Untuk melindungi server origin Anda, Anda dapat memperoleh alamat IP kembali ke asal dari POP Alibaba Cloud CDN dan menambahkannya ke daftar putih pada server origin. Konfigurasi ini memastikan bahwa hanya lalu lintas kembali ke asal dari Alibaba Cloud CDN yang dapat mengakses server origin Anda.
Perbedaan antara alamat IP node edge dan alamat IP asal
Alibaba Cloud CDN menggunakan dua jenis alamat IP. Memahami perbedaannya membantu Anda mengonfigurasi daftar putih yang tepat atau melakukan troubleshooting masalah.
Jenis | Deskripsi | Kasus penggunaan | Cara memperoleh |
IP kembali ke asal (node L2) | Alamat IP yang digunakan oleh POP CDN untuk mengambil konten dari server origin Anda. Dialokasikan secara dinamis. | Mengonfigurasi daftar putih server origin (grup keamanan ECS, kontrol akses SLB, Cloud Firewall). | Panggil operasi DescribeL2VipsByDomain. Memerlukan bandwidth puncak harian minimal 1 Gbps. Kirim tiket untuk meminta akses. |
IP Edge node (node L1) | Alamat IP yang dihubungi pengguna akhir saat mengakses konten yang dipercepat CDN. Dialokasikan secara dinamis. | Troubleshooting sisi klien, persyaratan kepatuhan. | Panggil operasi |
Anda juga dapat menjalankan perintah nslookup atau dig untuk mengurai nama domain yang dipercepat dan memperoleh alamat IP node edge yang saat ini dialokasikan oleh sistem penjadwalan. Hasil ini hanya merepresentasikan snapshot sesaat.
nslookup your-domain.example.com
# or
dig your-domain.example.comAlibaba Cloud CDN secara dinamis mengalokasikan alamat IP untuk POP-nya selama permintaan asal. Oleh karena itu, kami sangat menyarankan agar Anda tidak mengonfigurasi daftar putih IP tetap pada server origin Anda, karena hal ini dapat menyebabkan kegagalan permintaan kembali ke asal.
Jika Anda harus mengonfigurasi daftar putih untuk kebutuhan khusus—misalnya, karena memiliki perangkat lunak keamanan seperti SafeDog yang terpasang pada server origin—panggil operasi Query L2 POP IP Addresses untuk mendapatkan daftar terbaru alamat IP POP kembali ke asal. Tambahkan daftar ini ke daftar putih pada server origin Anda guna memastikan akses yang tepat.
Catatan: API ini hanya tersedia bagi pengguna dengan bandwidth puncak harian minimal 1 Gbps. Jika Anda memenuhi persyaratan tersebut, kirim tiket untuk meminta akses.
Praktik terbaik keamanan server origin
Karena alamat IP kembali ke asal CDN dialokasikan secara dinamis, mengandalkan daftar putih IP saja tidak disarankan. Pertimbangkan alternatif berikut:
Identifikasi berdasarkan Header HTTP: Selama permintaan kembali ke asal, CDN menambahkan header HTTP
ali-cdn-real-ipyang berisi alamat IP klien sebenarnya. Server origin Anda dapat mengidentifikasi dan mengizinkan permintaan kembali ke asal CDN yang sah dengan memeriksa header ini, bukan bergantung pada daftar putih IP.Perlindungan hotlink berbasis Referer: Konfigurasikan daftar putih atau blacklist Referer untuk mengontrol akses ke sumber daya Anda. Metode ini tidak bergantung pada alamat IP.
Penandatanganan URL: Aktifkan penandatanganan URL untuk menghasilkan URL yang ditandatangani dan berlaku terbatas waktu. Hanya permintaan dengan tanda tangan valid yang dapat mengakses server origin Anda.
Otentikasi berbasis timestamp: Tambahkan parameter timestamp ke URL sehingga akses kedaluwarsa setelah periode tertentu.
Metode-metode ini lebih sesuai dengan model alokasi IP dinamis CDN dan memberikan perlindungan server origin yang lebih andal.
FAQ
Apa saja batasan API DescribeL2VipsByDomain?
API DescribeL2VipsByDomain memiliki batasan berikut:
Batasan | Deskripsi |
Ambang batas bandwidth | Hanya pengguna dengan bandwidth puncak harian minimal 1 Gbps yang dapat memanggil API ini. Anda harus mengirim tiket untuk meminta akses. |
Granularitas kueri | API ini tidak mendukung kueri batch untuk beberapa domain. Anda hanya dapat mengkueri satu nama domain yang dipercepat per permintaan. |
Lingkup | API ini hanya mengembalikan alamat IP node kembali ke asal L2. API ini ditujukan untuk skenario di mana Anda perlu mengonfigurasi daftar putih pada server origin (seperti grup keamanan ECS, daftar kontrol akses SLB, atau aturan Cloud Firewall). |
Bagaimana cara mengonfigurasi aturan izin pengambilan asal CDN di Cloud Firewall atau WAF?
Jika server origin Anda dilindungi oleh Cloud Firewall atau Web Application Firewall (WAF), konfigurasikan aturan berikut untuk mengizinkan lalu lintas kembali ke asal CDN atau ESA:
Peroleh alamat IP asal:
Untuk CDN, panggil operasi DescribeL2VipsByDomain.
Untuk ESA, buka Konsol ESA dan navigasikan ke manajemen situs untuk melihat serta mengekspor daftar IP kembali ke asal. ESA menyediakan fitur proteksi origin sendiri dengan daftar IP bawaan.
Konfigurasikan aturan masuk: Di Cloud Firewall atau WAF, buat aturan izin masuk untuk alamat IP kembali ke asal. Jika tidak ada port kembali ke asal kustom yang dikonfigurasi, port default-nya adalah 80 (HTTP) dan 443 (HTTPS).
Konfigurasikan aturan keluar (jika berlaku): Jika jaringan Anda memiliki kebijakan kontrol lalu lintas arah keluar, konfigurasikan juga aturan izin arah keluar untuk alamat IP asal.
Jika permintaan asal CDN diblokir oleh WAF dan Anda tidak dapat menyediakan alamat IP tetap untuk daftar putih, pertimbangkan untuk migrasi ke ESA. ESA mengintegrasikan proteksi WAF dan mendukung manajemen IP server origin yang lebih fleksibel.
Mengapa alamat IP dalam log akses CDN atau log server origin berbeda dari alamat IP klien sebenarnya?
Ini merupakan perilaku yang diharapkan akibat mekanisme kembali ke asal CDN:
Saat node edge CDN tidak memiliki konten yang diminta dalam cache (cache miss), node kembali ke asal (node L2) mengirim permintaan ke server origin atas nama pengguna. Alamat IP yang dicatat dalam log server origin adalah IP node kembali ke asal, bukan IP klien sebenarnya.
Log akses CDN juga mencatat IP node kembali ke asal untuk permintaan semacam itu, bukan IP pengguna akhir.
Untuk memperoleh alamat IP klien sebenarnya, uraikan header HTTP berikut alih-alih mengandalkan IP koneksi:
X-Forwarded-For: Berisi IP klien dan alamat IP server proxy sepanjang jalur permintaan. Alamat IP pertama biasanya merupakan IP klien sebenarnya.ali-cdn-real-ip: Header khusus Alibaba Cloud CDN yang berisi alamat IP klien sebenarnya.
Apakah Alibaba Cloud menyediakan daftar alamat IP statis untuk CDN atau layanan API?
Alamat IP CDN: Alibaba Cloud tidak menyediakan daftar statis alamat IP CDN (domestik maupun global). Alamat IP CDN dialokasikan secara dinamis dan berubah secara real time. Dukungan pelanggan tidak dapat memberikan daftar IP statis.
Alamat IP titik akhir layanan API CDN: Titik akhir layanan API CDN tidak memiliki alamat IP tetap. Jika lingkungan jaringan Anda memiliki pembatasan arah keluar yang ketat, konfigurasikan server proxy dan tambahkan alamat IP server proxy tersebut ke daftar putih Anda. Arahkan permintaan API melalui proxy tersebut.