Качество IP: домашний, дата-центр и откуда берется флаг «прокси»

Откройте на этом сайте проверку IP — и вы увидите столбец полей: адрес, страна и город, ASN, провайдер, а дальше несколько флагов-переключателей: proxy, hosting, mobile. Строку со страной понимают все. Но именно строки после нее интересуют систему оценки риска на сайте. Они решают, получите ли вы лишнюю капчу при входе, пройдет ли регистрация, покажет ли стриминговый сервис хоть что-нибудь. Разберем их по порядку.

Три вида IP: домашний, дата-центр, мобильный

Грубо говоря, публичные адреса делятся по трем сценариям использования.

Домашний (резидентный) IP — тот, что провайдер домашнего интернета выдает роутеру в вашей квартире. Comcast, BT, China Telecom, NTT — каждый держит крупные блоки и выдает по одному адресу на абонента, обычно динамическому, который меняется раз в несколько дней или при перезагрузке модема. Определяющее свойство — «один адрес, примерно одно домохозяйство», поэтому сайты считают такой источник самым нормальным и самым «человеческим».

IP дата-центра, часто помеченный как hosting, принадлежит облачным провайдерам и площадкам колокации: AWS, Google Cloud, Alibaba Cloud, Vultr, Hetzner, плюс бесчисленные мелкие операторы, о которых вы никогда не слышали. За такими адресами стоят серверы, а не человек на диване. Браузерная сессия с адреса AWS на первый взгляд немного странная — не невозможная, но заслуживающая второго взгляда.

Мобильный IP выдает сотовый оператор. У операторов никогда не хватало адресов, чтобы дать каждому телефону свой, поэтому они используют CGNAT (NAT операторского класса) и упаковывают тысячи телефонов за одним выходом. Для сайта мобильный адрес означает «много настоящих людей за одним номером», так что блокировать его целиком рискованно, и сайты опираются на другие сигналы.

ASN и провайдер — не одно и то же

ASN — это номер автономной системы, понятие уровня маршрутизации. Интернет — федерация десятков тысяч «автономных систем», каждая из которых объявляет миру: «вот эти диапазоны адресов — мои». AS4134 — магистраль China Telecom, AS4837 — China Unicom, AS16509 — Amazon. Поиск по ASN отвечает на вопрос «кто отвечает за этот диапазон в таблице маршрутизации», и данные эти публичны — любой может взять их из BGP-фидов.

Поле ISP или org берется из WHOIS и региональных интернет-регистратур (RIR, например APNIC и ARIN). Оно фиксирует, на кого зарегистрирован диапазон. Обычно оба источника согласны, но не всегда: небольшая компания может арендовать блок у крупного оператора и анонсировать его под собственным ASN, или наоборот.

Задача базы GeoIP — свернуть ASN, регистрационные данные и разнообразные косвенные улики (измерения задержки, сообщенные пользователями местоположения, позиционирование по Wi-Fi) в догадку о том, в каком городе находится адрес. На уровне страны догадки довольно надежны. На уровне города это подбрасывание монеты. Город в карточке IP на этом сайте регулярно промахивается на несколько сотен километров; это не ошибка, а природа данных.

Как навешиваются флаги proxy и hosting

Самая непонятая часть. Нет никакого центрального органа, который штампует адреса как «прокси». Флаги — это оценки, которые каждый поставщик данных делает независимо, опираясь на источники вроде этих:

• Классификация по типу ASN. Если диапазон принадлежит облачному провайдеру — пометить как hosting. Грубо, но стабильно.
• Активное сканирование. Поставщики подписываются на кучу VPN-сервисов, перебирают все узлы выхода и записывают, что видят.
• Публичные списки. Узлы выхода Tor публикуются; открытые прокси собираются в списки; и то и другое попадает прямиком в базу.
• Поведенческая статистика. Адрес, который за короткое время всплывает в слишком многих разных аккаунтах и странах, считается общим выходом.
• Жалобы пользователей и ловушки. Спам-ловушки и формы регистрации, подвергшиеся злоупотреблениям, тоже отправляют данные обратно в базу.

Каждый из этих источников вероятностный. Адреса переиспользуются, операторы VPN меняют машины, результаты сканирования устаревают. Поэтому один и тот же IP может быть «прокси» в одной базе и чистым в другой, а обычное домашнее подключение может годами носить флаг, потому что кто-то однажды запустил на нем прокси. Ложные срабатывания — встроенная цена системы, а не исключение.

Черные списки — отдельный механизм. RBL вроде Spamhaus обслуживают почтовые системы; они отвечают на вопрос «рассылал ли этот адрес спам или хостил ли ботнет». Их влияние на веб-логины зависит от сайта, и многие сайты их вообще не проверяют. Строка «черные списки» на этом сайте опрашивает Spamhaus ZEN по DNS (ключ не нужен) и AbuseIPDB, если настроен API-ключ, и перечисляет зоны, в которых адрес найден: SBL, XBL или PBL. Попадание только в PBL — это политика, а не запись о злоупотреблении: список помечает диапазоны, которым не положено слать почту напрямую, а под это подпадает почти весь домашний интернет. Прочерк «—» в строке появляется только тогда, когда ни один из провайдеров не ответил, и он ничего не говорит о вас ни в ту, ни в другую сторону.

Почему выход VPN почти всегда — IP дата-центра

Поставьте себя на место оператора. Ему нужны зарубежные машины с широкими каналами, предсказуемой ценой и местом для сотен пользователей, а взять такое можно только в дата-центре. Никто не снимает дом в Лос-Анджелесе и не тянет к нему оптику, чтобы у вас там был узел. Те, кто держит собственный сервер, в той же лодке: VPS — это облачный сервер, и его адрес по определению hosting.

Отсюда и категория продуктов под названием «резидентные прокси», чей главный аргумент — выход через настоящий домашний интернет. К их источникам стоит относиться скептически. Большинство сетей резидентных прокси построены на перепродаже полосы обычных людей: иногда через SDK, встроенный в бесплатное ПО, иногда через приложения, которые платят копейки за «раздачу простаивающего канала». Ваш трафик выходит через роутер незнакомца, а его — может выходить через ваш. Пользоваться ли этим — личное решение, но полезно знать, что под капотом.

Что это значит, если вы обходите блокировки

Реалистично: ваш внешний IP будет помечен как hosting, этого почти не избежать, и это не значит, что вы сделали что-то не так. Важно, как каждый сайт реагирует на флаг:

• Больше капч при входе и регистрации; некоторые сервисы вовсе отказываются отправлять SMS-коды.
• Стриминговые сервисы соблюдают лицензионные регионы и считают IP дата-центра «не местным зрителем».
• Системы оценки риска в платежах и электронной коммерции добавляют hosting-адреса в оценку риска.
• Один выход на десятки или сотни человек означает, что чужие злоупотребления ложатся на вас. Это последнее случается часто: когда узел внезапно начинает получать капчи повсюду, его обычно «спалил» сосед.

Средства ограниченные, но реальные. Меняйте узлы, предпочитая линии, которые провайдер помечает как «нативный IP» или резидентные. Не делайте чувствительных вещей — банкинг, основной аккаунт — через общий выход. И если конкретный узел раз за разом отвергается конкретным сайтом, перестаньте с ним бороться на этом сайте.

Вопросы и ответы

Сайт говорит, что мой IP — прокси, но я ничего такого не запускаю. Возможно, ваш оператор использует CGNAT, или диапазон до вас использовался кем-то как прокси. Флаг приходит из источника данных GeoIP; мы лишь передаем его и изменить не можем.

Город указан неверно. Можно исправить? Нет — этот сайт не ведет собственную базу геолокации. Страны обычно определяются верно; ошибка на уровне города — норма для всей отрасли и не влияет на остальные проверки.

Флаг mobile — это хорошо или плохо? Для большинства сайтов он нейтрален или слегка положителен: за мобильными диапазонами скрывается много настоящих людей, и их редко блокируют целиком. Но mobile и proxy одновременно все равно выглядят подозрительно.

Исчезнет ли флаг, если сменить узел? Если новый узел стоит у того же облачного провайдера, флаг hosting в основном останется. Что может измениться — флаг proxy и статус в черных списках, потому что они привязаны к конкретным адресам.