IP do provedor em blacklist: causas, diagnóstico e quando chamar um Especialista

Resumo

• Na maioria dos casos, a origem é um roteador de cliente infectado, um serviço aberto ou envio direto de e-mail.
• Com CGNAT, um único assinante com problema bloqueia todos os que dividem o mesmo IP público.
• Cada lista informa o motivo e o horário da listagem, e esses dois dados apontam a origem dentro da rede.
• Pedir remoção sem corrigir a causa faz o IP voltar para a lista, e a próxima saída costuma demorar mais.

O que significa o IP do provedor em blacklist

Significa que um endereço da sua rede foi marcado como fonte de abuso, ou como faixa que não deveria mandar e-mail, por uma lista que outros serviços consultam antes de aceitar a conexão. Quem sai por aquele IP passa a ser recusado ou desafiado.

O IP do provedor em blacklist é um problema de reputação que aparece para o assinante como defeito na internet. O cliente não consegue mandar e-mail, recebe captcha o tempo todo, tem o acesso ao banco recusado ou é barrado em lojas e aplicativos, e liga para o suporte achando que a conexão está ruim.

A remoção de IPs de listas negras para provedores cuida de achar a origem, corrigir e fazer os pedidos com a explicação técnica. Se muitos assinantes estão bloqueados agora, chame um Especialista para atendimento de emergência.

Como as listas de bloqueio funcionam

A maioria das listas é consultada por DNS, no formato descrito na RFC 5782. O servidor que recebe a conexão pergunta à lista se aquele IP está marcado e decide, pela resposta, se aceita, recusa ou desafia.

Cada lista tem critérios próprios. Algumas marcam só IPs flagrados mandando spam ou atacando; outras marcam faixas inteiras de acesso residencial por política, para que só servidores de e-mail autorizados enviem mensagens dali.

Por que o assinante culpa o provedor

O assinante vê o erro no site do banco ou no aplicativo de e-mail e não tem como saber que existe uma lista no meio. Para ele, o problema é a internet, e o atendimento recebe a reclamação sem pista nenhuma.

Por isso vale treinar o N1 para pedir o print do erro. A mensagem costuma citar o nome da lista ou trazer um link de consulta, o que economiza horas de investigação para quem cuida da rede.

IP do provedor em blacklist: causa por ordem de probabilidade

As causas estão na ordem do que mais aparece em provedor regional, e a primeira explica a maior parte dos casos. As duas últimas não envolvem abuso nenhum, mas também bloqueiam assinantes.

• Roteador de cliente infectado: equipamento com senha padrão ou firmware velho passa a atacar outros ou mandar spam.
• Resolvedor DNS aberto: o DNS do provedor responde a qualquer um na internet e é usado para amplificar ataques.
• Envio direto de e-mail: clientes ou servidores mandando e-mail pela porta 25 sem passar por um servidor autorizado.
• Equipamento de rede invadido: roteador ou servidor do próprio provedor sob controle de terceiros.
• Faixa residencial listada por política: algumas listas bloqueiam faixas de acesso doméstico por regra, sem abuso.
• Bloco com histórico ruim: bloco IPv4 comprado ou transferido que já estava listado antes de chegar a você.

Quando a origem é um equipamento do próprio provedor, a listagem é o menor dos problemas. O guia sobre provedor invadido mostra o que conferir antes de qualquer pedido de remoção.

Com CGNAT, um cliente bloqueia muitos

No CGNAT, dezenas ou centenas de assinantes saem pelo mesmo IP público. Se um deles tem o roteador infectado, a lista marca o IP inteiro, e todos os outros passam a ser barrados junto.

É por isso que a reclamação de bloqueio costuma chegar em grupo, de clientes que não têm nada em comum além do endereço de saída. A busca pela origem depende de saber quem usava aquele IP e aquela porta no horário da listagem.

Como descobrir por que o IP foi listado?

Consulte a lista citada no erro que o assinante recebeu e leia o motivo informado. Esse motivo, junto com o horário, aponta a causa e o lugar onde procurar.

Motivos de listagem de IP do provedor e a causa provável de cada um

O que a lista informa	Causa provável	Onde procurar
Equipamento infectado ou parte de rede de ataque	Roteador de cliente infectado	Registros do CGNAT no horário
Serviço aberto usado em ataque	DNS ou outro serviço aberto para a internet	Servidores e borda do provedor
Envio de spam a partir do IP	Envio direto de e-mail	Tráfego de saída na porta 25
Faixa de acesso dinâmico ou residencial	Listagem por política	Política da própria lista
Listagem antiga, anterior ao provedor	Bloco com histórico	Data da listagem e do registro do bloco

Exemplo: banco recusando o acesso de um bairro inteiro

Um caso típico mostra o caminho da reclamação até a origem. Numa segunda-feira, vários assinantes do mesmo bairro dizem que o aplicativo do banco não abre, enquanto o resto da internet funciona.

1. Print: o N1 pede o print do erro, e um dos clientes manda a tela que cita uma lista de reputação.
2. Consulta: o IP público do CGNAT daquela região aparece listado por equipamento infectado, com horário de domingo.
3. Registro: os registros do CGNAT mostram que, naquele horário, a porta citada pertencia a um único assinante.
4. Correção: o roteador do assinante tinha senha padrão; a equipe troca a senha, atualiza o firmware e confere o tráfego.
5. Remoção: o pedido explica a correção, e o IP sai da lista depois da análise dela.

Sem os registros guardados, a equipe teria trocado o IP do bairro e esperado. O roteador infectado levaria o novo IP para a lista em poucos dias.

IP do provedor em blacklist: o que fazer, passo a passo

Corrija primeiro e peça a remoção por último, porque pedir antes faz o IP voltar para a lista. A ordem abaixo vale para um IP isolado e para vários blocos.

1. Consulte as listas: veja em quais listas os seus blocos aparecem e o motivo de cada uma.
2. Ache a origem: use o IP, a porta e o horário informados para achar o assinante ou o equipamento.
3. Corrija a causa: troque a senha ou o firmware do roteador, feche o serviço aberto e pare o envio direto.
4. Bloqueie a porta 25: assinantes residenciais não precisam mandar e-mail sem servidor autorizado.
5. Peça a remoção: em cada lista, explique o que foi corrigido e como evitar que volte.
6. Acompanhe: confira de novo em alguns dias para ver se o IP saiu e não voltou.

Se o problema começou depois que o técnico saiu e ninguém sabe as senhas dos equipamentos, veja o guia sobre o técnico de rede que saiu do provedor. Para recuperar o acesso a um roteador sem senha, veja como recuperar a configuração do MikroTik.

Como escrever o pedido de remoção

O pedido é lido por alguém que analisa muitos casos e quer saber se a causa foi entendida. Seja direto e técnico, sem pedir favor nem contestar a listagem.

• Origem: diga o que gerou o abuso, como roteador de assinante infectado ou DNS aberto.
• Correção: conte o que foi feito, como troca de senha, atualização de firmware ou serviço fechado.
• Prevenção: explique o que impede a volta, como bloqueio da porta 25 ou filtro no DNS.
• Contato: deixe um e-mail de abuso que seja lido, para a lista avisar se houver nova ocorrência.

Para bloco listado por histórico anterior, junte a data em que o bloco passou a ser seu. Isso mostra que a listagem é de outro dono e costuma encurtar a análise.

Erros comuns que fazem o IP voltar para a lista

Os erros mais comuns tratam a listagem como problema de cadastro, e não de rede. A causa continua ativa, e o IP volta para a lista na primeira nova ocorrência.

O último erro é silencioso. As listas e outras redes avisam o contato de abuso cadastrado no registro do bloco, e quem não lê essa caixa só descobre o problema quando os assinantes começam a reclamar.

A guarda dos registros de conexão também tem regra própria no Marco Civil da Internet [CONFIRMAR na norma], e o CGNAT precisa registrar a porta junto com o IP para que esse registro sirva para alguma coisa.

Quando vale chamar um Especialista?

Vale chamar quando vários blocos estão listados, quando o IP volta para a lista logo depois da remoção ou quando a origem está num equipamento do próprio provedor. O checklist abaixo ajuda a decidir.

A Táquion Tech atende provedores de todo o Brasil de forma remota na consulta das listas, na busca da origem e nos pedidos de remoção. Quando a causa está na borda, no anúncio dos blocos por BGP ou num equipamento invadido, o caso segue para o suporte técnico N3.

Para clientes empresariais com IP fixo, a listagem pode parar o envio de e-mail da empresa e pesar no SLA do contrato. Nesses casos, vale priorizar a remoção dos IPs dedicados antes das faixas residenciais.

Perguntas frequentes sobre IP do provedor em blacklist

Serviços ligados a este guia

• Remoção de IPs de listas negras para provedores BGP e roteamento
• Auditoria técnica pré-venda para provedores Fusões e aquisições
• Due diligence técnica para provedores Fusões e aquisições
• Varredura de vulnerabilidades para provedores Segurança e anti-DDoS

Fontes

1. RFC 5782, DNS Blacklists and Whitelists: como funcionam as listas de bloqueio consultadas por DNS.
2. Spamhaus, consulta de reputação de IP: consulta e pedido de remoção nas listas da Spamhaus.
3. RFC 5358, Preventing Use of Recursive Nameservers in Reflector Attacks: por que o DNS recursivo do provedor não deve responder a qualquer um.