AI 助理
文档备案控制台
官方文档
首页

配置IP黑白名单

更新时间：
复制 MD 格式
产品详情
我的收藏

当业务面临恶意IP盗刷或特定攻击时，可通过配置IP黑白名单，在CDN边缘节点根据访问来源对请求进行过滤。此功能允许您仅放行可信IP（白名单）或精准拦截已知恶意IP（黑名单），从而保护源站资源，降低安全风险。

注意事项

  • 该功能默认关闭，IP黑名单与IP白名单二选一，不可同时配置。如果您需要将已有的名单切换为另一种类型（例如将IP白名单切换为IP黑名单），需先删除当前已配置的名单，然后重新通过修改配置创建所需类型的名单。

  • 配置IP黑名单后，黑名单中的IP请求仍然可以到达DCDN节点，但会被节点拒绝并返回403状态码。此时，DCDN日志中会记录这些IP的请求信息，但这并不意味着IP黑名单未生效。

  • 由于IP黑白名单功能采用的是七层HTTP协议的IP识别技术，因此在恶意请求被DCDN节点拦截的同时，会产生少量的流量费用，如果客户端使用HTTPS协议访问，还会产生HTTPS请求数费用（因为拦截恶意IP的时候，也同时消耗了DCDN节点的处理资源）。

  • 少数互联网服务提供商（ISP）在特定区域可能会分配私有IP地址给用户端，导致DCDN节点接收到的是用户的私有IP地址。

    说明

    私有IP地址范围有以下三个：

    • A类私有IP地址：10.0.0.0～10.255.255.255，子网掩码：10.0.0.0/8

    • B类私有IP地址：172.16.0.0～172.31.255.255，子网掩码：172.16.0.0/12

    • C类私有IP地址：192.168.0.0~192.168.255.255，子网掩码：192.168.0.0/16

操作步骤

  1. 登录DCDN控制台。

  2. 在左侧导航栏，单击域名管理。

  3. 在域名管理页面，单击目标域名对应的配置。

  4. 在指定域名的左侧导航栏，单击访问控制。

  5. 单击右侧的IP黑/白名单页签。

  6. 在IP黑/白名单页签下，单击修改配置，然后在规则页面配置IP的黑名单或白名单。

    配置IP黑白名单

    如果您已配置了一种名单类型，需要切换为另一种类型，无法直接通过修改配置切换。您需要先删除已有的名单配置，然后重新单击修改配置创建新的名单类型。例如，若要从IP白名单切换为IP黑名单，需先删除现有的IP白名单，然后再创建IP黑名单。

    参数

    说明

    名单类型

    IP名单类型如下：

    • 黑名单

      黑名单内的IP无法访问加速域名下的所有资源。

    • 白名单

      只有白名单内的IP能访问加速域名下的资源，白名单以外的IP均无法访问。

    规则

    规则格式要求

    • 支持输入IP地址或者IP地址段。

    • 输入多个IP地址或者IP地址段时，使用换行符分隔。

    • 支持IPv4类型的地址或者地址段：

      1. IPv4地址示例：192.168.0.1。

      2. IPv4地址段示例：192.168.0.0/24。

      3. 不支持输入通配网络地址0.0.0.0/0，如果需要表示全量IPv4地址，可以用以下两个子网来表示：

        1. 0.0.0.0/1

        2. 128.0.0.0/1

    • 支持IPv6类型的地址或者地址段：

      1. IPv6地址示例：FC00:AA3:0:23:3:300:300A:1234。

      2. IPv6地址段示例：FC00:0AA3:0000:0000:0000:0000:0000:0000/48。

      3. 地址中的英文字母不区分大小写，即支持全大写、全小写或者大小写混合，例如：FC00:AA3:0:23:3:300:300A:1234或fc00:0aa3:0000:0023:0003:0300:300a:1234。

      4. 不支持: :缩写格式，例如：不支持FC00:0AA3::0023:0003:0300:300A:1234。

      5. 不支持输入通配网络地址0000:0000:0000:0000:0000:0000:0000:0000/0，如果需要表示全量IPv6地址，可以用以下两个子网来表示：

        1. 0000:0000:0000:0000:0000:0000:0000:0000/1

        2. 8000:0000:0000:0000:0000:0000:0000:0000/1

    规则长度限制

    规则输入框最大支持输入30 KB长度的字符，考虑到IP地址或者IP地址段的字符串长度有长有短，如果按平均长度来算，最多可配置大约700个IPv6地址/地址段或者2000个IPv4地址/地址段。如果您有更多的IP地址封禁需求，请开通ESA安全防护功能（支持海量IP封禁和按区域封禁服务），具体操作方法，请参见CDN、DCDN和ESA的功能对照和IP访问规则配置。

    IP规则

    支持选择以下三种规则：

    • 使用用户的x-forwarded-for请求头作为判断依据（默认规则）

      当客户端均通过可信代理访问，且代理会正确设置x-forwarded-for头时，推荐使用该规则。

    • 使用真实建连IP作为判断依据

      当客户端直接连接CDN，无中间代理服务器；或希望基于代理服务器IP进行访问控制时，推荐使用该规则。

    • 同时使用x-forwarded-for和真实建连IP作为判断依据

      当客户端为混合网络环境，部分用户直连，部分用户通过代理访问时，推荐使用该规则。

    如果x-forwarded-for请求头没有携带IP的话，将使用建联IP。

  7. 单击确定，完成配置。

常见问题

相关API

批量配置域名：调用BatchSetDcdnDomainConfigs进行批量域名配置，通过设置ip_black_list_set和ip_allow_list_set分别指定IP黑名单和IP白名单。

上一篇：远程鉴权下一篇：配置User-Agent黑白名单