XFF project/vi

This page is a translated version of the page XFF project and the translation is 88% complete.

Giới thiệu

Sự cởi mở triệt để của Wikipedia nghe có vẻ quá lý tưởng đến mức khó tin — làm sao bạn có thể cho phép bất kỳ ai cũng có thể sửa đổi một trang web mà thậm chí không cần đăng nhập? Liệu trang web có bị tràn ngập bởi những người dùng nông nổi và ám ảnh, những kẻ cố gắng "vẽ bậy" khắp nơi trong nỗ lực sai lầm nhằm tỏ ra mình quan trọng? Liệu người ta có thiết lập các bot để liên tục lùi lại bài viết về phiên bản họ mong muốn, 24 giờ mỗi ngày?

Theo một cách nào đó, điều đó đúng là quá lý tưởng đến mức khó tin. Để duy trì sự cởi mở triệt để này, Wikipedia dựa vào cơ chế kiểm soát truy cập dựa trên địa chỉ IP — tức khả năng cấm các cá nhân sửa đổi bằng cách cấm địa chỉ IP của họ, cùng với sự khó khăn để một cá nhân có thể lấy thêm các địa chỉ IP mới.

Có những mối đe dọa đối với mô hình này. Ví dụ, các proxy mở cho phép những người dùng am hiểu kỹ thuật có thể sửa đổi từ một nguồn gồm hàng nghìn địa chỉ IP. Những kẻ tấn công có trình độ cao hơn thậm chí có thể xâm nhập vào các máy tính từ xa và sử dụng chúng làm "zombie" để tấn công Wikipedia. Tuy nhiên, trong cả hai trường hợp, chúng ta đều có thể cấm các proxy và zombie này ngay khi chúng xuất hiện mà gây ra rất ít bất tiện cho những người dùng khác. Do đó, kẻ tấn công buộc phải liên tục tìm kiếm các máy chủ mới để chiếm quyền điều khiển, và đó là cách tốt nhất mà chúng ta có để làm chậm cuộc tấn công của họ.

Một mối đe dọa nghiêm trọng hơn là việc các nhà cung cấp dịch vụ Internet sử dụng proxy HTTP. Các proxy được cấu hình kém có thể khiến việc cấm một người dùng mà không cấm nhầm hàng nghìn người khác trở nên không thể — chúng che giấu danh tính của kẻ tấn công bằng cách trộn lẫn lưu lượng truy cập của kẻ đó với lưu lượng của những khách hàng khác trong cùng một ISP. Đây chính là lúc dự án XFF phát huy tác dụng.

Header X-Forwarded-For (XFF) là một chuẩn de facto được hầu hết các phần mềm proxy HTTP hỗ trợ. Nó bổ sung địa chỉ IP của máy khách vào một header HTTP vốn được truyền tiếp tới máy chủ. Nhờ đó, máy chủ có thể xác định được IP của máy khách. Vì header này có thể bị giả mạo, Wikipedia và các trang web Wikimedia khác sẽ chỉ chấp nhận các header XFF đến từ những nguồn được xác nhận là đáng tin cậy. Các mục tiêu của dự án XFF bao gồm:

Tạo danh mục các địa chỉ proxy của nhà cung cấp dịch vụ Internet (ISP) và trạng thái XFF của chúng
Khuyến khích các nhà cung cấp dịch vụ Internet (ISP) cấu hình máy chủ proxy của họ để cung cấp tiêu đề XFF

Cấu hình

Cách cấu hình proxy để gửi tiêu đề XFF:

Microsoft ISA Server 2004/2006

Cài đặt bộ lọc web Winfrasoft X-Forwarded-For for ISA Server. ISA Server không hỗ trợ sẵn XFF.
Đối với proxy chuyển tiếp, hãy tạo một quy tắc chuỗi web (nếu chưa có) để định tuyến lưu lượng truy cập đến một máy chủ proxy tuyến trên. Đối với proxy ngược, không cần làm gì thêm.

Tham khảo: Chi tiết về X-Forwarded-For dành cho ISA Server.

Squid

Thêm đoạn mã này vào tệp squid.conf của bạn:

forwarded_for on

Đây là mặc định, vì vậy thực ra chỉ cần xóa forwarded_for off nếu nó xuất hiện.

Tham khảo: Sổ tay cấu hình Squid.

Cisco Cache Engine

Chuyển sang chế độ cấu hình và chạy:

http append x-forwarded-for-header

Tài liệu tham khảo: Hướng dẫn sử dụng Cisco Cache Engine, Phiên bản 2.1.0, Phụ lục A

NetApp NetCache

Tại trang Cài đặt mạng (Network Settings) của giao diện quản trị trên nền web, nhấp vào "off" bên cạnh mục "Privacy" (Quyền riêng tư). Theo như được biết, tùy chọn này chỉ ảnh hưởng đến header X-Forwarded-For.

Tài liệu tham khảo: Loạt bài đánh giá bộ nhớ đệm trên ISP-Planet – NetApp NetCache C720, Tinh chỉnh bộ nhớ đệm web

Bộ tăng tốc máy khách Cacheflow

Ở chế độ cấu hình:

reveal http

http add-header x-forwarded-for

Danh sách XFF đáng tin cậy

Nếu một proxy nằm trong danh sách XFF tin cậy của chúng tôi, người dùng sửa đổi Wikipedia thông qua proxy đó sẽ hiển thị là đang sửa đổi từ địa chỉ IP máy khách của họ, chứ không phải từ địa chỉ IP của proxy. Các bảo quản viên Wikipedia sẽ có thể cấm riêng lẻ từng máy khách; toàn bộ máy chủ proxy sẽ không bao giờ bị cấm chỉ vì hành vi của một kẻ phá hoại duy nhất.

Các máy chủ proxy sẽ được thêm vào danh sách XFF tin cậy khi được chúng tôi ghi nhận nếu chúng:

Có một bản ghi DNS ngược cho thấy chúng được sử dụng chuyên dụng làm proxy ISP, và
Chủ yếu chuyển tiếp các địa chỉ IP công cộng, không phải các địa chỉ thuộc dải mạng riêng RFC 1918. Xem RFC 1918 để biết danh sách các proxy chuyển tiếp cho các địa chỉ này.

Đối với các thắc mắc về việc thêm vào và xóa khỏi danh sách, hãy tạo một tác vụ trên Phabricator với thẻ dự án MediaWiki-extensions-TrustedXFF.

Tính đến tháng 5 năm 2013, danh sách XFF tin cậy được quản lý thông qua tiện ích mở rộng MediaWiki TrustedXFF, trong một tệp có tên là "trusted-hosts.txt". Có thể xem tệp này bằng cách truy cập liên kết này. Các wiki của Wikimedia sử dụng tệp văn bản này để tạo ra một tệp PHP chứa một mảng.

Các thay đổi đối với tệp trusted-hosts.txt có thể được đề xuất thông qua Gerrit.