Principais razões pelas quais os endereços IP entram em listas de bloqueio

Uma mensagem rejeitada dá início a uma investigação: identificar a causa, corrigi-la e voltar a verificar a entrega.

Envia uma mensagem de correio eletrónico normal a um cliente. A mensagem é devolvida com um aviso de que o seu endereço IP está numa lista de bloqueio. Um endereço IP é o endereço de rede que os outros sistemas veem quando o seu servidor estabelece uma ligação. Várias pessoas ou serviços podem partilhar um endereço, e este pode ter tido outros utilizadores antes de si. Também pode constar de uma lista baseada em políticas simplesmente porque não deve enviar correio diretamente. A inclusão numa lista é um sinal que exige investigação; não constitui, por si só, prova de que o operador atual tem intenções maliciosas.

A questão prática não é apenas como retirar um endereço de uma lista. É saber se consegue explicar o histórico do endereço, separar os seus sistemas dos de outros utilizadores, corrigir a causa e manter os seus serviços em funcionamento enquanto o registo é corrigido ou o endereço muda.

O que uma lista de bloqueio de IP realmente indica

As várias listas de bloqueio observam sinais diferentes e aplicam critérios distintos. Algumas concentram-se em correio indesejado, outras em software malicioso ou atividades de varrimento, e outras publicam dados de reputação que outros serviços usam como um dos elementos da sua análise. A inclusão numa lista pode afetar a entrega de correio, o acesso a API, o tráfego Web ou o início de sessão em contas, mas o efeito depende da lista e do serviço que a consulta.

Não existe uma lista de bloqueio única para toda a Internet. Por exemplo, a Spamhaus Policy Blocklist identifica endereços que não devem entregar correio eletrónico diretamente aos servidores destinatários. Constar dessa lista não significa que um utilizador tenha enviado spam. A resposta adequada pode ser utilizar o serviço autenticado de envio de correio do fornecedor; nem sempre é necessário eliminar uma entrada válida baseada numa política.

Esta distinção é importante. «Este endereço consta de uma lista» é um facto operacional útil. «A empresa atual é responsável por um ataque» é uma afirmação muito mais forte, que o endereço, por si só, raramente prova. Uma porta de ligação partilhada, um fornecedor que coloca muitos clientes por trás de um único endereço público (carrier-grade NAT), uma plataforma na nuvem, um intervalo de endereços reutilizado ou uma conta comprometida podem separar o endereço visível da pessoa ou do serviço que causou o evento.

Como pode um operador legítimo ser afetado

As causas comuns são conhecidas: uma caixa de correio ou um servidor é comprometido; uma aplicação Web aloja conteúdo malicioso; um retransmissor de correio aberto ou um proxy aberto encaminha tráfego de desconhecidos; um servidor de alojamento partilhado atribui o mesmo endereço público a vários clientes; ou um endereço é reutilizado com um histórico que o novo operador não criou.

A configuração do correio acrescenta outra camada. O SPF identifica os servidores autorizados a enviar em nome de um domínio. O DKIM permite ao destinatário verificar a assinatura de uma mensagem. O DMARC verifica se o domínio autenticado está alinhado com o remetente visível e publica uma política de tratamento. O DNS inverso associa o endereço de envio a um nome de máquina. As diretrizes do Gmail para remetentes explicam estes requisitos. As falhas de autenticação podem causar rejeições mesmo quando nenhuma lista de bloqueio pública está envolvida; acrescentar os registos não remove automaticamente uma entrada já existente numa lista. Uma taxa elevada de mensagens devolvidas pode indicar uma manutenção deficiente da lista de destinatários. São problemas diferentes, mas podem convergir no mesmo resultado operacional: outro serviço deixa de confiar no endereço.

Nenhuma destas explicações torna os danos imaginários. Um cliente pode, ainda assim, não receber uma mensagem ou perder o acesso a um serviço. O objetivo é identificar a cadeia causal antes de atribuir culpas ou comprar um bloco de substituição.

O custo oculto de um endereço partilhado ou reutilizado

Um endereço é muitas vezes tratado como um número substituível até uma empresa criar dependências em torno dele. Registos de DNS, regras de firewall, listas de permissões de clientes, monitorização, reputação de correio eletrónico e documentação de parceiros podem referir-se todos ao mesmo recurso. Se o endereço era partilhado ou foi utilizado anteriormente por outra pessoa, essas dependências herdam um histórico que o operador atual não consegue conhecer na íntegra.

É por isso que a reputação deve fazer parte da discussão sobre continuidade. Um resultado sem problemas hoje não prova que será possível explicar as condições de operação amanhã. Um fornecedor deve conseguir mostrar de onde veio o recurso, quem pode alterar o seu encaminhamento e DNS inverso, como são tratados os relatos de abuso e o que acontece quando a relação termina.

A Nota 45 convida os leitores a separar a narrativa de escassez em torno do IPv4 da realidade material dos recursos de endereçamento. A mesma disciplina aplica-se aqui: uma classificação de reputação é um registo sobre condições observadas, não uma descrição completa do valor, do controlo ou da responsabilidade.

Diagnostique o endereço antes de o substituir

Comece por reunir elementos que outro operador possa reproduzir:

• que lista ou serviço assinalou o problema, quando o fez e que categoria utiliza;
• que nome de máquina, aplicação, caixa de correio, conta ou atividade de cliente esteve envolvido;
• se o endereço é dedicado, partilhado, recém-atribuído ou já foi utilizado;
• a configuração relevante de DNS, DNS inverso, SPF, DKIM, DMARC e encaminhamento;
• falhas de autenticação recentes, alertas de software malicioso, relatos de abuso, mensagens devolvidas e volume de tráfego de saída; e
• o que mudou imediatamente antes da inclusão na lista e que provas mostram que a causa cessou.

Depois, teste a solução. Feche o retransmissor de correio aberto, isole a máquina comprometida, corrija a identidade de correio eletrónico, remova conteúdo malicioso, corrija a rota ou transfira a carga de trabalho afetada. Se não for possível separar a causa de outros utilizadores de um serviço partilhado, registe essa limitação, em vez de tratar um novo endereço como prova de que o problema está resolvido.

Leia primeiro a mensagem de rejeição: pode identificar o serviço que rejeitou a mensagem, a lista e o motivo. Confirme o resultado com a ferramenta de consulta do próprio operador. Depois de corrigir a causa, siga o respetivo processo de remoção ou revisão, forneça as provas pedidas e volte a verificar tanto a presença na lista como uma tentativa real de entrega. Os diferentes destinatários podem atualizar a informação em momentos distintos. Se a rejeição não identificar nenhuma lista, investigue as regras de entrega desse destinatário, em vez de tratar cada falha de envio de correio como um problema de lista de bloqueio.

Quem é responsável pelo registo?

Uma lista de bloqueio é um registo numa cadeia mais ampla. O operador da lista publica uma observação. Um fornecedor de correio ou um serviço de segurança decide que peso lhe atribui. Um operador de rede gere a rota e as máquinas que produziram o tráfego. Uma entidade de registo ou outro serviço de coordenação pode manter um registo de números ou nomes. Estas funções não devem ser fundidas numa ideia vaga de «a Internet» a decidir o que é verdade.

Um destinatário que escolhe o seu próprio filtro de correio é diferente de uma entidade de registo que controla os registos de que muitas redes dependem. O ponto comum é a questão da responsabilização, não a afirmação de que estas instituições têm poderes idênticos. Manter um registo pode ser necessário sem que isso dê a quem o mantém autoridade ilimitada sobre todos os que nele estão representados. A Nota 2 apresenta essa fronteira, e a Nota 49 acompanha a forma como uma referência técnica pode adquirir autoridade prática quando todos dependem dela.

Para um operador, o teste prático é simples: consegue consultar as provas, corrigir a condição subjacente, contestar um erro, transferir a relação operacional e manter-se ligado enquanto o registo muda? Se a resposta depender da discricionariedade de um único administrador, o risco é maior do que um episódio isolado de inclusão numa lista de bloqueio.

Conceber a operação para a recuperação e a continuidade

Um modelo operacional duradouro deve tornar visíveis cinco aspetos:

1. Proveniência: de onde veio o recurso e que histórico o acompanha.
2. Responsabilidade: quem opera os sistemas, responde aos relatos de abuso e pode autorizar alterações.
3. Provas: que registos, registos de atividade e testes sustentam a afirmação de que o problema foi corrigido.
4. Portabilidade: que elementos de DNS, encaminhamento e reputação, e que relações com clientes, podem acompanhar a atividade.
5. Possibilidade de substituição: como outro fornecedor ou coordenador pode assumir a função sem destruir a identidade da rede.

Esta é a ligação útil ao argumento mais amplo de Lu Heng. A descentralização não é a ausência de coordenação. É uma coordenação que preserva registos rigorosos e controlo verificável sem tornar impossível substituir quem controla o acesso. A Nota 72 desenvolve esse requisito através da unicidade, da portabilidade e da continuidade.

Porque é a questão urgente antes de alguma coisa falhar

Os problemas de reputação tornam-se dispendiosos quando são descobertos depois de um endereço ter sido integrado no ambiente de produção. Alterar um IP pode implicar alterar DNS, listas de permissões, certificados, avisos aos clientes, monitorização e configuração de correio ao mesmo tempo. Esperar até todas as dependências estarem sob pressão dá ao operador menos opções e faz uma observação temporária parecer uma identidade permanente.

Reveja a cadeia de controlo enquanto o serviço funciona bem. Mantenha uma exportação dos registos de que precisa, ensaie a forma como seriam feitas alterações de rota e de DNS e explicite as responsabilidades do fornecedor em matéria de resposta e de saída. O objetivo não é prometer que nenhum endereço será alguma vez incluído numa lista. É tornar possível diagnosticar essa inclusão, corrigi-la e manter a operação apesar dela.

Perguntas frequentes dos operadores

Uma lista de bloqueio prova que o utilizador atual está a abusar da rede?

Não. Indica que o operador da lista classificou o endereço segundo os seus critérios, que podem dizer respeito ao comportamento ou à política de envio. A classificação também pode estar errada ou desatualizada. Continua a ser necessário identificar o tráfego, o sistema responsável e a relação entre o utilizador atual e o histórico do endereço.

Devo substituir imediatamente o endereço IP?

Não antes de compreender a causa. Uma substituição pode restabelecer brevemente o acesso, deixando intactos o sistema comprometido, a configuração deficiente ou o problema do serviço partilhado. Pode também transferir a mesma dependência para um novo endereço.

Pode um fornecedor garantir um endereço permanentemente livre de problemas de reputação?

Nenhum fornecedor responsável pode controlar todos os futuros utilizadores, decisões de rede ou listas de terceiros. Pergunte antes como o fornecedor verifica o histórico, separa os clientes, trata os abusos, apoia a resolução dos problemas e o ajuda a sair se o acordo deixar de funcionar.

O que devo ler a seguir?

Leia a Nota 45 para conhecer a realidade material por trás da escassez de IPv4 e, depois, a Nota 72 para explorar a questão de conceção que este guia deixa em aberto: como pode um registo partilhado continuar a ser útil sem tornar o seu administrador insubstituível?