Proxy-Authentifizierung: Benutzername und Passwort oder IP-Whitelist?

Bei der Proxy-Authentifizierung prüft der Proxy-Server, wer die Verbindung aufbaut, und weist Unbefugte ab. Dafür gibt es zwei Verfahren: Bei Benutzername und Passwort sendet der Client seine Zugangsdaten mit jeder Verbindung. Bei der IP-Whitelist (IP-Freigabeliste) schaut der Proxy auf die öffentliche IP-Adresse, von der die Verbindung kommt, und lässt Verbindungen von eingetragenen Adressen ohne Passwort zu.

Wenn sich Ihre IP-Adresse häufig ändert oder Sie den Proxy auf mehreren Geräten nutzen, wählen Sie Benutzername und Passwort. Läuft Ihr Code auf einem Server mit fester IP oder bietet Ihr Programm kein Passwortfeld, ist die IP-Whitelist praktischer. In den Beispielen wird die WeProxy-Gateway-Adresse gw.weproxy.com.tr:8989 verwendet; USER und PASSWORD sind Ihre Zugangsdaten aus dem Kundenpanel.

Was ist Proxy-Authentifizierung und wie funktioniert sie?

Ein Proxy muss wissen, wessen Datenverkehr er weiterleitet. Ein offener Proxy würde den Traffic jedes Beliebigen über Ihr Paket schicken. Deshalb findet die Prüfung ganz am Anfang der Verbindung statt und ist abgeschlossen, bevor auch nur eine Anfrage die Zielseite erreicht.

Beim HTTP-Proxy ist der Ablauf in RFC 9110 festgelegt. Verbindet sich der Client ohne Zugangsdaten, antwortet der Proxy mit 407 Proxy Authentication Required und dem Header Proxy-Authenticate. Der Client wiederholt die Anfrage dann mit dem Header Proxy-Authorization: Basic .... Beim Basic-Verfahren wird benutzer:passwort nur mit Base64 kodiert, nicht verschlüsselt (RFC 7617).

Bei SOCKS5 listet der Client zuerst die Methoden auf, die er unterstützt (RFC 1928). 0x00 steht für eine Verbindung ohne Authentifizierung, 0x02 für Benutzername und Passwort. Wählt der Proxy 0x02, gehen Benutzername und Passwort über die Unterverhandlung nach RFC 1929 im Klartext an den Server. Bei einer Verbindung über die IP-Whitelist akzeptiert der Proxy 0x00, weil er seine Entscheidung bereits anhand der Quell-IP getroffen hat.

Die IP-Whitelist ist vom Protokoll unabhängig. Der Proxy vergleicht die Adresse, von der die TCP-Verbindung kommt, mit der im Panel hinterlegten Liste. Steht die Adresse darauf, wird die Verbindung angenommen. Andernfalls sehen Sie bei HTTP ein 407, bei SOCKS5 eine abgelehnte Methode (0xFF) oder eine geschlossene Verbindung.

Wie nutzt man einen Proxy mit Benutzername und Passwort?

Die Zugangsdaten werden entweder in die Proxy-Adresse geschrieben oder in eigene Felder des Programms eingetragen. In cURL funktionieren beide Schreibweisen:

curl -x "http://USER:[email protected]:8989" https://api.ipify.org
curl -x "http://gw.weproxy.com.tr:8989" -U "USER:PASSWORD" https://api.ipify.org

Der größte Vorteil dieses Verfahrens ist die Portabilität. Dieselbe Zeile funktioniert im Heimnetz, im Mobilfunknetz, auf einem Cloud-Server und auf dem Rechner einer Kollegin. Ändert sich Ihre ausgehende IP, müssen Sie nichts tun. Da es keine Rolle spielt, von welchem Gerät Sie sich verbinden, lässt sich der Zugang auch im Team leicht verteilen.

Der Nachteil ist, dass das Passwort überall mitgeschrieben steht. Die Proxy-Zeile landet in Skripten, Umgebungsvariablen, Antidetect-Profilen und manchmal in Logs. Ein geteilter Screenshot oder eine Konfigurationsdatei in einem öffentlichen Repository gibt Ihr Paket für Fremde frei. Lesen Sie das Passwort im Code aus einer Umgebungsvariablen und entfernen Sie es aus der URL, bevor Sie Logs weitergeben.

Außerdem akzeptieren manche Programme gar keine Zugangsdaten. Das Chrome-Flag --proxy-server liest den Teil user:pass@ nicht, und Chrome unterstützt keine SOCKS5-Proxys mit Benutzername und Passwort. Die System-Proxy-Einstellungen von Windows und Android bieten nur Felder für Host und Port. Für passwortgeschützte Proxys im Browser können Sie die offizielle Erweiterung verwenden; die Einrichtung steht auf der Seite Chrome-Integration. Enthält das Passwort Zeichen wie @ oder :, müssen diese im URL-Format prozentkodiert werden; die Schreibregeln finden Sie im Leitfaden zu Proxy-Formaten.

Was ist eine IP-Whitelist und wie funktioniert sie?

Bei der IP-Whitelist hinterlegen Sie statt eines Passworts Ihre eigene öffentliche IP-Adresse im Kundenpanel. Der Proxy nimmt Verbindungen von dieser Adresse ohne Passwort an. Die Proxy-Zeile verkürzt sich auf host:port:

curl -x "http://gw.weproxy.com.tr:8989" https://api.ipify.org

Die Adresse, die Sie eintragen, darf nicht die lokale Adresse Ihres Rechners sein (192.168.x.x, 10.x.x.x). Der Proxy sieht nur die öffentliche Adresse, mit der Sie ins Internet gehen. Diese ermitteln Sie auf dem Gerät, das den Proxy nutzen soll, bei ausgeschaltetem Proxy mit dem Tool My IP oder über die Kommandozeile:

curl https://api.ipify.org     # Ihre öffentliche IPv4-Adresse
curl https://api64.ipify.org   # Ihre IPv6-Adresse, falls vorhanden

Verbindet sich Ihr Server über IPv6 mit dem Gateway, muss die IPv6-Adresse auf der Liste stehen; haben Sie nur die IPv4-Adresse eingetragen, wird die Verbindung abgelehnt. In Cloud-Umgebungen unterscheiden sich die interne Adresse der Maschine, auf der der Code läuft, und die NAT-Adresse, über die sie ins Internet geht. Tragen Sie immer die ausgehende Adresse (Egress) ein.

Dieses Verfahren kommt ganz ohne Zugangsdaten aus. Es gibt kein Passwort, das durchsickern könnte, und auch Programme ohne Passwortfeld können den Proxy nutzen. Allerdings muss die Adresse fest sein. Startet zu Hause der Router neu, wechselt im Mobilfunknetz die Funkzelle oder wechselt der VPN-Server, ändert sich die öffentliche IP, und die Verbindung wird abgelehnt.

Manche Internetanbieter und Mobilfunkbetreiber teilen dieselbe öffentliche IP per CGNAT unter vielen Kunden auf. Tragen Sie eine solche geteilte Adresse in die Whitelist ein, kann sich jeder hinter dieser Adresse ohne Passwort mit Ihrem Paket verbinden. Nutzen Sie die Whitelist nur mit festen Adressen, die Ihnen allein gehören.

Benutzername/Passwort und IP-Whitelist im Vergleich

Einen Geschwindigkeitsunterschied verursacht die Authentifizierung bei neuen Verbindungen. SOCKS5 mit Benutzername und Passwort braucht bei jeder neuen Verbindung einen zusätzlichen Round-Trip; bei der IP-Whitelist entfällt dieser Schritt. Bei offen gehaltenen Verbindungen merken Sie keinen Unterschied. Die übrigen Unterschiede zwischen den Protokollen erklärt der Artikel HTTP vs. SOCKS5.

Welches Verfahren passt zu welchem Fall?

Manche Teams kombinieren beide Verfahren. Jobs auf dem Server verbinden sich über die Whitelist, Tests auf dem Laptop mit Benutzername und Passwort. Bietet Ihr Produkt beide Verfahren an, bleibt das Passwort so aus den Dateien auf dem Server heraus. Codebeispiele für beide Verfahren in Python finden Sie im Artikel Proxy in Python nutzen, die Einrichtung von Puppeteer auf der Seite Puppeteer-Integration.

Welches Verfahren nutzen die WeProxy-Produkte?

Welches Verfahren aktiv ist, hängt vom Produkt ab. Laut den Produktseiten sieht es so aus:

Für die übrigen Produkte stehen Verfahren und unterstützte Protokolle in den technischen Daten und im FAQ-Bereich der jeweiligen Produktseite. Allgemeine Fragen sind auf der Seite FAQ gesammelt. Zugangsdaten und Whitelist verwalten Sie im Kundenpanel. Tragen Sie in die Whitelist nur IP-Adressen ein, die Ihnen gehören oder die Sie nutzen dürfen.

IP-Whitelist der Zielseite: wenn Sie eine feste ausgehende IP brauchen

Das Wort Whitelist taucht manchmal in der umgekehrten Richtung auf. Die API eines Geschäftspartners, ein Admin-Panel oder ein Zahlungsdienst antwortet unter Umständen nur auf Anfragen von registrierten IPs. In diesem Fall tragen Sie dort die ausgehende IP ein, die Ihnen der Proxy zuweist; wie Sie sich selbst mit dem Proxy verbinden, spielt dabei keine Rolle.

Dafür brauchen Sie ein Produkt, dessen ausgehende Adresse sich nicht ändert. Beim Rotating Proxy wechselt die IP von Anfrage zu Anfrage oder nach Ablauf der Sitzungsdauer; die Liste der Gegenseite ist beim ersten Wechsel hinfällig. Ein Static-Datacenter-IPv4-Proxy gibt Ihnen eine feste, Ihnen zugewiesene IP, die während der gesamten Paketlaufzeit gleich bleibt. Sie verbinden sich mit Benutzername und Passwort mit dem Proxy, der Zieldienst erkennt die feste ausgehende IP. Den Unterschied zwischen statischen und wechselnden IP-Modellen erklärt der Leitfaden zu Sticky und Rotating Proxys, die Wahl zwischen Datacenter- und ISP-Proxy der Artikel ISP-Proxy vs. Datacenter-Proxy.

Wie behebt man den Fehler 407 und Whitelist-Probleme?

Die meisten Authentifizierungsprobleme zeigen sich als 407 Proxy Authentication Required. Bei SOCKS5 äußert sich dasselbe Problem meist darin, dass die Verbindung sofort geschlossen wird.

Ob eine Zeile an sich korrekt ist, sehen Sie unabhängig vom Programm, wenn Sie sie in den Proxy Checker einfügen. Funktioniert die Zeile im Checker, aber nicht in Ihrem Programm, liegt das Problem in dessen Proxy-Einstellungen. Aus welcher Schicht 407 sowie 403, 429 und 502 stammen, erklärt der Leitfaden zu Proxy-Fehlercodes. Wie Sie die Reihenfolge festlegen, wenn Sie VPN und Proxy zusammen nutzen, steht im Artikel Proxy oder VPN.

Checkliste für sichere Proxy-Zugangsdaten

• Schreiben Sie das Passwort nicht ins Code-Repository; lesen Sie es aus einer Umgebungsvariablen oder einem Secret-Manager.
• Entfernen Sie das Passwort aus der URL, bevor Sie Logs, Fehlerberichte oder Support-Anfragen verschicken.
• Wenn Sie vermuten, dass das Passwort durchgesickert ist, verwenden Sie es nicht weiter und fordern Sie über das Kundenpanel oder den Support neue Zugangsdaten an.
• Tragen Sie in die Whitelist nur feste Adressen ein, die Ihnen gehören; keine privaten oder mobilen IPs hinter CGNAT.
• Entfernen Sie die IPs von Servern, die Sie nicht mehr nutzen, aus der Liste. Die Adresse eines gekündigten VPS kann nach einiger Zeit an einen anderen Kunden vergeben werden.
• Beim HTTP-Proxy gehen Basic-Zugangsdaten unverschlüsselt bis zum Proxy. Bei HTTPS-Zielen bleibt der Seiteninhalt im CONNECT-Tunnel verschlüsselt; berücksichtigen Sie das trotzdem, wenn Sie Proxy-Zugangsdaten in Netzen verwenden, denen Sie nicht vertrauen.

Unabhängig vom gewählten Verfahren gelten für alles, was Sie über den Proxy tun, die Nutzungsbedingungen der Zielseite, die Datei robots.txt sowie die Pflichten aus der DSGVO (GDPR) und lokalen Datenschutzgesetzen wie dem türkischen KVKK. Welche Nutzung bei WeProxy-Diensten erlaubt ist, steht auf der Seite Acceptable Use.