FAQ sur la configuration des fonctionnalités de contrôle d'accès - CDN

Cette rubrique récapitule les questions fréquentes relatives à la configuration des fonctionnalités de contrôle d'accès, telles que les listes noires et blanches d'adresses IP, la protection contre le hotlinking basée sur le Referer, la signature d'URL et l'authentification distante. Pour résoudre les problèmes tels que les réponses HTTP 403 ou un trafic anormal, consultez le guide de dépannage du contrôle d'accès.

Listes noires et blanches d'adresses IP et protection de l'origine

Lors de la configuration d'une liste noire ou blanche d'adresses IP, une plage d'adresses IP compte-t-elle comme une seule entrée ou plusieurs ?

CDN DCDN Lorsque vous configurez une liste noire ou blanche d'adresses IP, vous pouvez ajouter jusqu'à environ 700 adresses ou plages d'adresses IPv6 et 2 000 adresses ou plages d'adresses IPv4.

Une plage d'adresses IP compte pour une seule entrée.

Je dois ajouter CDN à la liste blanche de mon serveur d'origine. Puis-je obtenir les adresses IP des nœuds qu'Alibaba Cloud CDN utilise pour accéder à mon origine ?

Si votre bande passante de pointe quotidienne est supérieure ou égale à 1 Gbit/s, Soumettez un ticket pour demander l'autorisation d'appeler l'opération API DescribeL2VipsByDomain. Celle-ci renvoie les adresses IP des nœuds L2 pour le nom de domaine spécifié (c'est-à-dire la liste des adresses IP de récupération depuis l'origine).

Si vous ne remplissez pas cette condition, nous vous recommandons de migrer vers ESA et d'utiliser la fonctionnalité Origin Protection. Elle vous permet d'obtenir la liste des adresses IP des nœuds de récupération depuis l'origine directement dans la console.

Pourquoi une adresse IP figurant dans la liste noire peut-elle encore accéder à mes ressources ?

Le service CDN agit en tant que serveur et ne peut pas contrôler les connexions initiées par les clients. Après avoir configuré une liste noire d'adresses IP, les requêtes provenant d'une adresse IP blacklistée renvoient le code d'erreur 403 lorsqu'elles atteignent les nœuds CDN. Les journaux CDN enregistrent toujours ces requêtes. Pour plus d'informations sur la consultation des journaux, consultez la rubrique Télécharger les journaux.

Remarque : Lorsqu'un code HTTP 403 est renvoyé, aucun contenu de ressource réel ne sort : seuls les en-têtes de réponse sont transférés. Des frais de trafic minimes sont toutefois facturés. Le délai des journaux standard est généralement inférieur à 24 heures. Si vous devez analyser rapidement les blocages effectués par la liste noire, nous vous recommandons d'activer la fonctionnalité de journaux en temps réel. Celle-ci pousse les journaux collectés vers Log Service en temps réel pour analyse.

Comment obtenir l'adresse IP réelle d'un client ?

Après avoir activé CDN, vous pouvez obtenir l'adresse IP réelle d'un client à partir du champ X-Forwarded-For. Pour plus d'informations, consultez la rubrique Récupérer les adresses IP d'origine des clients.

Signature d'URL et authentification distante

Puis-je activer simultanément la signature d'URL et l'authentification distante d'Alibaba Cloud CDN ?

Oui. Vous pouvez activer simultanément la signature d'URL et l'authentification distante d'Alibaba Cloud CDN. Les requêtes passent d'abord par la vérification de la signature d'URL, puis par l'authentification distante.

L'authentification distante prend-elle en charge la configuration du serveur d'authentification avec une adresse interne ?

Non. Le serveur d'authentification distante doit être configuré avec une adresse publique.

Si le code d'état renvoyé par le serveur d'authentification n'est ni un code de succès ni un code d'échec, pourquoi CDN autorise-t-il la requête par défaut ?

Afin d'éviter que des situations anormales ne bloquent toutes les requêtes des utilisateurs, le nœud CDN autorise la requête utilisateur par défaut si le code d'état renvoyé par le serveur d'authentification n'est ni un code de succès ni un code d'échec. Par exemple, si le code de succès pour l'authentification est défini sur 200 et que le serveur d'authentification renvoie 201, la requête est autorisée.

Configurez le paramètre Allow Other Status Codes dans la console pour choisir d'autoriser ou non les autres codes d'état renvoyés par le serveur d'authentification.

CDN autorise-t-il directement toutes les requêtes lorsque le serveur d'authentification distante échoue ou tombe en panne ?

Non. Lorsque le serveur d'authentification distante échoue ou tombe en panne, l'échange de données entre CDN et le serveur d'authentification expire. CDN décide alors s'il faut autoriser les requêtes utilisateur ayant expiré lors de l'authentification, en fonction du paramètre Action After Timeout configuré.