Edge Security Acceleration:Configurar una lista negra o lista blanca de direcciones IP

Notas de uso

• Esta función está deshabilitada de forma predeterminada. La lista negra y la lista blanca de direcciones IP son mutuamente excluyentes, por lo que solo se configura una a la vez. Para cambiar de un tipo a otro, primero elimine la lista existente y luego cree una nueva del tipo opuesto.

• Después de configurar una lista negra de direcciones IP, las solicitudes provenientes de esas direcciones aún llegan a los POP de CDNDCDN. Sin embargo, los POP rechazan dichas solicitudes y devuelven un código de estado HTTP 403. Los registros de CDN y DCDN registran estas solicitudes, pero esto no significa que la lista negra de IP sea ineficaz.

• La función de lista negra o lista blanca de direcciones IP utiliza tecnología de reconocimiento de IP HTTP de capa 7. Por ello, se generan pequeñas tarifas de tráfico cuando los nodos de DCDN bloquean solicitudes maliciosas. Si un cliente accede mediante el protocolo HTTPS, también se generan tarifas de solicitudes HTTPS, ya que el bloqueo de direcciones IP maliciosas consume recursos de procesamiento de los nodos de DCDN.

• Algunos proveedores de servicios de Internet (ISP) en ciertas regiones asignan direcciones IP privadas a los clientes. En estos casos, los POP de CDNDCDN podrían recibir solicitudes desde la dirección IP privada de un usuario.

  Nota The three private IP address ranges are:

  • Class A private IP addresses: 10.0.0.0 to 10.255.255.255, subnet mask: 10.0.0.0/8

  • Class B private IP addresses: 172.16.0.0 to 172.31.255.255, subnet mask: 172.16.0.0/12

  • Class C private IP addresses: 192.168.0.0 to 192.168.255.255, subnet mask: 192.168.0.0/16

Procedimiento

1. Inicie sesión en la consola de DCDN.

2. En el panel de navegación izquierdo, haga clic en Domain Names.

3. En la página Domain Names, busque el nombre de dominio deseado y haga clic en Configure.

4. En el árbol de navegación izquierdo del nombre de dominio, haga clic en Access Control.

5. Haga clic en la pestaña IP Blacklist or Whitelist.

6. En la pestaña IP Blacklist or Whitelist, haga clic en Modify y luego configure una Blacklist o una Whitelist de IP en la página Rules.

   Nota

   Si ya configuró una lista negra o lista blanca de IP y desea cambiar al otro tipo, primero debe eliminar la lista existente. Por ejemplo, si tiene una lista blanca de IP activa y hace clic en Modify para cambiar el tipo a Blacklist, el sistema muestra un mensaje de error similar al siguiente: "You have an existing IP whitelist. To switch to an IP blacklist, delete the existing IP whitelist." Elimine primero la lista actual y después cree una nueva del tipo deseado; para ello, vuelva a hacer clic en Modify.

   Parámetro	Descripción
   Type	Se admiten a continuación tipos de lista: Blacklist Las direcciones IP incluidas en la lista negra no pueden acceder a ningún recurso del nombre de dominio acelerado. Whitelist Solo las direcciones IP de la lista blanca pueden acceder a los recursos del nombre de dominio acelerado. El resto de las direcciones IP se bloquean.
   Rules	Requisitos de formato Introduzca direcciones IP individuales o rangos de direcciones IP con notación CIDR. Separe varias entradas con saltos de línea. Son compatible direcciones IPv4 y bloques CIDR: Ejemplo de dirección IPv4: 192.168.0.1. Ejemplo de bloque CIDR IPv4: 192.168.0.0/24. No es compatible la dirección comodín 0.0.0.0/0. Para especificar todas las direcciones IPv4, utilice las dos subredes a continuación: 0.0.0.0/1 128.0.0.0/1 Son compatible direcciones IPv6 y bloques CIDR: Ejemplo de dirección IPv6: FC00:AA3:0:23:3:300:300A:1234. Ejemplo de bloque CIDR IPv6: FC00:0AA3:0000:0000:0000:0000:0000:0000/48. Las letras de las direcciones IPv6 no distinguen entre mayúsculas y minúsculas. Por ejemplo, FC00:AA3:0:23:3:300:300A:1234 y fc00:0aa3:0000:0023:0003:0300:300a:1234 son equivalentes. No es compatible el formato comprimido ::. Por ejemplo, FC00:0AA3::0023:0003:0300:300A:1234 no es válido. No es compatible la dirección comodín 0000:0000:0000:0000:0000:0000:0000:0000/0. Para especificar todas las direcciones IPv6, utilice las dos subredes a continuación: 0000:0000:0000:0000:0000:0000:0000:0000/1 8000:0000:0000:0000:0000:0000:0000:0000/1 Límite de longitud de la regla El campo de la regla tiene un límite de 30 KB. Según la longitud promedio de las cadenas de direcciones IP y bloques CIDR, puede introducir aproximadamente 700 entradas IPv6 o 2,000 entradas IPv4. Para bloquear una cantidad mayor de direcciones IP, utilice Edge Security Accelerator (ESA), que es compatible el bloqueo masivo de IP y el bloqueo por región. Para obtener más información, consulte CDN, DCDN, and ESA: Feature comparison y IP access rules.
   Reglas de IP	Seleccione una de las tres reglas a continuación: Usar el encabezado X-Forwarded-For para la verificación (regla predeterminada) Se recomienda esta regla cuando todos los clientes acceden a su servicio a través de servidores proxy de confianza que establecen correctamente el encabezado X-Forwarded-For. Usar la IP de conexión real para la verificación Esta opción es adecuada cuando los clientes se conectan directamente a DCDN sin servidores proxy intermedios, o cuando desea controlar el acceso según la dirección IP de un servidor proxy. Usar tanto el encabezado X-Forwarded-For como la IP de conexión real para la verificación Esta opción es adecuada para entornos de red mixtos donde algunos usuarios se conectan directamente y otros utilizan servidores proxy. Si el encabezado X-Forwarded-For no contiene una dirección IP, el sistema utiliza la IP de conexión real.

7. Haga clic en OK para guardar la configuración.

Preguntas frecuentes

• IP address blacklists and whitelists have a limit on the number of entries. Does an IP address range count as one entry or multiple?

• Why can an IP address on the blacklist still access resources?

• How do I obtain the real client IP address?

• I need to add DCDN to the access whitelist on my origin server. Can I get a list of DCDN POP IP addresses?

Referencia de API

BatchSetDcdnDomainConfigs: Utilice la operación BatchSetDcdnDomainConfigs para configurar varios nombres de dominio en una sola llamada. Use los parámetros ip_black_list_set e ip_allow_list_set para especificar la lista negra y la lista blanca de direcciones IP, respectivamente.