ایران اکسس چیست و چطور جلوی اکسس شدن سرور را بگیریم؟

ایران اکسس (اکسس) یعنی چه؟

اصطلاح «ایران اکسس» (Iran Access) در فضای فنی ایران در دو موقعیت به کار می‌رود که نتیجهٔ هر دو یکی است: فقط کاربران با آی‌پی ایران به سرویس دسترسی دارند.

1. ایران اکسس کردن سایت به‌دست صاحب آن: بانک‌ها، درگاه‌های پرداخت، سامانه‌های دولتی و بعضی فروشگاه‌ها با قوانین فایروال یا CDN، درخواست‌های خارج از ایران را رد می‌کنند. به همین دلیل وقتی فیلترشکن روشن است، سایت بانک باز نمی‌شود.
2. اکسس شدن سرور ایران از سمت شبکه: مدیران سرور وقتی می‌گویند «سرورم اکسس شد» معمولاً منظورشان این است که سرور از داخل ایران پینگ می‌شود و کار می‌کند، اما از خارج از کشور هیچ اتصالی به آن برقرار نمی‌شود. این محدودیت روی خود سرور نیست؛ در مسیر شبکهٔ بالادست (دیتاسنتر، اپراتور یا درگاه بین‌الملل) اعمال شده است.

حالت معکوس را با ایران اکسس اشتباه نگیرید: اگر یک سرور خارج از داخل ایران باز نشود، معمولاً آی‌پی یا دامنهٔ آن فیلتر شده است، نه این‌که اکسس شده باشد. این دو مشکل علت و راه‌حل متفاوتی دارند که در ادامه جدا می‌کنیم.

چرا یک سایت یا سرور ایران اکسس می‌شود؟

معیار رسمی و منتشرشده‌ای برای اکسس شدن آی‌پی‌ها وجود ندارد، اما تجربهٔ مدیران سرور و گزارش‌های رسانه‌های فناوری چند علت تکراری را نشان می‌دهد:

• مقابله با حملهٔ DDoS: ساده‌ترین واکنش دیتاسنتر یا سرویس‌دهنده به حملهٔ سنگین از خارج، بستن ورودی خارجی به آی‌پی هدف است. این کار حمله را متوقف می‌کند اما کاربران واقعی خارج از کشور را هم قطع می‌کند. دربارهٔ این حملات در DDoS چیست و CDN چطور محافظت می‌کند بیشتر بخوانید.
• سیاست امنیتی سازمان‌ها: بعضی سامانه‌ها برای کاهش سطح حمله، دسترسی را عمداً به ایران محدود می‌کنند؛ هرچند کارشناسان امنیت معتقدند این کار به‌تنهایی امنیت نمی‌آورد، چون حمله از داخل هم ممکن است.
• محدودیت‌های مقطعی شبکه در شرایط بحرانی: در دوره‌های اختلال گسترده، مسیرهای ورودی از خارج به بخشی از آی‌پی‌های داخلی ممکن است بسته یا محدود شوند. در این حالت کار زیادی از دست صاحب سرور برنمی‌آید.
• الگوی ترافیک غیرعادی: گزارش‌های کاربران نشان می‌دهد سرورهایی که تعداد بسیار زیادی اتصال هم‌زمان از خارج دریافت می‌کنند، یا از آن‌ها اسکن پورت و ارسال انبوه انجام می‌شود، بیشتر در معرض محدود شدن هستند. اگر سرور شما هک شده باشد و برای حمله استفاده شود هم همین اتفاق می‌افتد؛ نشانه‌ها را در علائم هک شدن سرور ببینید.

چطور بفهمیم سرور ما ایران اکسس شده است؟

نشانهٔ اصلی این است که از داخل ایران همه‌چیز سالم است ولی از خارج هیچ پاسخی نمی‌آید. برای قطعی شدن تشخیص، این سه آزمون را انجام دهید:

آزمون ۱: تست هم‌زمان از چند کشور

با ابزارهایی مثل check-host.net می‌توانید ping و اتصال TCP به یک پورت مشخص (مثلاً ۴۴۳ یا پورت SSH) را هم‌زمان از نقاط داخل و خارج ایران بسنجید. اگر نقاط ایرانی پاسخ می‌گیرند و همهٔ نقاط خارجی timeout می‌شوند، احتمال اکسس شدن زیاد است.

آزمون ۲: تست از یک سرور خارج

اگر سرور خارج در اختیار دارید، از روی آن مسیر را با mtr ببینید و یک اتصال TCP واقعی بزنید. آی‌پی نمونهٔ زیر را با آی‌پی سرور خودتان عوض کنید:

# از روی سرور خارج
mtr -rwzc 50 203.0.113.10
# اتصال TCP به پورت وب (پاسخ HTTP یعنی مسیر باز است)
curl -sv -m 10 -o /dev/null http://203.0.113.10/
nc -vz -w 5 203.0.113.10 443

اگر mtr تا مرز شبکهٔ ایران جلو می‌رود و بعد از آن همهٔ بسته‌ها گم می‌شوند، محدودیت در مسیر بالادست است. خواندن خروجی mtr را در آموزش ping، traceroute و mtr توضیح داده‌ایم.

آزمون ۳: ترافیک خروجی سرور

روی خود سرور ایران بررسی کنید که اتصال خروجی به اینترنت بین‌الملل برقرار است یا نه:

curl -sI -m 10 https://www.wikipedia.org | head -1

در حالت رایج اکسس، خروجی سرور به خارج کار می‌کند اما ورودی از خارج بسته است. اگر خروجی هم قطع است، احتمالاً با قطعی اینترنت بین‌الملل روبه‌رو هستید، نه اکسس شدن یک آی‌پی؛ وضعیت کلی را در دیده‌بان شبکهٔ کلودیفای ببینید.

اکسس، فیلتر یا خرابی سرور؟ جدول تشخیص

چطور جلوی اکسس شدن را بگیریم؟

صادقانه بگوییم: اگر محدودیت تصمیم کلان شبکه باشد، هیچ تنظیمی روی سرور آن را برنمی‌دارد. اما بخش قابل‌توجهی از موارد به رفتار خود سرور و نحوهٔ انتشار سرویس برمی‌گردد و این کارها احتمال آن را کم می‌کند:

1. پورت‌های اضافی را ببندید. فقط پورت‌هایی را باز بگذارید که واقعاً سرویس عمومی دارند (معمولاً ۸۰ و ۴۴۳). پورت SSH و پنل‌های مدیریتی را به آی‌پی‌های مشخص محدود کنید. راهنما: فایروال UFW و تغییر پورت و ورود با کلید SSH.
2. سایت را پشت CDN ببرید. وقتی کاربران به لبهٔ CDN وصل می‌شوند، آی‌پی سرور اصلی پنهان می‌ماند و حملهٔ مستقیم به آن سخت‌تر می‌شود؛ یعنی دلیل اصلی اکسس کردن (حمله) کمتر پیش می‌آید. CDN کلودیفای با یک رکورد CNAME فعال می‌شود.
3. جلوی سوءاستفاده از سرور را بگیرید. نرم‌افزارها را به‌روز نگه دارید، Fail2ban نصب کنید و ترافیک خروجی غیرعادی را پایش کنید (پایش ترافیک سرور لینوکس). سروری که آلوده شده و از آن اسکن یا حمله انجام می‌شود، دیر یا زود محدود می‌شود.
4. قوانین دیتاسنتر را رعایت کنید. هر کاربردی که خلاف شرایط استفادهٔ دیتاسنتر باشد، علاوه بر ریسک اکسس، ریسک تعلیق سرویس دارد.
5. پایش از بیرون داشته باشید. یک مانیتور ساده مثل Uptime Kuma روی سروری خارج از ایران، اکسس شدن را همان دقیقه‌های اول به شما خبر می‌دهد، نه وقتی مشتری خارج از کشور شکایت می‌کند.
6. برای مخاطب خارجی مسیر جایگزین داشته باشید. اگر کاربران خارج از کشور برایتان مهم‌اند، یک نسخه از سرویس را روی سرور خارج یا پشت CDN نگه دارید تا اکسس شدن آی‌پی ایران کل سرویس را از کار نیندازد. مقایسهٔ این دو در سرور ایران یا خارج؟.
7. با شواهد به پشتیبانی خبر دهید. نتیجهٔ check-host و mtr را با زمان دقیق برای پشتیبانی دیتاسنتر بفرستید. اگر محدودیت روی همان آی‌پی ماندگار شد، درخواست تعویض آی‌پی معمولاً سریع‌ترین راه است.

دربارهٔ ترفندهای تانل و «دور زدن» محدودیت: این روش‌ها تضمینی ندارند، با تغییر سیاست‌های شبکه مدام از کار می‌افتند و ممکن است خلاف شرایط استفادهٔ دیتاسنتر باشند. راه پایدار، معماری درست سرویس است، نه پنهان کردن ترافیک.

اگر خودتان می‌خواهید سایت را ایران اکسس کنید

گاهی صاحب سایت عمداً می‌خواهد دسترسی را برای مدتی به ایران محدود کند، مثلاً در طول یک حملهٔ سنگین. سه نکتهٔ مهم:

• بهترین جا برای این قانون، لایهٔ CDN است، نه خود سرور. اگر ترافیک حمله تا سرور برسد، بستن آن روی سرور هم منابع را مصرف می‌کند.
• ربات‌های موتور جست‌وجو را فراموش نکنید. Googlebot عمدتاً از آی‌پی‌های خارج از ایران می‌خزد؛ اگر سایت چند روز ایران اکسس بماند، گوگل آن را از دسترس خارج تشخیص می‌دهد و رتبه‌ها افت می‌کنند. این محدودیت باید کوتاه‌مدت باشد یا ربات‌های تأییدشدهٔ موتورهای جست‌وجو از آن مستثنا شوند.
• برای پنل‌های مدیریتی، محدودیت دائمی منطقی است. مثلاً مسیر ورود مدیر سایت یا پورت SSH را فقط برای آی‌پی‌های دفتر یا VPN سازمانی باز بگذارید، نه برای کل اینترنت.

برای ساخت فهرست آی‌پی‌های ایران می‌توانید از فایل عمومی تخصیص آی‌پی RIPE استفاده کنید. دستور زیر فقط فهرست را می‌سازد و چیزی را مسدود نمی‌کند:

curl -s https://ftp.ripe.net/pub/stats/ripencc/delegated-ripencc-latest \
 | awk -F'|' '$2=="IR" && $3=="ipv4" {print $4, $5}' | head

ستون دوم تعداد آدرس‌های هر بلوک است و باید به پیشوند CIDR تبدیل شود. این فهرست تقریبی است و هر چند وقت یک بار تغییر می‌کند؛ برای استفادهٔ جدی، قانون کشوری CDN دقیق‌تر و کم‌دردسرتر است.

سؤالات متداول