Perché le persone utilizzano i divieti degli indirizzi IP (ad esempio per bloccare un utente malintenzionato da un servizio Internet) quando gli indirizzi IP cambiano spesso?
Ad esempio, spegniamo il nostro router ogni notte, quindi il nostro indirizzo IP cambia spesso al mattino. Inoltre, spesso è sufficiente un semplice ciclo di accensione per modificare lindirizzo IP. Pertanto, i divieti degli indirizzi IP sono relativamente inefficaci.
Daltra parte, vietare gli indirizzi IP può causare molti problemi agli utenti innocenti che utilizzano gli indirizzi IP precedenti di un utente malintenzionato e talvolta un intervallo di IP gli indirizzi vengono banditi, facendo sì che il divieto di utenti innocenti colpisca ancora più persone.
Allora perché vengono ancora utilizzati i divieti degli indirizzi IP?
PS Mi riferisco specificamente ai divieti a lungo termine. Comprendo perfettamente i vantaggi dei divieti a breve termine, ad es. per bloccare uno spam o un attacco DoS o altre situazioni in cui interrompere brevemente il traffico dannoso è vantaggioso.
Commenti
Risposta
I ban degli indirizzi IP hanno dei difetti come dici tu, ma penso che la ragione principale per cui vengono usati sia semplicemente che non ce nè di meglio alternative. Altre funzionalità di identificazione, come lagente utente del browser, i cookie, limpronta digitale del browser, ecc. sono ancora più facili da falsificare o aggirare. Ci sono molte estensioni che puoi utilizzare per modificare lagente utente o limpronta digitale e i cookie possono essere semplicemente cancellati.
Ad esempio, spegniamo il nostro router ogni notte, quindi il nostro indirizzo IP cambia spesso al mattino. Inoltre, spesso è sufficiente un semplice ciclo di accensione per cambiare lindirizzo IP. Pertanto i divieti dellindirizzo IP sono relativamente inefficaci.
La facilità con cui puoi modificare il tuo indirizzo IP dipende in gran parte dallISP. Ad esempio, quando avevo Verizon DSL, il mio indirizzo IP cambiava ogni volta che spegnevo e riaccendevo il modem proprio come descrivi. Ma dopo essere passato a Comcast , il mio indirizzo IP non è cambiato per tutti i due anni in cui sono stato con loro, anche dopo più interruzioni di corrente e riavvio del modem. Quindi la soluzione alternativa “riavvio del router” non funzionerà necessariamente per tutti.
Unaltra cosa da considerare è che anche se “sei una di quelle persone che possono cambiare il tuo indirizzo IP con un riavvio,” sei probabilmente ancora ottenendo un indirizzo IP da un pool di indirizzi piuttosto limitato. Questo perché gli ISP generalmente non assegnano gli indirizzi in modo completamente casuale; dividono la loro area di servizio in aree più piccole (ad es. Quartieri) e quindi assegnano un piccolo intervallo di indirizzi da assegnare ai clienti in ciascuna area. Quindi, se ci fosse un utente davvero persistente e problematico, un amministratore del sito potrebbe vietare lintero intervallo di indirizzi (anche se questo potrebbe causare problemi significativi ad altri utenti come hai detto).
Nota a margine: è Vale la pena ricordare che ci sono altri modi per mascherare il tuo indirizzo IP che aggirano questo problema, come usare un servizio VPN o Tor . Alcuni siti, come Wikipedia, cercano di bloccare tutti gli indirizzi IP dei proxy pubblici noti per contrastare questo problema.
Daltra parte, vietare gli indirizzi IP può causare molti problemi agli utenti innocenti che utilizzano gli indirizzi IP precedenti di un malintenzionato utente, e talvolta un intervallo di indirizzi IP viene bandito, facendo sì che il divieto di utenti innocenti colpisca ancora più persone.
Sì, i divieti di indirizzi IP sono un strumento schietto e questo è uno dei problemi inerenti a loro. Questo è particolarmente vero quando un indirizzo IP è condiviso da centinaia o migliaia di utenti nello stesso edificio, o anche gran parte di una intera nazione tramite operatore telefonico. grado NAT . È responsabilità degli amministratori del sito ridurre al minimo gli effetti dei divieti di indirizzi IP sugli utenti legittimi. È possibile adottare varie misure: ad esempio, potresti sforzarti di identificare gli indirizzi IP condivisi e assicurarti che quegli indirizzi IP siano banditi solo per brevi periodi, o fare in modo che gli utenti con una certa reputazione minima possano ancora accedere da bannati Indirizzi IP e rimangono inalterati da essi. Se fatto correttamente, il divieto di indirizzi IP può essere molto efficace nel bloccare gli utenti indesiderati, avendo un impatto minimo su quelli legittimi.
Commenti
- Meno importante, ma ancora lì: i divieti IP temporanei sono in realtà abbastanza efficaci – se vuoi solo tenere lutente lontano dal sito per un po , il ” riavvia la connessione ” soluzione alternativa ‘ non ripaga così tanto. Soprattutto nei giorni di connessione remota, quando ciò potrebbe significare che ‘ avresti dovuto pagare per riavviare la connessione: il mio ISP addebitato a ore, ad esempio, e aveva una tariffa diversa per chiamate notturne, quindi se volevi la connessione tutto il giorno, era molto più economico iniziare di notte e mantenerlo in funzione.
- Un problema crescente con linserimento di un indirizzo IP nella blacklist è luso del NAT di grado operatore dovuto alla carenza di indirizzi IPv4. Negare un singolo indirizzo IP da un operatore che utilizza CGN negherà migliaia o decine di migliaia di utenti.
- In riferimento al tuo ultimo paragrafo, un esempio è che se StackExchange implementasse il divieto IP, potrebbero consentire agli utenti con più di dire, 100 reputazione, per accedere ed evitare il divieto. Quindi quei fastidiosi studenti universitari che hanno appena fatto spamming e hanno bandito lintera rete universitaria non ‘ influenzeranno gli utenti come me che hanno almeno 101 reputazione di ‘ fidato ‘ utente.
- Per essere chiari, odio i divieti IP (a lungo termine) perché per la maggior parte sono un grave inconveniente da legittimare (buoni) utenti. Ma come funzionerebbe un ” selettivo ” (a lungo termine) divieto di PI (come suggerito). Voglio dire, al fine di identificare lutente per determinare la reputazione degli utenti, devi consentire loro laccesso (mentre non sei loggato) per un periodo di tempo indefinito (sempre / per sempre) in modo che possano accedere.
- @KevinFegan Se stai bannando gli IP a livello di firewall, allora sì, sarebbe piuttosto difficile. Ma ” vietare ” ‘ non deve significare impedire completamente laccesso, per la maggior parte dei siti web , forum, ecc. puoi vietare a livello di applicazione, in modo che gli IP vietati non possano creare nuovi account o post ma possano comunque navigare nel sito o accedere per dimostrare la reputazione.
Answer
Perché le persone usano i divieti degli indirizzi IP quando gli indirizzi IP cambiano spesso?
Un esempio pratico che rappresenta un enorme ritorno sullinvestimento:
Perché fail2ban ( Wikipedia / fail2ban ) è molto più veloce e adattabile del DHCP ( Server Fault, correggere DHCP lease ) latenza di rinnovo dellISP di un aggressore o di uno stupido robot.
Commenti
- Sei giusto, ma a volte non cè DHCP per lultimo miglio. Ad esempio, PPP ha il proprio protocollo (IPCP) per fornire lindirizzo IP. Quindi, in caso di PPtP VPN su Ethernet o PPPoE (entrambi erano abbastanza comuni nel mio paese 10 anni fa: VPN per reti domestiche e PPPoE per DSL / ATM) DHCP non viene utilizzato. Lo stesso vale per PPP tramite modem (dial-up), se qualcuno lo ricorda ancora.
Rispondi
I divieti di IP vengono utilizzati principalmente perché “s non esiste un altro modo migliore per bandire un utente , soprattutto se stanno semplicemente usando il tuo sito web.
"IP addresses change often"se lISP ti fornisce un IP dinamico. Ma il divieto funziona bene (solo) se è l ‘ IP statico. Ad esempio, il mio precedente provider mi ha fornito un IP statico ed è rimasto lo stesso per diversi anni. Ma sono daccordo che lIP-ban non ‘ funzioni oggigiorno perché ci sono pochissimi ISP con IP statici. (Perché? Perché ci sono più dispositivi connessi a Internet rispetto agli IP IPv4 e lunico modo pratico per fornire loro IP è usare IP dinamici … Ancora in attesa della prossima alternativa IP, ma per favore, non IPv6 …)