Блокировка IP-адресов — настройка сети на отклонение запросов, отправленных с определенных IP-адресов. IP-адреса блокируются по разным причинам, в том числе для соблюдения стандартов поведения в Интернете (например, школа ограничивает доступ своих учеников к определенным веб-сайтам), защиты сетей от атак и цензуры доступа к информации.
Все устройства, подключенные к Интернету, имеют уникальные IP-адреса. Сети могут регистрировать IP-адреса любых устройств, с которых запрашиваются данные, что позволяет определить, взаимодействовали ли они ранее, и если да, то когда. Эта возможность используется как часть брандмауэра (системы безопасности) сети для отказа в доступе к адресам, которые либо отмечены как нежелательные, либо демонстрируют нежелательные закономерности. Например, брандмауэр может заметить, что пользователь IP-адреса постоянно не вводит правильную информацию для входа в сеть, что является признаком попытки взлома грубой силой, и временно запретить этому адресу дополнительные возможности для доступа.
Дополнительный уровень сетевой безопасности операционным системам типа UNIX обеспечивают обертки протокола управления передачей (TCP). TCP-обертки — это программы, которые проверяют входящий трафик на соответствие спискам доступа к хостам или контроля доступа. Первый список находится в файле с именем /etc/hosts.allow и включает все IP-адреса или хост-сервера, к которым разрешен доступ, а второй, /etc/hosts.deny, представляет собой черный список. Сетевые службы, которые защищают себя с помощью TCP-оберток, называются «обернутыми». Преимущество TCP-оберток в том, что они могут защитить свои системы от «спуфинга» (фальсификации), проверяя имена и адреса новых посетителей с помощью прямого и обратного поиска DNS. Однако TCP-обертки не обеспечивают шифрования данных или криптографической аутентификации, и большинство экспертов по кибербезопасности считают, что их следует использовать в дополнение к брандмауэрам, а не вместо них.
Другим распространенным критерием запрета IP-адресов является географическое происхождение проверяемого адреса. Брандмауэры могут узнать эту информацию с помощью геолокации в Интернете, когда инструмент поиска просматривает публичные базы данных, чтобы выяснить, где зарегистрированы IP-адреса. Блокирование IP-адресов на основе местонахождения их владельцев имеет законное применение — например, службы потоковой передачи мультимедиа, такие как Netflix, используют геолокацию для предотвращения доступа клиентов в одном регионе к контенту, который легально доступен только в другом, — но такая практика может быть и несправедливо дискриминационной.
Точная блокировка IP-адресов имеет свои сложности. Например, устройствам гостей в отелях динамически присваиваются IP-адреса, которые затем используются повторно. Прокси-серверы, виртуальные частные сети, браузеры, защищающие от обнаружения, и луковый маршрутизатор (Tor) — все они маскируют IP-адреса своих пользователей. Многие злоумышленники используют вредоносное ПО для управления другими компьютерами и использования их IP-адресов без ведома владельцев. Пользователи также имеют полное право получить новый IP-адрес у своих интернет-провайдеров в процессе продления аренды по протоколу DHCP. Иногда для обхода запрета достаточно просто перезагрузить маршрутизатор или модем, так как в этом случае сеть присвоит устройству новый адрес.
Существуют различные решения этих проблем. Если несколько нежелательных IP-адресов используют префикс IP-адреса, сам префикс можно просто заблокировать, хотя и с риском отказа в обслуживании невинных пользователей, которые его используют. Многие VPN-сервисы владеют ограниченным числом IP-адресов, которые совместно используют их подписчики, поэтому сети могут блокировать их, запрещая IP-адреса, к которым обращаются несколько пользователей. Прокси-серверы можно использовать и в оборонительных целях. Поскольку брандмауэры обычно продаются компаниями, занимающимися кибербезопасностью, они постоянно пополняются новыми обновлениями, чтобы противостоять любым возникающим обходным путям.
Правительства многих стран также подкрепили целостность IP-запретов, сделав их обход уголовным или гражданским преступлением. Репрессивные правительства, использующие IP-запреты, чтобы лишить своих граждан доступа к внешней информации, являются очевидными примерами, но даже в США обход IP-запрета когда-то считался преступлением в соответствии с Законом о компьютерном мошенничестве и злоупотреблении.
