Почему ваш IP-адрес попадает под подозрение
«Чистота IP» — неофициальное название репутации IP: суждения, которое почтовые серверы, сайты и системы борьбы с мошенничеством выносят об IP-адресе, прежде чем решить, что ему разрешить. Единой оценки чистоты не существует, как и центрального органа, который бы её выдавал. Вместо этого десятки независимых списков и баз данных ведут каждая свой собственный реестр — какие адреса рассылали спам, какие принадлежат дата-центрам, какие являются выходами из сети Tor, — а каждый сервис, который вы посещаете, сверяется с той комбинацией, которой доверяет. В этой статье объясняется, кто ведёт эти реестры, почему совершенно обычный пользователь может унаследовать помеченный адрес, что на самом деле измеряют распространённые флаги и что можно и чего нельзя сделать с плохой репутацией, которую вы не заслужили. Посмотреть на собственный адрес так, как его видят эти системы, можно с помощью проверки чистоты IP.
Единой оценки чистоты не существует
Выражение «чистота IP» наводит на мысль о лабораторном измерении: одно число, объективно верное, одинаковое везде. Реальность куда запутаннее. Репутация распределена между системами, построенными для разных задач. DNS-блоклисты (DNSBL) существуют, чтобы помогать почтовым серверам решать, принимать ли соединение. Базы геолокации и IP-аналитики классифицируют, к какому типу сети принадлежит адрес — домашней, мобильной, дата-центру или прокси. Источники данных о злоупотреблениях фиксируют адреса, замеченные в атаках. Проект Tor публикует собственный список выходных релеев. Каждый источник отвечает на свой вопрос, обновляется по собственному графику и противоречит остальным, как только их данные расходятся.
Любая «оценка», которую показывает вам проверочный сервис, — это сводка по выбранному подмножеству источников на конкретный момент времени, включая оценку на этом сайте. Два сервиса могут вынести одному и тому же адресу разные вердикты, и ни один не ошибётся, потому что они сверялись с разными списками. Честный способ читать результат проверки чистоты — как набор отдельных сигналов, у каждого из которых свой источник и свои ограничения, а не как единую оценку. Именно эти свидетельства статья и разбирает, сигнал за сигналом.
Почему невинный IP оказывается помеченным
Самая частая причина никак не связана с вами: адреса совместно используются и перераспределяются. Многие провайдеры размещают сотни или тысячи домохозяйств за одним публичным IPv4-адресом с помощью операторского NAT (CGNAT), поэтому один злоупотребляющий сосед отравляет общий адрес для всех, кто за ним находится. Динамические адреса постоянно переназначаются, а репутация следует за адресом, а не за человеком — IP, который вы получили сегодня утром, на прошлой неделе мог принадлежать спам-операции. Диапазоны дата-центров точно так же переходят от арендатора к арендатору, и диапазон, когда-то сданный злоупотребляющему клиенту, сохраняет пятно ещё долго после его ухода. Проблема соседей достаточно распространена, чтобы заслужить отдельную историю: когда соседи доводят ваш IP до чёрного списка.
Общие точки выхода распространяют тот же эффект ещё дальше. VPN- или прокси-сервис пропускает тысячи пользователей через горстку выходных адресов, поэтому злоупотребления немногих помечают выход, а все пользователи за ним наследуют CAPTCHA, блокировки и подозрения. Автоматизированное поведение из диапазона — агрессивный парсинг, подстановка учётных данных, сканирование уязвимостей — получает такое же отношение. А некоторые включения вообще не связаны со злоупотреблениями: списки политик намеренно помечают домашние и динамические диапазоны, которые не должны отправлять почту напрямую в интернет, независимо от их поведения. Флаг фиксирует, как адрес выглядит снаружи, а не то, что сделал его нынешний пользователь.
Что на самом деле измеряют флаги прокси, хостинга и мобильной связи
Эти три флага поступают из баз IP-аналитики и классифицируют тип подключения, а не ваше поведение. «Хостинг» означает, что адрес находится в диапазоне, зарегистрированном на дата-центр или хостинг-провайдера. «Прокси» означает, что база считает адрес прокси, VPN или выходом Tor. «Мобильная связь» означает, что адрес принадлежит диапазону оператора сотовой связи. Классификация собирается из записей о распределении, владеющей сети, шаблонов имён в обратной DNS-записи, наблюдаемого трафика и жалоб пользователей — лоскутное одеяло эвристик, которое к тому же устаревает по мере переназначения адресов.
Ложные срабатывания — обычное дело, и самый наглядный пример — знаменитый адрес: публичный DNS-резолвер Google 8.8.8.8 возвращает флаги прокси и хостинга, потому что это anycast-сервис, работающий на инфраструктуре дата-центра, — ровно то, на что реагируют эвристики, — хотя это не VPN и никто не «использует» его, чтобы скрыться. Корпоративные точки выхода, университетские сети, iCloud Private Relay и операторский NAT вызывают те же флаги по той же причине. Флаг — это подсказка базы данных, а не вердикт, и именно поэтому проверка чистоты IP показывает каждый сигнал отдельно, с его источником, вместо того чтобы прятать их за одним числом.
DNSBL: что означает включение и как работает удаление
DNS-блоклист публикует свои включения в виде DNS-записей, что делает проверку быстрой и универсальной: разверните октеты IP, добавьте имя зоны и сделайте запрос. Отсутствие ответа (NXDOMAIN) означает, что адрес не включён; ответ в диапазоне 127.0.0.x означает включение, а точный код говорит почему — источник спама, скомпрометированный хост или включение по политике для диапазона, который не должен отправлять почту. Почтовые серверы выполняют эту проверку при поступлении соединения и сами решают, что делать: отклонить, отложить или принять и фильтровать строже. Списки имеют очень разный вес: включение в Spamhaus ZEN может привести к отказу в приёме почты сразу в тысячах принимающих сетей, тогда как включение в заброшенный или малоизвестный список может никого не волновать.
Удаление начинается с причины, а не с формы. Исправьте скомпрометированное устройство, закройте открытый релей, остановите рассылку спама — а затем попросите об удалении оператора этого списка, следуя его собственной процедуре. Некоторые включения истекают автоматически; другим требуется ручная проверка; включения по политике для динамических домашних диапазонов обычно сохраняются, потому что диапазон действительно не должен отправлять почту напрямую — таким пользователям следует отправлять через релей своего провайдера или почтовый сервис. Пошаговая версия, список за списком, — в статье как выйти из DNS-блоклиста. Одно предупреждение: ни один уважаемый оператор не берёт плату за удаление, поэтому всякий, кто продаёт «гарантированное удаление», продаёт то, что оператор отдаёт бесплатно.
Выход Tor — это не пользователь Tor
Трафик Tor достигает открытого интернета через выходные релеи, которые поддерживают волонтёры, и каждый сайт, который посещает трафик, видит адрес выходного релея, а не пользователя. Проект Tor публикует массовый список выходов — адреса релеев, которым в настоящее время разрешён выход, — именно для того, чтобы сервисы могли их распознавать. Адрес в этом списке ничего не говорит о человеке, стоящем за конкретным соединением: тысячи пользователей делят каждый выход для любых целей — от журналистики и исследований до злоупотреблений, — а адрес выхода не способен их различить.
Именно эта неразличимость — причина, по которой многие сайты относятся к выходным адресам с дополнительными трениями, а не с доверием: больше CAPTCHA, доступ только для чтения, а иногда и прямые блокировки. Сайт не обвиняет конкретного пользователя; он оценивает выход в целом, потому что у него нет способа оценить пользователей за ним. Сам список — это снимок, который постоянно меняется по мере того, как релеи присоединяются, уходят и меняют политику: адрес может появиться в нём и исчезнуть за несколько часов, а массовый экспорт охватывает только IPv4. Если ваш собственный адрес есть в списке, а релей вы не держите, обычное объяснение — перераспределение: адрес был выходом при предыдущем владельце.
Что можно — и чего нельзя — сделать с помеченным IP
Начните с дешёвых шагов. Перезагрузка маршрутизатора обычно меняет динамический адрес, давая вам новый адрес с другой историей — хотя у нового может быть своя. Попросите провайдера о новом адресе или, если вы держите сервер, о статическом IP: статические адреса легче удалить из списков и легче держать чистыми, потому что их репутация принадлежит только вам. Если вас внёс конкретный список, устраните причину и попросите об удалении у этого оператора. Перестаньте отправлять почту напрямую из домашнего подключения — используйте релей провайдера или почтового провайдера. А если сервис блокирует вас, пока вы используете VPN, смена выходного сервера или отключение VPN для этого сервиса обычно решает проблему.
Чего вы не можете сделать — так это купить чистую репутацию или заставить частную платформу снять с вас пометку: её канал обжалования — единственный путь, а её внутренняя оценка не публикуется. И «чистый» результат не гарантирует доверия: он означает лишь, что не сработал ни один известный плохой сигнал, а поведение сервисы оценивают отдельно — историю вашего аккаунта, характер запросов и всё, что раскрывает ваш браузер, — поэтому статья что сайты знают о вас смотрит дальше адреса. Репутация арендуется, а не принадлежит: она следует за адресом, меняется по мере обновления списков, а лучшая долгосрочная защита — адрес, чья история коротка, тиха и принадлежит вам.