IP tĩnh cho API allowlist: một IPv4 cố định mà đối tác của bạn có thể tin cậy

Tại sao API và tường lửa yêu cầu IP tĩnh?

API và tường lửa yêu cầu IP tĩnh vì một địa chỉ nguồn đã biết là một lớp kiểm tra thứ hai đơn giản bên cạnh khóa hoặc mật khẩu. Nếu khóa bị lộ, một yêu cầu từ địa chỉ lạ vẫn bị từ chối.

Những nơi phổ biến sử dụng IP allowlist:

• API đối tác và nhà cung cấp: logistics, tồn kho, danh mục bán buôn và nguồn dữ liệu.
• Bảng điều khiển B2B chỉ chấp nhận đăng nhập từ các địa chỉ đã đăng ký của khách hàng.
• Tường lửa đám mây và security group mở SSH, cổng cơ sở dữ liệu hoặc bảng quản trị cho các IP đã liệt kê.
• Máy chủ staging và preview không nên công khai.
• Bảng điều khiển quản trị SaaS có tùy chọn "IP tin cậy".

Kết nối tại nhà và văn phòng thường thay đổi địa chỉ, còn cloud function hoặc CI runner dùng các dải địa chỉ dùng chung, thay đổi. Một IP đi thuê mang lại cho tất cả một đầu ra ổn định.

Hai allowlist nào có liên quan?

Hai allowlist khác nhau gặp nhau trong thiết lập này, và nhầm lẫn giữa chúng là câu hỏi hỗ trợ phổ biến nhất.

Nếu các máy của bạn có địa chỉ thay đổi, hãy bỏ qua allowlist proxy và dùng tên người dùng và mật khẩu thay thế. Tên đăng nhập và mật khẩu, hoặc danh sách IP được phép (tối đa 10 IP).

Làm cách nào để định tuyến các lệnh gọi API qua IP tĩnh?

Định tuyến các lệnh gọi API qua IP tĩnh bằng cách đặt nó làm proxy HTTP(S) hoặc SOCKS5 của ứng dụng khách gọi API. Hầu hết thư viện HTTP, curl và nhiều công cụ đọc cài đặt proxy hoặc biến môi trường HTTPS_PROXY. Trước tiên hãy xác nhận địa chỉ đầu ra bằng một dịch vụ echo công khai, sau đó gọi API của đối tác. Các địa chỉ dưới đây là ví dụ trong tài liệu; IP, cổng và thông tin đăng nhập thực tế của bạn nằm trong tài khoản.

# 1. The address the partner will see
curl -x http://USERNAME:[email protected]:8000 https://api.ipify.org

# 2. Same proxy for every tool in this shell
export HTTPS_PROXY=http://USERNAME:[email protected]:8000
curl -H "Authorization: Bearer $PARTNER_TOKEN" https://example.com/api/v1/orders

Điều gì xảy ra với danh sách cho phép khi thời gian thuê kết thúc?

Danh sách cho phép vẫn hoạt động miễn là bạn giữ nguyên IP, nên hãy gia hạn trước ngày kết thúc. Mỗi lần thuê kéo dài 30 ngày kể từ khi giao. Gia hạn từ tài khoản của bạn trước ngày kết thúc; không đảm bảo giữ nguyên IP sau khi hết hạn thuê.

Một quy trình an toàn cho truy cập qua danh sách cho phép:

1. Thuê hai IP, không phải một. Cung cấp cho đối tác cả hai địa chỉ. Nếu một cái phải thay thế, cái còn lại vẫn giữ tích hợp hoạt động.
2. Ghi lại ngày kết thúc hiển thị bên cạnh mỗi IP trong tài khoản, và gia hạn sớm vài ngày.
3. Luôn sẵn quy trình thay đổi của đối tác. Biết ai cập nhật danh sách cho phép của họ và mất bao lâu.
4. Kiểm tra sau mỗi lần gia hạn bằng lệnh gọi echo ở trên.

Nếu một IP không hoạt động hoặc không dùng được cho mục đích hợp pháp, hãy viết cho bộ phận hỗ trợ: chúng tôi sửa hoặc thay thế bằng một IP ở cùng quốc gia, tùy theo hàng có sẵn. IP thay thế là một địa chỉ mới, nên nó cần một mục danh sách cho phép mới.

Khi nào IP proxy thuê là lựa chọn sai?

IP proxy thuê là lựa chọn sai khi dịch vụ bạn muốn truy cập nằm trong danh sách chặn của chúng tôi hoặc cần địa chỉ cố định vĩnh viễn. Các trang ngân hàng, chính phủ và cổng thanh toán bị chặn trên mọi IP, nên danh sách cho phép cho API ngân hàng và thanh toán không phải là trường hợp chúng tôi hỗ trợ.

Cũng nên cân nhắc các lựa chọn khác khi:

• Bạn chạy máy chủ riêng trên cloud: một địa chỉ tĩnh từ nhà cung cấp cloud của bạn, gắn vào NAT gateway của chính bạn, giữ lưu lượng trong hạ tầng của bạn.
• Bạn cần IPv6: Chỉ IPv4. Chưa bán proxy IPv6.
• Bạn cần cùng một địa chỉ trong nhiều năm: gói thuê 30 ngày có thể gia hạn, nhưng đó không phải là địa chỉ bạn sở hữu.