP tĩnh
Nếu không đăng ký gói IP tĩnh với nhà mạng, khả năng rất cao là IP động. Kiểm tra IP công khai, khởi động lại modem rồi kiểm tra lại, IP khác là IP động.
Khởi động lại modem bao lâu thì IP đổi
Thường ngay sau khi modem kết nối lại. Một số trường hợp nhà mạng cấp lại đúng IP cũ nếu thời gian ngắt quá ngắn, nhưng không nên trông vào điều này.
Whitelist IP mạng 4G được không
Được nhưng không thực tế vì IP 4G đổi rất thường xuyên. Dùng tài khoản mật khẩu khi làm việc bằng mạng di động.
Dùng VPN rồi whitelist IP của VPN được không
Về kỹ thuật được nếu VPN có IP riêng cố định. VPN thông thường dùng IP chung cho nhiều người, whitelist IP đó nghĩa là chia proxy cho người lạ, không nên làm.
Proxy xoay có cần whitelist không
Proxy xoay cũng xác thực bằng một trong hai cách như proxy tĩnh. Điều thay đổi là IP ra Internet của proxy, còn IP whitelist là IP của máy anh em kết nối tới proxy. Vì vậy vấn đề whitelist IP động vẫn y nguyên với proxy xoay. Cách quản lý proxy xoay qua API có trong bài API đổi IP proxy xoay.
Tổng kết
Whitelist IP động gây gián đoạn vì IP mạng nhà đổi khi khởi động lại modem, hết chu kỳ cấp phát hay do CGNAT. Nhận biết qua lỗi kết nối hoặc hộp hỏi mật khẩu bất ngờ, kiểm tra IP hiện tại rồi cập nhật whitelist. Tự động hoá qua API, dùng VPS IP tĩnh trung gian, hoặc đơn giản nhất là chuyển sang tài khoản mật khẩu. Cần proxy Việt Nam hỗ trợ cả whitelist lẫn mật khẩu, anh em liên hệ Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam để được tư vấn.
