Tous les produits
Search

Ce produit

    CDN:Configurer une liste noire ou blanche d'adresses IP

    Centre de documentation

    CDN:Configurer une liste noire ou blanche d'adresses IP

    Dernière mise à jour :Sep 10, 2026

    Lorsque votre service subit des abus de trafic malveillants basés sur les adresses IP ou des attaques ciblées, configurez une liste noire ou blanche d'adresses IP afin de filtrer les requêtes au niveau des nœuds périphériques CDN en fonction de leur source. Cette fonctionnalité permet soit de restreindre l'accès aux seules adresses IP de confiance via une liste blanche, soit de bloquer précisément les adresses IP malveillantes connues via une liste noire, protégeant ainsi les ressources d'origine et réduisant les risques de sécurité.

    Cas d'utilisation

    Choisissez une liste blanche ou noire d'adresses IP selon les scénarios suivants :

    Configuration

    Cas d'utilisation

    Liste blanche d'adresses IP

    • Protéger les données internes sensibles : Autorisez uniquement certaines adresses IP à accéder aux données ou ressources sensibles afin de garantir la sécurité des données.

    • S'intégrer à des services tiers : Assurez-vous que seules les adresses IP des services tiers de confiance peuvent accéder aux ressources CDN.

    Liste noire d'adresses IP

    • Prévenir les attaques malveillantes : Si une adresse IP envoie fréquemment des requêtes anormales, ajoutez-la à la liste noire pour empêcher cette adresse IP malveillante d'accéder à vos ressources.

    • Limiter l'accès par région : Bloquez les adresses IP provenant de régions à haut risque, telles que les pays soumis à des restrictions politiques spécifiques, en ajoutant les plages d'adresses IP de ces pays ou régions à la liste noire.

    Facturation

    La configuration d'une liste noire ou blanche d'adresses IP est gratuite, mais les requêtes bloquées engendrent tout de même des frais mineurs.

    • Principe de facturation : Le blocage intervient lors du traitement des requêtes HTTP au niveau de la couche 7. À ce stade, le nœud CDN a déjà traité la requête et consommé des ressources.

    • Éléments facturables :

      • Frais de trafic : Une requête bloquée génère du trafic correspondant à une requête (incluant les en-têtes HTTP) et à une réponse (la page 403). Ce trafic est facturé selon le tarif standard du trafic CDN.

      • Frais de requêtes HTTPS : Si le nom de domaine utilise HTTPS, la négociation TLS s'effectue avant le blocage basé sur l'adresse IP. Par conséquent, chaque requête HTTPS bloquée est toujours comptabilisée comme une requête HTTPS à des fins de facturation.

    Points à prendre en compte

    Important

    IP Blacklist/Whitelist et Referer Blacklist/Whitelist sont des entrées de configuration distinctes dans le module de contrôle d'accès. Ne les confondez pas :

    • IP Blacklist/Whitelist : Contrôle l'accès en fonction des adresses IP source. Le champ de règle prend en charge les adresses IPv4 ou IPv6 et les blocs CIDR, tels que 1.1.1.0/24. Chemin de configuration : Domain Names > Access Control > IP Blacklist/Whitelist.

    • Referer Blacklist/Whitelist : Contrôle le hotlinking en fonction de l'en-tête HTTP Referer. Le champ de règle ne prend en charge que les noms de domaine ou les URL, et non les adresses IP. Chemin de configuration : Domain Names > Access Control > Referer Blacklist/Whitelist.

    Pour contrôler l'accès par adresse IP, utilisez IP Blacklist/Whitelist. Ne saisissez pas d'adresse IP ni de bloc CIDR dans le champ de règle de Referer Blacklist/Whitelist. Dans le cas contraire, le système renvoie l'erreur de validation du format de paramètre InvalidArgValue.Malformed.

    Les points suivants s'appliquent également aux configurations de listes noires et blanches d'adresses IP :

    • Un nom de domaine ne peut comporter qu'une seule règle de liste noire ou de liste blanche d'adresses IP. Ces deux types sont mutuellement exclusifs et ne peuvent pas être configurés simultanément.

    • Après avoir configuré une liste noire d'adresses IP, les requêtes provenant des adresses IP listées peuvent toujours atteindre le nœud CDN DCDN, mais celui-ci les rejette et renvoie un code d'état 403. Les journaux CDN enregistrent les requêtes provenant de ces adresses IP. Cela n'indique pas que la liste noire est inefficace.

    • Dans certaines régions, un petit nombre de fournisseurs d'accès à Internet (FAI) peuvent attribuer des adresses IP privées aux utilisateurs finaux. Par conséquent, le nœud CDN DCDN reçoit l'adresse IP privée de l'utilisateur.

      Remarque

      Les adresses IP privées relèvent des trois plages suivantes :

      • Adresses IP privées de classe A : 10.0.0.0–10.255.255.255. Masque de sous-réseau : 10.0.0.0/8.

      • Adresses IP privées de classe B : 172.16.0.0–172.31.255.255. Masque de sous-réseau : 172.16.0.0/12.

      • Adresses IP privées de classe C : 192.168.0.0–192.168.255.255. Masque de sous-réseau : 192.168.0.0/16.

    Procédure

    1. Connectez-vous à la console CDN.

    2. Sur la page Domain Names, localisez le nom de domaine cible et cliquez sur Manage dans la colonne Actions.

    3. Dans le volet de navigation du domaine, cliquez sur Access Control.

    4. Dans la section IP Blacklist/Whitelist, cliquez sur Modify Configuration.

    5. Configurez rapidement une règle en vous inspirant des exemples suivants. Vous pouvez également consulter la section Paramètres et ajouter une configuration adaptée à votre activité.

      • Exemple 1 : Protéger un backend d'administration (liste blanche + Rule Engine)

        • Objectif : Autoriser uniquement les adresses IP de sortie du bureau 203.x.x.10 et 203.x.x.11 à accéder au chemin /admin/.

        • Configuration :

          • Type : Sélectionnez Whitelist.

          • Rule : Saisissez 203.x.x.10 et 203.x.x.11 sur des lignes séparées.

          • Advanced Settings - IP Rule : Sélectionnez Determine based on the IP address that is used to connect to the POP.

          • Advanced Settings - Rule Condition : Sur la page Rule Engine, configurez une règle qui correspond lorsque l'URI contient n'importe quelle occurrence de /admin/*, sans distinction de casse. Sélectionnez ensuite cette règle comme condition de règle.

            Rule condition configuration

        • Résultat : Seules les requêtes provenant de ces deux adresses IP peuvent accéder au répertoire /admin/. Les requêtes provenant de toutes les autres adresses IP vers ce répertoire sont rejetées avec un code d'état 403.

      • Exemple 2 : Autoriser l'accès depuis un bloc CIDR IPv6 d'un partenaire (liste blanche)

        • Objectif : Autoriser l'accès uniquement depuis le bloc CIDR IPv6 du partenaire FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

        • Configuration :

          1. Type : Sélectionnez Whitelist.

          2. Rule : Saisissez FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

          3. Advanced Settings - IP Rule : Sélectionnez Determine based on the IP address that is used to connect to the POP.

        • Résultat : Seules les requêtes provenant de cette plage d'adresses IPv6 peuvent accéder aux ressources de votre domaine.

      • Exemple 3 : Bloquer immédiatement une source d'attaque (liste noire)

        • Objectif : Une attaque CC est détectée depuis le bloc CIDR 198.x.x.0/24 et doit être bloquée immédiatement.

        • Configuration :

          1. Type : Sélectionnez Blacklist.

          2. Rule : Saisissez 198.x.x.0/24.

          3. Advanced Settings - IP Rule : Sélectionnez Use the actual connection IP address as the basis for evaluation.

        • Résultat : Le nœud CDN rejette toutes les requêtes IP provenant du bloc CIDR 198.x.x.0/24.

    Paramètres

    Le tableau suivant décrit les paramètres d'une liste noire ou blanche d'adresses IP :

    Paramètre

    Description

    Type

    Sélectionnez Blacklist ou Whitelist.

    • Blacklist : Les adresses IP figurant dans la liste se voient refuser l'accès et reçoivent un code d'état 403.

    • Whitelist : Seules les adresses IP figurant dans la liste sont autorisées à accéder aux ressources. Toutes les autres adresses IP sont refusées.

    Rule

    Exigences de format de la règle

    1. Vous pouvez saisir des adresses IP ou des blocs CIDR.

    2. Séparez plusieurs adresses IP ou blocs CIDR par des sauts de ligne.

    3. Les adresses IPv4 et les blocs CIDR sont pris en charge :

      1. Exemple d'adresse IPv4 : 192.168.0.1.

      2. Exemple de bloc CIDR IPv4 : 192.168.0.0/24.

      3. Le bloc CIDR générique 0.0.0.0/0 n'est pas pris en charge. Pour représenter toutes les adresses IPv4, utilisez les deux blocs CIDR suivants :

        1. 0.0.0.0/1

        2. 128.0.0.0/1

    4. Les adresses IPv6 et les blocs CIDR sont pris en charge :

      1. Exemple d'adresse IPv6 : FC00:AA3:0:23:3:300:300A:1234.

      2. Exemple de bloc CIDR IPv6 : FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

      3. La casse des lettres dans une adresse n'est pas significative. Les majuscules, les minuscules et les combinaisons des deux sont prises en charge. Exemples : FC00:AA3:0:23:3:300:300A:1234 et fc00:0aa3:0000:0023:0003:0300:300a:1234.

      4. L'abréviation :: n'est pas prise en charge. Par exemple, FC00:0AA3::0023:0003:0300:300A:1234 n'est pas pris en charge.

      5. Le bloc CIDR générique 0000:0000:0000:0000:0000:0000:0000:0000/0 n'est pas pris en charge. Pour représenter toutes les adresses IPv6, utilisez les deux blocs CIDR suivants :

        1. 0000:0000:0000:0000:0000:0000:0000:0000/1

        2. 8000:0000:0000:0000:0000:0000:0000:0000/1

    Limite de longueur de la règle

    Le champ de saisie de la règle prend en charge jusqu'à 30 Ko de caractères. Étant donné que les adresses IP et les blocs CIDR varient en longueur, le champ peut contenir environ 700 adresses ou blocs CIDR IPv6, ou environ 2 000 adresses ou blocs CIDR IPv4, sur la base des longueurs moyennes des entrées. Si vous devez bloquer davantage d'adresses IP, activez la fonctionnalité de protection de sécurité ESA, qui prend en charge le blocage d'adresses IP à grande échelle et le blocage basé sur la région. Pour plus d'informations, consultez Comparaison des fonctionnalités CDN, DCDN et ESA et Configurer une règle d'accès IP.

    IP Rule

    Sélectionnez l'une des trois règles suivantes :

    1. Utiliser l'en-tête de requête x-forwarded-for de l'utilisateur comme base d'évaluation (par défaut)

      Cette règle est recommandée lorsque tous les clients accèdent au CDN via des proxys de confiance qui définissent correctement l'en-tête x-forwarded-for.

    2. Utiliser l'adresse IP de connexion réelle comme base d'évaluation

      Cette règle est recommandée lorsque les clients se connectent directement au CDN sans serveur proxy intermédiaire, ou lorsque vous souhaitez contrôler l'accès en fonction de l'adresse IP du serveur proxy.

    3. Utiliser à la fois x-forwarded-for et l'adresse IP de connexion réelle comme base d'évaluation

      Cette règle est recommandée pour un environnement réseau mixte dans lequel certains utilisateurs se connectent directement et d'autres accèdent au CDN via des proxys.

    Rule Condition

    Une condition de règle identifie diverses informations de paramètre dans une requête utilisateur. Cela détermine si une configuration prend effet pour cette requête.

    Important

    Lorsque vous référencez des conditions de règle, elles sont mises en correspondance en fonction de la priorité des conditions de règle associées, et non de l'ordre de configuration de la fonctionnalité elle-même.

    • Ne pas utiliser : N'utilise pas de condition de règle.

    • Pour ajouter ou modifier des conditions de règle, gérez-les dans le Rules Engine.

    Pour aller plus loin : Comment Alibaba Cloud CDN identifie les adresses IP des clients

    Les nœuds CDN identifient les adresses IP des clients de deux manières. Chacune présente des avantages et des inconvénients :

    • Adresse IP de connexion réelle (adresse IP de connexion TCP)

      • Définition : L'adresse IP que le client utilise pour établir une connexion TCP avec le nœud périphérique CDN.

      • Avantage : L'adresse ne peut pas être falsifiée et offre le niveau de sécurité le plus élevé.

      • Inconvénient : Si un utilisateur accède au CDN via un proxy, tel qu'une sortie de réseau d'entreprise ou un dispositif NAT, cette adresse correspond à l'adresse IP du serveur proxy et ne reflète pas la source réelle du client.

    • En-tête de requête X-Forwarded-For (XFF)

      • Définition : Un en-tête de requête HTTP qui enregistre l'adresse IP de chaque serveur proxy par lequel passe une requête. Le CDN utilise généralement l'adresse IP la plus à gauche comme adresse IP du client.

      • Avantage : L'en-tête permet d'identifier l'adresse IP réelle du client à travers les proxys.

      • Inconvénient : Un client peut falsifier cet en-tête, ce qui pose un risque de sécurité sérieux. Un utilisateur malveillant peut falsifier l'en-tête XFF pour contourner le contrôle d'accès basé sur cette adresse IP.

    Lorsqu'un client accède directement au CDN, ces deux adresses IP sont généralement identiques. Si le client accède au CDN via un serveur proxy, les adresses diffèrent. Par exemple, si l'adresse IP réelle du client est 10.10.10.10 et l'adresse IP du serveur proxy est 192.168.0.1 :

    • La valeur de l'en-tête de requête X-Forwarded-For peut être 10.10.10.10, 192.168.0.1.

    • L'adresse IP réelle du client est 10.10.10.10.

    • L'adresse IP de connexion réelle est 192.168.0.1.

    Pour les méthodes d'identification d'adresse IP précédentes, le CDN propose trois modes de vérification afin d'équilibrer la sécurité et la flexibilité métier.

    Mode de vérification de l'adresse IP

    Cas d'utilisation

    Fonctionnement

    Évaluation de la sécurité

    Utiliser l'en-tête de requête x-forwarded-for de l'utilisateur comme base d'évaluation (par défaut)

    Tous les clients accèdent au CDN via des proxys de confiance qui définissent correctement l'en-tête XFF.

    Seule l'adresse IP la plus à gauche dans l'en-tête de requête x-forwarded-for est extraite et mise en correspondance.

    L'en-tête de requête x-forwarded-for peut être falsifié par les clients. Un utilisateur malveillant peut facilement contourner les restrictions de la liste noire.

    Utiliser l'adresse IP de connexion réelle comme base d'évaluation

    Les clients se connectent directement au CDN sans serveur proxy intermédiaire, ou l'accès doit être contrôlé en fonction de l'adresse IP du serveur proxy.

    Seule l'adresse IP utilisée par le client pour établir la connexion TCP avec le nœud CDN est mise en correspondance.

    L'adresse IP de connexion ne peut pas être falsifiée et offre la protection la plus fiable.

    Utiliser à la fois x-forwarded-for et l'adresse IP de connexion réelle comme base d'évaluation

    Un environnement réseau mixte dans lequel certains utilisateurs se connectent directement et d'autres accèdent au CDN via des proxys.

    Liste noire : Une requête est bloquée si l'adresse IP dans l'en-tête x-forwarded-for ou l'adresse IP de connexion réelle correspond à la règle.

    Liste blanche : Une requête est autorisée si l'adresse IP dans l'en-tête x-forwarded-for ou l'adresse IP de connexion réelle correspond à la règle.

    Ce mode combine la flexibilité de l'identification des adresses IP réelles des clients avec la sécurité des adresses IP de connexion et constitue le meilleur choix pour la plupart des scénarios.

    FAQ