إذا انخفضت نسبة التحويل من حركة المرور المحمولة فجأة، وكانت نموذج التسجيل أو الدفع تعطي خطأ 403 للعملاء الحقيقيين - فمن المحتمل أن يكون السبب هو WAF الخاص بك وليس هاكر. يرى جدار الحماية الآلاف من الطلبات من عنوان IP واحد لمشغل الهاتف المحمول ويعتبر ذلك هجوم DDoS أو هجوم القوة الغاشمة. في الواقع، وراء هذا العنوان IP يجلس مئات أو آلاف الأشخاص العاديين - هذه هي تقنية CGNAT. دعونا نحلل كيف يمكن اكتشاف ذلك وإصلاحه دون فتح ثغرة لهجمات حقيقية.
ما هو CGNAT ولماذا يسبب مشكلة
CGNAT (Carrier-Grade NAT) هي تقنية يستخدمها مشغلو الهاتف المحمول بسبب نقص عناوين IPv4. بدلاً من منح كل مشترك عنوان IP عام فريد، يقوم المشغل "بإخفاء" الآلاف من المستخدمين خلف عنوان واحد أو عدة عناوين مشتركة. بالنسبة للموقع، يبدو الأمر كما يلي: يأتي حركة المرور من عنوان IP واحد من مئات الأشخاص المختلفين في نفس الوقت - أجهزة مختلفة، متصفحات مختلفة، سلوك مختلف، لكن نفس العنوان الخارجي.
بالنسبة للخادم الويب العادي، ليست هذه مشكلة - فهو ببساطة يعالج الطلبات. ولكن بالنسبة لأنظمة الحماية التي تحسب الطلبات في وحدة الزمن من عنوان IP واحد، يبدو الأمر كأنها شذوذ. تخيل: في دقيقة واحدة، يأتي 200 طلب من عنوان واحد إلى صفحة تسجيل الدخول. بالنسبة لـ WAF، هذه نمط كلاسيكي لهجوم القوة الغاشمة أو سكرابنج. ولكن في الواقع، قد يكون هؤلاء 150 عميلاً حقيقياً لمشغل الهاتف المحمول في منطقتك الذين فتحوا الموقع في نفس الوقت بعد إرسال إعلان أو نشر على وسائل التواصل الاجتماعي.
تظهر المشكلة بشكل حاد بشكل خاص في البلدان ذات الكثافة العالية من الإنترنت المحمول - حيث يجمع المشغلون عددًا هائلًا من المشتركين خلف عدد قليل من عناوين IP الخارجية. لهذا السبب يجب اختبار سلوك الموقع ليس من عنوان IP عادي من مركز البيانات، ولكن من بروكسيات محمولة تمر فعليًا عبر بنية CGNAT التحتية للمشغل - فقط بهذه الطريقة يمكنك إعادة إنتاج نفس الصورة التي يراها WAF عند المستخدمين الحقيقيين.
لماذا يرى WAF في CGNAT تهديداً
تستخدم معظم حلول WAF - Cloudflare، AWS WAF، Imperva، وحدات Nginx/ModSecurity المدمجة - تحديد معدل الطلبات حسب عنوان IP كآلية أساسية للحماية من الروبوتات وهجمات DDoS. المنطق بسيط: إذا كان هناك أكثر من N طلبات من عنوان IP واحد خلال T ثانية - نقوم بحظر أو عرض كابتشا. تعمل هذه القاعدة بشكل ممتاز ضد الهجمات الكلاسيكية من جهاز واحد، ولكنها تنهار تمامًا على حركة مرور CGNAT.
هناك عدة سيناريوهات نموذجية حيث يحدث هذا:
- تحديد معدل الطلبات حسب IP. الحد "100 طلب في الدقيقة من عنوان IP واحد" هو أمر طبيعي لحركة البيانات من مراكز البيانات، ولكنه كارثي لمنطقة محمولة بها مليون مشترك خلف عنوان واحد.
- تقييم سلوكي. إذا كانت النظام تجمع "سمعة" IP بناءً على تاريخ الطلبات، فإن مستخدمًا "سيئًا" واحدًا من CGNAT يمكن أن يفسد سمعة العنوان لآلاف العملاء المخلصين اللاحقين.
- التحليل الجغرافي. أحيانًا يقوم WAF بوضع علامة على IP كأنه مشبوه إذا رأى قفزات حادة في النشاط، غير معتادة على "المستخدم العادي" - وسلوك عنوان CGNAT هو كذلك: أحمال ذروية خلال ساعات نشاط الجمهور.
- الحظر حسب ASN المشغل. بعض قواعد WAF تحظر نطاقات كاملة من ASN لمشغلي الهواتف المحمولة، إذا كانت هناك هجمات سابقة من هذه النطاقات - مما يؤدي إلى حظر جميع عملاء المشغل في البلاد.
النتيجة: كلما كانت إعدادات WAF صارمة "من الصندوق"، زادت احتمالية أنه يحظر ليس الروبوتات، بل جمهورك المحمول الحقيقي - خاصة إذا كان العمل موجهًا نحو البلدان ذات الإنترنت المحمول المتطور ونسبة عالية من حركة مرور CGNAT.
ما هي المخاطر التي تهدد الأعمال: العملاء المفقودون والأموال
نادرًا ما تكون مشكلة حظر CGNAT مرئية في التحليلات القياسية. لا تسجل Google Analytics وYandex.Metrica أولئك الذين حصلوا على خطأ 403 على مستوى WAF - وغالبًا ما لا تصل هذه الزيارات حتى إلى العداد. في النهاية، يرى المسوق انخفاضًا في التحويل، لكنه لا يفهم السبب، ويبدأ في تحسين الإعلانات وصفحات الهبوط، على الرغم من أن المشكلة تكمن في البنية التحتية.
العواقب الحقيقية لمختلف قطاعات الأعمال:
- التجارة الإلكترونية. لا يمكن للمشتري من الإنترنت المحمول إكمال عملية الدفع - نموذج الدفع يعطي خطأ، والسلة تضيع. خسائر مباشرة في الإيرادات، خاصة بعد إطلاق الإعلانات على TikTok Ads أو Facebook Ads، حيث تكون حركة المرور الأساسية - محمولة.
- برامج SaaS والتسجيلات. يحاول المستخدم التسجيل أو الدخول إلى حسابه، ويتلقى كابتشا في كل خطوة أو حظر - ينتقل إلى المنافس.
- المحتوى والإعلانات. حركة المرور الإعلانية من الأجهزة المحمولة "تسقط" بكثرة على صفحة الهبوط، ويتم إنفاق الميزانية الإعلانية، ولكن لا توجد تحويلات - تفسر خوارزميات المنصات الإعلانية ذلك على أنه جودة منخفضة للجمهور وتزيد من تكلفة النقرة.
- خدمة الدعم. يزداد عدد الاستفسارات "موقعك لا يفتح"، "لا أستطيع التسجيل" - بينما لا ترى الدعم الفني المشكلة، لأنها تدخل من سطح المكتب عبر Wi-Fi المكتبي بدون CGNAT.
الأكثر إزعاجًا - من الصعب تشخيص مثل هذه الحظرات بعد وقوعها، لأن سجل WAF يظهر عنوان IP "مشبوه" واحد مع عدد هائل من الطلبات، ويرى المسؤول في ذلك تأكيدًا لصحة الحظر، وليس خطأً كاذبًا.
6 فحوصات من IPs المحمولة للعثور على المشكلة
لفهم ما إذا كان WAF الخاص بك يحظر العملاء المخلصين من الهواتف المحمولة، يجب إعادة إنتاج الظروف الحقيقية لـ CGNAT - أي اختبار الموقع من عناوين IP المحمولة الحقيقية لمشغلين ومناطق مختلفة. إليك قائمة فحص عملية من 6 فحوصات.
الفحص 1: دخول جماعي من عنوان IP محمول واحد
قم بإعداد عدة جلسات متوازية من خلال نفس عنوان IP المحمول (وهذا أمر طبيعي للبروكسي من CGNAT المشغل) وقم بتنفيذ 50-100 إجراء عادي - فتح الصفحات، إضافة إلى السلة، الانتقال بين الأقسام. إذا بدأت الكابتشا أو 403 بالظهور بعد حد معين - فهذا هو الإشارة الأولى للمشكلة.
الفحص 2: تغيير User-Agent على نفس IP
عنوان CGNAT الواحد يخدم أجهزة مختلفة - iPhone، Android، متصفحات مختلفة. قم بتشغيل الطلبات مع سلاسل User-Agent مختلفة عبر نفس IP وتحقق مما إذا كانت قاعدة WAF "تنوع مشبوه للأجهزة من عنوان واحد" قد تم تفعيلها.
الفحص 3: اختبار على النماذج الحرجة
قم بتمرير المسار الكامل للعميل - التسجيل، التفويض، إتمام الطلب، الدفع - من خلال عنوان IP المحمول للمشغل. غالبًا ما يكون WAF أكثر عدوانية على النماذج التي تتطلب إدخال البيانات (تسجيل الدخول، الدفع)، حيث يكون خطر القوة الغاشمة أعلى، وهذا هو المكان الأول الذي يفقد فيه العملاء الحقيقيون.
الفحص 4: الاختبار عبر مشغلين ومناطق مختلفة
يختلف سلوك CGNAT بين مشغلين مختلفين وفي دول مختلفة - في بعض الأماكن، يخفي عنوان واحد 50 مشتركًا، وفي أماكن أخرى 5000. اختبر الموقع من IPs المحمولة لعدة مشغلين في المناطق الرئيسية لعملك لفهم ما إذا كانت هناك خصوصية إقليمية في الحظرات.
الفحص 5: تحليل رد الخادم حسب الرموز والعناوين
قم بتوثيق ليس فقط حقيقة الحظر، ولكن أيضًا رمز HTTP الدقيق وعناوين الرد (على سبيل المثال، cf-mitigated: challenge من Cloudflare). سيساعدك ذلك في فهم أي آلية حماية تم تفعيلها - تحديد المعدل، كشف الروبوتات أو القاعدة الجغرافية.
الفحص 6: مراقبة طويلة الأجل لسمعة IP
كرر الاختبار من نفس عنوان IP المحمول على مدار عدة أيام. إذا تدهور الوصول مع مرور الوقت بدون أسباب واضحة من جانبك - فهذا يعني أن نظام تقييم السمعة "يضر" سمعة العنوان بسبب نشاط مشتركين آخرين خلف نفس CGNAT، وهذه مشكلة نظامية وليست عرضية.
من المهم أن نفهم:
لهذه الاختبارات، تحتاج إلى عناوين IP المحمولة الحقيقية، وليس عناوين مراكز البيانات أو العناوين السكنية العادية - فقط حركة المرور التي مرت عبر بنية المشغل، تعيد إنتاج نمط CGNAT الذي يراه WAF لديك عند المستخدمين الحقيقيين.
كيفية إعداد WAF لعدم حظر العملاء المخلصين
بعد التشخيص، يجب تعديل قواعد الحماية بحيث لا تفقد مستوى الأمان، ولكن تتوقف عن حظر المستخدمين المحمولين الحقيقيين. إليك الأساليب الأساسية.
| المشكلة | الحل في WAF |
|---|---|
| تحديد معدل صارم حسب IP | زيادة الحد للمشغلين المعروفين أو الانتقال إلى تحديد حسب الجلسة/الكوكيز بدلاً من IP النقي |
| تقييم سمعة IP التراكمي | تقليل وقت "ذاكرة" السمعة لنطاقات CGNAT، إضافة قائمة بيضاء للمشغلين المعروفين |
| الحظر حسب الجغرافيا/ASN بالكامل | استبدال الحظر الكامل بتحدٍ لطيف (اختبار JS) بدلاً من 403 |
| كابتشا صارمة على نماذج الدخول | تشغيل الكابتشا بشكل تكيفي - فقط عند وجود علامات حقيقية على القوة الغاشمة (محاولات فاشلة متعددة من حساب واحد)، وليس فقط بسبب CGNAT-IP |
من الممارسات الجيدة الاحتفاظ بقائمة خاصة بك من نطاقات مشغلي الهواتف المحمولة المعروفة في المناطق الرئيسية لديك ومنحهم قواعد منفصلة، أكثر مرونة مقارنة بحركة الإنترنت العادية. يتطلب هذا الوقت للإعداد، ولكنه يقلل بشكل جذري من عدد الحظرات الكاذبة.
أدوات للاختبار باستخدام بروكسيات محمولة
من السهل استخدام مجموعة من المتصفح المضاد للكشف وبروكسيات محمولة لإجراء تدقيق منتظم على حماية الموقع. تسمح المتصفحات المضادة للكشف (Dolphin Anty، AdsPower، Multilogin، GoLogin، Octo Browser) بإنشاء ملفات تعريف معزولة مع بصمات أجهزة مختلفة، بينما توفر البروكسيات المحمولة حركة مرور CGNAT الحقيقية من المشغلين.
نهج خطوة بخطوة للاختبار:
- أنشئ عدة ملفات تعريف في المتصفح المضاد للكشف مع معلمات جهاز مختلفة (User-Agent مختلف، دقة الشاشة، المنطقة الزمنية).
- قم بتوصيل كل ملف تعريف بـ بروكسيات محمولة من المنطقة والمشغل المطلوبين - سيوفر ذلك سلوك CGNAT الحقيقي.
- قم بتمرير السيناريوهات الرئيسية للمستخدم: التسجيل، الدخول، إضافة إلى السلة، الدفع.
- وثق جميع حالات الكابتشا، 403 وغيرها من الحظرات، وقارنها مع إعدادات WAF.
- كرر الاختبار عبر بروكسيات سكنية للمقارنة - سيساعدك ذلك في فهم ما إذا كانت المشكلة خاصة بحركة المرور المحمولة فقط.
للاختبار المتوازي في مناطق مختلفة، تعتبر بروكسيات سكنية مفيدة أيضًا - فهي تساعد في تقييم مدى عدوانية WAF بالنسبة لحركة المرور المنزلية العادية وحركة CGNAT المحمولة. إذا كنت تخطط لاختبارات تحميل من بنية تحتية خدمية بدون ارتباط بالمشغل، يمكنك توصيل بروكسيات مراكز البيانات للتحقق من النتائج دون تأثير CGNAT - ستوفر لك خط أساس نظيف بدون تشوهات مرتبطة بالشبكات المحمولة.
يوفر هذا النهج الشامل - IPs المحمولة، السكنية ومراكز البيانات في اختبار واحد - صورة كاملة: ترى بالضبط أين تعمل الحماية ولأي نوع من حركة المرور، وليس تخمينًا بناءً على علامات غير مباشرة في السجلات.
أسئلة شائعة
هل يمكن استبعاد نطاقات CGNAT بالكامل من قواعد WAF؟
لا يُنصح بذلك - سيقلل ذلك من الحماية ضد الهجمات الحقيقية التي قد تأتي أيضًا عبر الشبكات المحمولة. من الأفضل تخفيف الحدود والانتقال إلى تحدٍ لطيف بدلاً من الحظر الصارم.
كم مرة يجب إجراء مثل هذه الفحوصات؟
على الأقل مرة في الشهر وضروري بعد أي تغيير في قواعد WAF أو إطلاق حملة إعلانية جديدة للجمهور المحمول.
هل يؤثر ذلك على SEO؟
نعم - إذا كانت الروبوتات البحثية أو المستخدمون الحقيقيون من الأجهزة المحمولة يحصلون على 403، فإن ذلك يزيد من معدل الارتداد وقد يؤثر سلبًا على مقاييس سلوك الترتيب.
الخاتمة
CGNAT ليست تهديدًا، بل هي ميزة من ميزات الإنترنت المحمول التي يواجهها تقريبًا أي عمل لديه جمهور محمول. المشكلة ليست في التقنية نفسها، ولكن في أن الإعدادات القياسية لـ WAF لا تأخذ في الاعتبار خصوصيتها من البداية وتعاقب المستخدمين المخلصين على سلوكهم الذي يتوافق مع الشبكات المحمولة العادية. ستساعدك الفحوصات الستة من هذه المقالة في تشخيص سريع ما إذا كنت تفقد العملاء بسبب الحظرات الكاذبة، بينما ستعيد التعديلات الدقيقة لقواعد WAF التحويلات دون تقليل مستوى الحماية.
إذا كنت تخطط لاختبار سلوك الموقع وقنوات الإعلان بانتظام كما يراها العملاء المحمولون الحقيقيون، نوصي باستخدام بروكسيات محمولة - فهي توفر حركة مرور CGNAT الحقيقية من المشغلين وتسمح لك بالعثور على الحظرات الكاذبة قبل أن يكتشفها عملاؤك.