Chặn địa chỉ IP và tại sao nó thường gây hại không mong muốn

Hãy tưởng tượng một tình huống: một quốc gia muốn cấm truy cập một trang web tin tức nào đó. Nhân viên quản lý mạng tìm ra địa chỉ IP của trang web đó — một chuỗi số như 203.0.113.45 — rồi lệnh cho các router (thiết bị định tuyến mạng) trên toàn quốc từ chối mọi kết nối đến địa chỉ này. Nghe có vẻ đơn giản. Nhưng vài giờ sau, hàng chục dịch vụ hoàn toàn khác nhau bỗng dưng không thể truy cập được. Một công ty khác bị mất khách hàng. Một thư viện số không còn chức năng. Một nền tảng truyền thông xã hội bị làm gián đoạn. Điều gì đã xảy ra? Câu trả lời nằm ở một thực tế hàng ngày mà hầu hết mọi người không biết: nhiều dịch vụ internet chia sẻ cùng một địa chỉ IP.

Cách chặn IP hoạt động ở mức độ cơ bản

Mỗi thiết bị kết nối internet — máy tính, điện thoại, máy chủ — đều có một địa chỉ IP, giống như một địa chỉ nhà trong hệ thống bưu điện. Khi bạn gửi dữ liệu qua internet, nó được đóng gói thành những đơn vị nhỏ gọi là gói tin (packets), và mỗi gói tin có ghi rõ địa chỉ IP của người gửi và người nhận. Router — những thiết bị định tuyến dữ liệu trên mạng — đọc thông tin này và quyết định xem có nên chuyển tiếp gói tin hay không. Chặn IP là kỹ thuật đơn giản nhất: bạn tạo một danh sách các địa chỉ IP cấm, và mỗi khi một gói tin đến từ hoặc hướng đến một địa chỉ trong danh sách, router sẽ từ chối nó. Nó giống như một nhân viên bưu điện nhìn thấy một địa chỉ nhà trên danh sách đen và từ chối gửi bất kỳ thư nào đến đó.

Tại sao các tổ chức lại sử dụng chặn IP

Chặn IP hoạt động tốt nhất khi một dịch vụ duy nhất sử dụng một địa chỉ IP duy nhất. Nếu bạn muốn cấm một máy chủ cụ thể đang thực hiện hành động độc hại — chẳng hạn, một máy chủ đang gửi spam hoặc thực hiện tấn công — bạn có thể chặn IP của nó mà không ảnh hưởng đến gì khác. Các tổ chức sử dụng phương pháp này vì nó rẻ, dễ triển khai, và không yêu cầu hiểu biết sâu về cách hoạt động của các dịch vụ. Các công ty an ninh mạng cũng dùng nó để ngăn chặn botnet hoặc các máy chủ lây nhiễm. Những nhà kiểm duyệt tập trung thường dùng nó để cấm các trang web, vì nó có thể được áp dụng toàn quốc qua cơ sở hạ tầng mạng của nhà nước.

Vấn đề: Nhiều dịch vụ chia sẻ cùng một IP

Nhưng internet hiện đại không phải như vậy. Hầu hết các dịch vụ web — từ các trang tin tức nhỏ đến các nền tảng video lớn — không sở hữu một địa chỉ IP riêng. Thay vào đó, chúng thuê không gian trên các máy chủ được chia sẻ, thường được quản lý bởi các công ty cung cấp nội dung phân tán toàn cầu như Cloudflare, AWS (Amazon Web Services), hoặc Akamai. Những công ty này có hàng chục máy chủ ở các địa điểm khác nhau trên thế giới, mỗi máy chủ có một địa chỉ IP, và mỗi máy chủ lưu trữ hàng trăm hoặc hàng nghìn trang web khác nhau. Khi bạn truy cập một trang web, máy tính của bạn không thực sự biết nó đang kết nối với cái gì — nó chỉ biết một địa chỉ IP. Máy chủ phía sau đó sẽ xem tên miền bạn yêu cầu (chẳng hạn, "example.com") và chỉ định nó đến dịch vụ chính xác.

Đây là nơi chặn IP trở nên nguy hiểm. Nếu bạn chặn một địa chỉ IP với mục đích cấm một trang web, nhưng 500 trang web khác cũng sử dụng cùng IP đó, thì bạn sẽ chặn cả 500 trang web. Giống như nếu một nhân viên bưu điện quyết định từ chối gửi bất kỳ thư nào đến một tòa nhà nhất định vì có một cư dân xấu — anh ta sẽ từ chối gửi thư cho tất cả mọi người trong tòa nhà đó, kể cả những người vô tội.

Các sự cố nổi tiếng do chặn IP gây ra

Lịch sử internet chứa đầy những ví dụ về chặn IP gây hại không mong muốn. Vào năm 2017, Thổ Nhĩ Kỳ cố gắng chặn Wikipedia bằng cách chặn các địa chỉ IP. Tuy nhiên, Wikipedia sử dụng Cloudflare, một công ty CDN lớn, nên chặn IP của Wikipedia cũng làm gián đoạn hàng ngàn dịch vụ khác. Theo các báo cáo, việc chặn này ảnh hưởng đến các ngân hàng, trang tin tức, và các dịch vụ trực tuyến khác. Một trường hợp khác: khi một số nước cố gắng chặn một ứng dụng nhất định, họ thường chặn các IP của nhà cung cấp dịch vụ lưu trữ hoặc CDN, điều này vô tình cắt off hàng trăm ứng dụng hợp pháp khác.

Nhận thức về giới hạn của kỹ thuật này

Điều quan trọng cần hiểu là chặn IP là một công cụ rất thô sơ. Nó hoạt động ở tầng mạng — tầng cơ bản nhất nơi các gói tin được định tuyến — mà không có bất kỳ hiểu biết nào về cái gì thực sự đang xảy ra trên các dịch vụ phía trên. Nó không biết sự khác biệt giữa một trang web xấu và một trang web tốt nếu chúng chia sẻ cùng một IP. Đó là lý do tại sao các tổ chức muốn thực hiện kiểm duyệt thường phải sử dụng các phương pháp phức tạp hơn, chẳng hạn như kiểm tra nội dung của từng yêu cầu hoặc chặn tên miền ở mức DNS.

Tóm lại, chặn IP là một chiến thuật kiểm duyệt sẽ tiếp tục bị lạm dụng chính xác vì tính đơn giản của nó, nhưng nó cũng là một trong những công cụ dễ bị phá vỡ nhất. Các dịch vụ CDN và máy chủ chia sẻ đã làm cho việc định tuyến địa chỉ IP trở nên quá phức tạp để chặn một cái gì đó mà không làm hỏng những cái khác. Nếu bạn muốn hiểu rõ hơn về cách hoạt động của internet, bạn nên tìm hiểu thêm về DNS (hệ thống phân giải tên miền), HTTPS (cách bảo vệ dữ liệu), và CDN — những công nghệ thực sự kiểm soát việc bạn có thể truy cập cái gì hay không.