Trợ giúp:Cấm dải IP
 |
Lưu ý: Khi bạn sửa đổi trang này, bạn đồng ý phát hành đóng góp của bạn theo giấy phép CC0. Xem trang trợ giúp cộng đồng để biết thêm. | |
- Xem Help:Range blocks/IPv6 để biết cách cấm dải IPv6.
Cấm dải IP là phương thức hạn chế được áp dụng thông qua hình thức Special:Block một nhóm địa chỉ IP để ngăn cản họ sửa đổi, tạo tài khoản mới, gửi thư điện tử qua giao diện wiki, v.v. Khi bạn đánh dấu lựa chọn "Áp dụng tác vụ cấm cho các thành viên đăng nhập từ địa chỉ IP này", người dùng đăng nhập từ các thiết bị có địa chỉ IP thuộc dãy chỉ định cũng không thể thực hiện các sửa đổi.
Để cấm một dải IP từ Special:Block, nhập địa chỉ IP đầu tiên của dải, kế đến là dấu gạch chéo (/) và cuối cùng là một hậu tố Classless inter-domain routing (CIDR). Cẩn thận: Chỉ nên thực hiện cấm dải IP khi bạn thực sự hiểu rõ bạn sắp sửa làm gì, bởi hành động của bạn có thể khiến hàng chục ngàn hay thậm chí hàng triệu người vô can bị cấm sửa đổi!
Bài viết này chủ yếu nói về cấm dải IPv4; cấm dải IPv6 cũng được thực hiện tương tự, nhưng cũng có chút khác biệt - xem /IPv6.
Giải thích phi kỹ thuật
Địa chỉ IP được chia nhỏ thành từng cụm số.
Ví dụ là từ 148.20.57.0 đến 148.20.57.255.
Khi phần cuối của địa chỉ này đạt đến 255, địa chỉ kế tiếp sẽ là 148.20.58.0.
Địa chỉ IP cũng có thể chia nhỏ thành những cụm lớn hơn hoặc nhỏ hơn. Thông thường, cụm nhỏ nhất là những cụm 4 số. Ví dụ:
148.20.57.0 - 148.20.57.3,148.20.57.4 - 148.20.57.7,148.20.57.8 - 148.20.57.11, ...
Với mỗi cụm 4 số, chỉ có 2 số có thể được chỉ định làm địa chỉ IP cho máy tính. Số đầu và số cuối được dành riêng cho giao tiếp mạng. Đây là các cụm cấp 30, được biểu diễn như sau:
148.20.57.0/30,148.20.57.4/30,148.20.57.8/30, ...
Cụm lớn nhất kế tiếp là cụm 8 số. Ví dụ:
148.20.57.0 - 148.20.57.7,148.20.57.8 - 148.20.57.15,148.20.57.16 - 148.20.57.23, ...
Đối với cụm 8 số này, chỉ có 6 số được dùng cho làm địa chỉ IP máy tính, số đầu và số cuối của cụm được dành riêng cho giao tiếp mạng. Các cụm này được biểu diễn như sau:
148.20.57.0/29,148.20.57.8/29,148.20.57.16/29, ...
Tiếp tục, số lượng địa chỉ IP trong mỗi cụm tăng dần theo lũy thừa cơ số 2: 16, 32, 64, 128, 256, vân vân.
- Cụm địa chỉ 16 số bắt đầu bằng
148.20.57.0/28. - Cụm địa chỉ 32 số bắt đầu bằng
148.20.57.0/27. - Cụm địa chỉ 64 số bắt đầu bằng
148.20.57.0/26. - Cụm địa chỉ 128 số bắt đầu bằng
148.20.57.0/25. - Cụm địa chỉ 256 số bắt đầu bằng
148.20.57.0/24.
Giả thử, nếu bạn có một địa chỉ IP và bạn muốn cấm dải chứa địa chỉ IP đó, bạn sẽ làm thế nào?
Giả sử bạn có vấn đề với địa chỉ 148.20.57.34.
Để biết thêm chi tiết về thiết bị có địa chỉ IP này, bạn có thể nhấn vào http://arin.net/whois/?queryinput=148.20.57.34.
Giả sử rằng công cụ này cho ta biết rằng địa chỉ IP này, cùng với RẤT NHIỀU địa chỉ khác trong một dải /17, được cấp cho Bộ Quốc phòng.
Rõ ràng là chúng ta không hề muốn cấm một dải IP lớn của Bộ Quốc phòng!
Có một luật bất thành văn là ta nên cấm càng ít càng tốt.
Chỉ cấm dải IP nếu có một cụm các địa chỉ IP gây vấn đề.
Công cụ tính sau đây rất hữu ích cho việc này:
Vào trang web này và nhập 148.20.57.34 vào các ô trống đầu tiên.
Sau đó chọn Network Prefix Length và nhập 27 (để tạo một cụm có 32 địa chỉ) và bấm vào Calculate Network Information.
Sau đó, công cụ sẽ trả lại một cụm 32 địa chỉ IP, trong đó bao gồm 148.20.57.34.
(Địa chỉ đầu (địa chỉ mạng) và địa chỉ cuối (địa chỉ broadcast) được hiển thị cùng với các địa chỉ khả dụng khác trong dải.)
Bạn có thể sử dụng công cụ này để kiểm tra các dải IP để đảm bảo phù hợp trước khi nhập thông tin để thiết lập lệnh cấm.
Chi tiết kỹ thuật
Kí hiệu CIDR được ghi dưới dạng địa chỉ IP + dấu gạch + hậu tố CIDR (ví dụ địa chỉ IPv4 "10.2.3.41/24" hoặc địa chỉ IPv6 "a3:bc00::/24").
Hậu tố CIDR là số chữ số đầu mà tất cả các địa chỉ trong dãy trùng nhau khi địa chỉ được chuyển sang hệ nhị phân.
Ví dụ: "10.10.1.32" được chuyển sang nhị phân thành "00001010.00001010.00000001.00100000", qua đó địa chỉ 10.10.1.32/27 trùng 27 số đầu ("00001010.00001010.00000001.00100000").
Các địa chỉ trong khoảng 10.10.1.32-10.10.1.63, khi được chuyển sang hệ nhị phân, sẽ đều trùng 27 chữ số đầu, và vì vậy sẽ đều bị cấm nếu 10.10.1.32/27 bị cấm.
Hậu tố CIDR càng tăng thì số địa chỉ IP bị cấm càng giảm (xem bảng liệt kê các dải IP mẫu) Hậu tố CIDR của IPv4 và IPv6 không tương đương với nhau; lệnh cấm dải IPv6 sẽ rộng hơn gấp =79,228,162,514,264,337,593,543,950,336 lần so với một lệnh cấm dải IPv4 có cùng hậu tố CIDR.
Tính hậu tố CIDR
Bạn có thể sử dụng bảng liệt kê các dải IP mẫu dưới đây để đoán cỡ dải IP cần thiết, sử dụng các công cụ tính, hoặc tính bằng tay.
Chuyển địa chỉ sang hệ nhị phân
Bước đầu tiên trong việc tính cỡ dải bằng tay là chuyển địa chỉ IP đầu và cuối sang hệ nhị phân. (Phương pháp này giả sử rằng bạn đang không dùng công cụ tính, do các công cụ này có lẽ đã có thể tính được ngay cỡ dải cho bạn luôn rồi.) Một địa chỉ IP bao gồm bốn cụm, mỗi cụm có tám chữ số 1 hoặc 0. Mỗi cụm đại diện cho một con số từ 0 đến 255. Để chuyển số sang hệ nhị phân, bạn có thể dụng bảng tham khảo sau hoặc ghi nhớ giá trị của mỗi chữ số trong hệ nhị phân:
| Chữ số nhị phân: | 1 1 1 1 1 1 1 1
|
| Giá trị: | 128 64 32 16 8 4 2 1
|
Từ trái sang phải, điền 1 nếu số lớn hơn hoặc bằng giá trị tương ứng, và trừ giá trị đó khỏi số (nếu không, điền 0 và không trừ).
Ví dụ, để chuyển đổi số 240:
- 240 lớn hơn hoặc bằng 128, vậy nên ta điền
1và trừ 128. - 112 (240-128) lớn hơn hoặc bằng 64, vậy nên ta điền
1và trừ 64. - 48 (112-64) lớn hơn hoặc bằng 32, vậy nên ta điền
1và trừ 32. - 16 (48-32) lớn hơn hoặc bằng 16, vậy nên ta điền
1và trừ 16. - Ta còn lại giá trị 0, do đó các chữ số còn lại là
0.
Từ đó, ta có 1111 0000 là biểu diễn hệ nhị phân của 240, vì 240 có thể được biểu diễn bằng tổng 128+64+32+16+0+0+0+0.
Tính cỡ dải
- Xếp chồng hai địa chỉ IP lên nhau, và đếm xem từ trái sang phải có bao nhiêu chữ số trùng nhau, đến khi gặp phải một chữ số không trùng. Số chữ số đầu trùng nhau là hậu tố CIDR.
- Kiểm tra lại một lần nữa! Bạn có thể khiến lệnh cấm ảnh hưởng đến thêm hàng nghìn địa chỉ nữa nếu sai chỉ một đơn vị.
Ví dụ dưới đây tính cỡ dải CIDR giữa hai địa chỉ 69.208.0.0 và 69.208.0.255.
Lưu ý rằng đây chỉ là một ví dụ đơn giản; có một số nhóm địa chỉ IP không xếp được vào cùng một hậu tố CIDR, và vì vậy để cấm được toàn bộ dải, bạn sẽ cần phải kết hợp nhiều cụm IP có kích cỡ khác nhau.
- Địa chỉ IP:
69.208.0.069.208.0.255
- Chuyển sang hệ nhị phân:
0100 0101.1101 0000.0000 0000.0000 00000100 0101.1101 0000.0000 0000.1111 1111
- Đếm số chữ số đầu trùng nhau:
0100 0101.1101 0000.0000 0000.0000 00000100 0101.1101 0000.0000 0000.1111 1111|____________________________|24 chữ số
- Dải CIDR:
69.208.0.0/24
Bảng dải IP
Chú giải
| Không bao giờ có tổ chức nào được cấp dải IP rộng đến mức này |
| Cỡ dải được cấp cho các tổ chức rất lớn/ISP |
| Cỡ dải được cấp/cho thuê/bán cho các tổ chức (lớn) |
| Cỡ dải được cho thuê/bán cho người dùng cuối |
| Địa chỉ đơn lẻ |
Bảng liệt kê các dải IP mẫu Bảng dưới đây liệt kê cụm địa chỉ IPv4 được bao trùm bởi các hậu tố CIDR khác nhau. Lưu ý rằng MediaWiki mặc định chỉ cho phép cấm các dải CIDR từ 16 - 32 đối với IPv4, và từ 19 (trước đây là 64) - 128 đối với IPv6 (tùy theo $wgBlockCIDRLimit). Vui lòng xem /IPv6 để xem bảng liệt kê tương tự cho địa chỉ IPv6.
| CIDR | Địa chỉ đầu | Địa chỉ cuối | Tổng số địa chỉ | Tổng số mạng con /24 | Các bit được chọn trong địa chỉ IP |
|---|---|---|---|---|---|
| 69.208.0.0/0 | 0.0.0.0 | 255.255.255.255 | 4.294.967.296 | 16.777.216 | ********.********.********.******** |
| 69.208.0.0/1 | 0.0.0.0 | 127.255.255.255 | 2.147.483.648 | 8.388.608 | 0*******.********.********.******** |
| 69.208.0.0/2 | 64.0.0.0 | 127.255.255.255 | 1.073.741.822 | 4.194.304 | 01******.********.********.******** |
| 69.208.0.0/3 | 64.0.0.0 | 95.255.255.255 | 536.870.912 | 2.097.152 | 010*****.********.********.******** |
| 69.208.0.0/4 | 64.0.0.0 | 79.255.255.255 | 268.435.456 | 1.048.576 | 0100****.********.********.******** |
| 69.208.0.0/5 | 64.0.0.0 | 71.255.255.255 | 134.217.728 | 524.288 | 01000***.********.********.******** |
| 69.208.0.0/6 | 68.0.0.0 | 71.255.255.255 | 67.108.864 | 262.144 | 010000**.********.********.******** |
| 69.208.0.0/7 | 68.0.0.0 | 69.255.255.255 | 33.554.432 | 131.072 | 0100000*.********.********.******** |
| 69.208.0.0/8 | 69.0.0.0 | 69.255.255.255 | 16.777.216 | 65.536 | 01000101.********.********.******** |
| 69.208.0.0/9 | 69.128.0.0 | 69.255.255.255 | 8.388.606 | 32.768 | 01000101.1*******.********.******** |
| 69.208.0.0/10 | 69.192.0.0 | 69.255.255.255 | 4.194.302 | 16.384 | 01000101.11******.********.******** |
| 69.208.0.0/11 | 69.192.0.0 | 69.223.255.255 | 2.097.152 | 8.192 | 01000101.110*****.********.******** |
| 69.208.0.0/12 | 69.208.0.0 | 69.223.255.255 | 1.048.576 | 4.096 | 01000101.1101****.********.******** |
| 69.208.0.0/13 | 69.208.0.0 | 69.215.255.255 | 524.288 | 2.048 | 01000101.11010***.********.******** |
| 69.208.0.0/14 | 69.208.0.0 | 69.211.255.255 | 262.144 | 1.024 | 01000101.110100**.********.******** |
| 69.208.0.0/15 | 69.208.0.0 | 69.209.255.255 | 131.072 | 512 | 01000101.1101000*.********.******** |
| 69.208.0.0/16 | 69.208.0.0 | 69.208.255.255 | 65.536 | 256 | 01000101.11010000.********.******** |
| 69.208.0.0/17 | 69.208.0.0 | 69.208.127.255 | 32.768 | 128 | 01000101.11010000.0*******.******** |
| 69.208.0.0/18 | 69.208.0.0 | 69.208.63.255 | 16.384 | 64 | 01000101.11010000.00******.******** |
| 69.208.0.0/19 | 69.208.0.0 | 69.208.31.255 | 8.192 | 32 | 01000101.11010000.000*****.******** |
| 69.208.0.0/20 | 69.208.0.0 | 69.208.15.255 | 4.096 | 16 | 01000101.11010000.0000****.******** |
| 69.208.0.0/21 | 69.208.0.0 | 69.208.7.255 | 2.048 | 8 | 01000101.11010000.00000***.******** |
| 69.208.0.0/22 | 69.208.0.0 | 69.208.3.255 | 1.024 | 4 | 01000101.11010000.000000**.******** |
| 69.208.0.0/23 | 69.208.0.0 | 69.208.1.255 | 512 | 2 | 01000101.11010000.0000000*.******** |
| 69.208.0.0/24 | 69.208.0.0 | 69.208.0.255 | 256 | 1 | 01000101.11010000.00000000.******** |
| 69.208.0.0/25 | 69.208.0.0 | 69.208.0.127 | 128 | 01000101.11010000.00000000.0******* | |
| 69.208.0.0/26 | 69.208.0.0 | 69.208.0.63 | 64 | 01000101.11010000.00000000.00****** | |
| 69.208.0.0/27 | 69.208.0.0 | 69.208.0.31 | 32 | 01000101.11010000.00000000.000***** | |
| 69.208.0.0/28 | 69.208.0.0 | 69.208.0.15 | 16 | 01000101.11010000.00000000.0000**** | |
| 69.208.0.0/29 | 69.208.0.0 | 69.208.0.7 | 8 | 01000101.11010000.00000000.00000*** | |
| 69.208.0.0/30 | 69.208.0.0 | 69.208.0.3 | 4 | 01000101.11010000.00000000.000000** | |
| 69.208.0.0/31 | 69.208.0.0 | 69.208.0.1 | 2 | 01000101.11010000.00000000.0000000* | |
| 69.208.0.0/32 | 69.208.0.0 | 69.208.0.0 | 1 | 01000101.11010000.00000000.00000000 |
Giới hạn mặc định
Thiết lập mặc định của MediaWiki không cho phép cấm dải IPv4 vượt quá /16 (65,536 địa chỉ). Để cấm các dải lớn hơn, cần phải cài đặt tùy chọn $wgBlockCIDRLimit tương ứng trong LocalSettings.php.
Các vấn đề đã được phát hiện
Một vấn đề quan trọng đã được phát hiện trong việc cấm dải IP là các lệnh cấm này cũng ảnh hưởng đến một số nhóm người dùng được tin cậy, bao gồm bảo quản viên tại wiki, các người dùng không cần được các người dùng khác tuần tra, và bot được tin cậy. Chi tiết: phabricator:T309328
Tham khảo
Liên kết ngoài
- Máy tính mặt nạ mạng, giúp đưa ra quyết định đúng khi cấm dải IP.
- Máy tính mạng con, giúp tính độ dài tiền tố và mặt nạ mạng con cho IPv4 và IPv6.
- ftools cho biết dải IP nên sử dụng khi cấm dải.
- Máy tính IPv4 và CIDR cho biết thông tin về các Host và dải IP cho một mặt nạ mạng/CIDR bất kì và ngược lại.