الحجب حسب ASN والبلد: قطع شبكة، لا عنوان

ما هو ASN فعليًا

الإنترنت ليس شبكة واحدة. إنه عشرات الآلاف من الشبكات، تديرها كل واحدة جهة تقرر كيف تدخل الزيارات وتخرج. تحمل كل واحدة من تلك الشبكات رقمًا — رقم نظامها المستقل (Autonomous System Number) — وينتمي كل عنوان IP عام إلى واحدة منها بالضبط في أي لحظة.

ذلك الرقم هو الوحدة المفيدة. قد تملك شركة استضافة مئات آلاف العناوين موزَّعة على نطاقات تبدو غير مترابطة، لكنها تقع تحت ASN واحد أو حفنة منها. ويفعل مشغّل الهاتف المحمول الأمر نفسه لمشتركيه. فحين تسأل "من أين يأتي هذا الطلب فعليًا"، يخبرك العنوان بأي جهاز، ويخبرك ASN بأي جهة وضعت ذلك الجهاز على الإنترنت.

هذا الفرق هو القيمة كلها. يستطيع عميل مسيء تغيير عنوانه بلا عناء — زر واحد في لوحة تحكم سحابية، فتصبح قائمة IP التي بنيتها بعناية بالية خلال ساعة. أما تغيير ASN فيعني تغيير المزوّد.

إيجاد الشبكة خلف طلب معيّن

تبدأ من عنوان في سجلاتك وتحوّله إلى شبكة. أسرع طريقة استعلام whois واحد.

عنوان واحد، استعلام واحد، شبكة واحدة

# Team Cymru's whois service: address -> ASN, network name, country
whois -h whois.cymru.com " -v 203.0.113.10"

قراءة الإجابة قبل أن تتصرف بناءً عليها

يمنحك الاستعلام رقم ASN، والجهة التي تحمله، والبلد المسجَّل فيه. يعرض bgp.he.net المعلومات نفسها في متصفح مع كل نطاق تعلنه تلك الشبكة، وهو يستحق نظرة قبل أن تحجب أي شيء: إن كانت الجهة مزوّد إنترنت استهلاكيًا كبيرًا، يجعل حجم مساحة عناوينه ذلك واضحًا فورًا.

قم بالاستعلام على عدة عناوين، لا عنوان واحد. لا يُحتسب النمط نمطًا إلا حين يتكرر ظهور ASN نفسه. فإن كانت خمسون عنوانًا مسيئًا تنتمي إلى خمسين شبكة مختلفة، فأنت لا تنظر إلى مزوّد يمكنك حجبه — بل إلى بوت نت، وسيخدمك تحديد معدل أو قاعدة WAF أفضل بكثير من أي قائمة.

انظر أيضًا إلى ما تطلبه الزيارات. شبكة واحدة تسحب كامل كتالوج منتجاتك كل ليلة هي كاشطة. الشبكة نفسها تجلب رابطًا واحدًا لكل عميل هي تكامل شخص ما، وحجبها ينتج مكالمة هاتفية بدل تحسين هادئ.

IP وASN والبلد: ثلاثة أسئلة مختلفة

هذه ليست ثلاث درجات قوة لأداة واحدة. إنها تجيب عن أشياء مختلفة، واختيار الأداة الخاطئة هو كيف ينتهي الحجب مكلفًا أكثر من الإساءة نفسها.

حجب IP يجيب عن "هذا الجهاز بالذات مشكلة". وهو دقيق ومؤقت بطبيعته: استخدمه لمضيف مسيء محدد، أو هجوم جارٍ، أو بينما لا تزال تحدد ما هو النمط.

حجب ASN يجيب عن "لا شيء مشروع يصلني من هذه الشبكة". وهذا صحيح غالبًا مع مزوّدي الاستضافة والسحابة — إذ يتصفح عملاؤك من مزوّدي إنترنت ومشغّلي هاتف محمول، بينما تعمل الكاشطات وماسحات الثغرات وسكربتات حشو بيانات الاعتماد على خوادم مستأجرة. حجب الشبكة خلفها يصمد أمام تغييرات عناوينها، وهو الشيء الوحيد الذي لا يقدر حجب IP على فعله.

حجب البلد يجيب عن "نحن لا نخدم هذا السوق". وهو الأخشن من الثلاثة والوحيد الذي يعبّر عن قاعدة عمل لا ملاحظة تقنية: متجر يشحن إلى بلدين، خدمة تحت ترخيص محصور ببلد واحد. أما كضابط أمان بذاته فهو ضعيف، لأن المهاجم ينتقل عبر خادم في مكان آخر خلال ثوانٍ بينما لا يفعل ذلك عميل حقيقي مسافر إلى الخارج.

الحدس الذي يصمد: احجب بلدًا لأسباب عمل، واحجب ASN لأسباب سلوكية، واحجب IP بينما لا تزال تقرر أيًّا من الاثنين تنظر إليه.

ماذا تفعل الحافة بالقائمة

تُفرَض القائمتان عند الحافة، وهذا ما يجعلهما رخيصتين. تحلّ الحافة عنوان الزائر إلى بلد وASN باستخدام قاعدة بيانات محلية — MaxMind's GeoLite2، تُحدَّث تلقائيًا على عُقد الحافة لدينا، فلا استعلام عبر الشبكة في مسار الطلب ولا شيء عليك أن تبقيه محدَّثًا.

إن طابق العنوان قائمة، يُجاب الطلب فورًا بصفحة 403 تحمل هوية الشركة ومعرّف مرجعي (Reference ID). لا يرى أصلك الاتصال إطلاقًا: لا عامل مشغول، ولا استعلام قاعدة بيانات، ولا نطاق ترددي من خادمك. هذا هو الفرق بين الحجب عند الحافة والحجب داخل تطبيقك، وهو سبب صمود الحجب بالضبط حين يهم، تحت الحِمل.

يهم المعرّف المرجعي أكثر مما يبدو. حين يخبرك أحدهم أنه لا يستطيع الوصول إلى موقعك، ذلك المعرّف هو كيف تجد طلبه بالضبط في السجلات وتجيب "شبكتك على قائمة الحجب" بدل التخمين طوال بعد الظهر.

إعداده في اللوحة

افتح قواعد التوصيل ← إعدادات الأمان الجاهزة (Delivery rules → Security presets) في اللوحة — /management/cdn/advanced-management. يجلس مديران جنبًا إلى جنب هناك: مدير القائمة السوداء للبلدان (Country Blacklist Manager) ومدير القائمة السوداء لـASN (ASN Blacklist Manager).

لبلد ما، اخترْه من القائمة واحفظ. ولشبكة ما، أدخل ASN كرقم مجرّد: 12735، لا AS12735؛ وتوضع عدة شبكات في قائمة واحدة مفصولة بفواصل (12735, 47331). تتسع القائمة لحتى 200 إدخال، ويُرفَض 0 عمدًا — انظر التحذيرات أدناه.

ثم تحقّق من ذلك بشيء يأتي فعليًا من الشبكة المحجوبة لا من اتصالك أنت: مضيف داخل تلك السحابة، أو وكيل، أو زميل على ذلك المشغّل. النتيجة الصحيحة هي صفحة 403 ذات الهوية من هناك، واستجابة 200 عادية من كل مكان آخر. الحجب هادئ بما يكفي ليوهمك بأنه لم يعمل، لأن طلبك أنت نفسه نادرًا ما يأتي من الشبكة التي حجبتها للتو.

فعله من الـAPI

تتوفر القائمتان عبر REST API برمز حامل (bearer token)، وهذا ما تريده إن كنت تحفظهما في نظام التحكم بالإصدارات أو توصلهما بمنظومة كشف الإساءة الخاصة بك. تضبط استدعاء التحديث القائمة على ما ترسله بالضبط، فاقرأها أولًا وأرسل القائمة كاملة لا الإضافة فقط.

اقرأ القائمة الحالية، ثم استبدلها

# what is on the list now
curl -s -H "Authorization: Bearer $TOKEN" \
  https://cdn.com.tr/api/accounts/<account-uuid>/asn_blacklist

# replace it with exactly these two networks
curl -s -X POST -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"listType":"blacklist","asns":[12735,47331]}' \
  https://cdn.com.tr/api/accounts/<account-uuid>/asn_blacklist_update

التحذيرات التي تحدد ما إذا كانت فكرة جيدة

مزوّدو الإنترنت الاستهلاكيون ومشغّلو الهاتف المحمول ملايين الأشخاص. يمكن لـASN مشغّل هاتف محمول واحد أن يغطي حصة كبيرة من هواتف بلد بأكمله. حجبه لا يحجب مهاجمًا؛ بل يحجب شريحة سوق كاملة، ولن تذكر تذاكر الدعم كلمة ASN.

تُخفي شبكات CDN وVPN والوكلاء (proxies) المؤسسية المصدر الحقيقي. حين يصل طلب عبر CDN آخر أو VPN، ينتمي ASN الذي تراه إلى تلك الوسيطة. حجبها يزيل كل من يستخدم تلك الخدمة، بما في ذلك عملاء مهتمون بالخصوصية وموظفون عن بُعد على VPN شركتهم.

تحمل شبكات ASN الاستضافية أيضًا زيارات تريدها. تعمل ويبهوكس الدفع، ومراقبات وقت التشغيل، ومعاينات الروابط في تطبيقات الدردشة، وتكاملات الشركاء، وزواحف محركات البحث، كلها على خوادم مستأجرة. قبل حجب مزوّد سحابي بالكامل، تحقق من أي تكاملاتك الخاصة يعيش هناك.

لا يمكن حجب ASN 0. هو ما تعيده قاعدة البيانات حين لا يُطابَق عنوان أي شبكة معروفة، فهو ليس شبكة أصلًا — حجبه يعني حجب "كل ما لم نستطع تحديده". يجب التعامل مع الزيارات التي تُحلّ إليه بالسلوك، بتحديد معدل أو قاعدة WAF، لا بقائمة.

تتغيّر ملكية الشبكات. ASN ليس وصفًا دائمًا لمن يقف خلفه. القائمة التي لم يراجعها أحد منذ عامين قائمة لم تعد تفهمها.

ترتيب تصعيد عاقل

حين يظهر شيء مسيء، تناول أرخص ضابط يطابق شكل المشكلة — وصِف الشكل بصدق أولًا: كم عنوانًا، كم شبكة، بأي سرعة، وماذا يطلبون.

ذلك الوصف يختار الأداة. طلبات كثيرة من عملاء قليلين هي تحديد معدل. طلبات تبدو خبيثة، مهما قلّ عددها، هي قاعدة WAF. حجم هائل من كل مكان دفعة واحدة هو امتصاص DDoS. زيارات ثابتة متعمّدة من شبكة واحدة يمكن تحديدها فقط هي حجب ASN — وسوق قررت ألّا تخدمه هو حجب بلد.

ثم اجعل الحجب أضيق ما يفي بالغرض، ودوّن سبب إضافتك له، وانظر بعد أسبوع كم كلّفك. الإدخال الذي لا سبب مدوَّن بجانبه هو الذي لن يجرؤ أحد على إزالته بعد عامين، وتتراكم كل قائمة حجب مثله في النهاية.