Kontrol akses CLB menyaring permintaan klien dengan menerapkan daftar putih atau blacklist IP pada listener tertentu.
Buat ACL
ACL adalah kumpulan entri IP. Kaitkan ACL dengan listener untuk menerapkan penyaringan berbasis daftar putih atau blacklist.
Konsol
Buka halaman Access Control di konsol CLB. Di bilah navigasi atas, pilih wilayah tempat instans target dideploy, lalu klik Create ACL.
Di panel Create ACL, masukkan ACL Name, pilih IP Version (IPv4 atau IPv6), tambahkan entri IP sesuai kebutuhan, lalu klik Create.
Instans IPv4 hanya mendukung ACL IPv4; instans IPv6 hanya mendukung ACL IPv6. Sesuaikan versi IP dengan instans CLB Anda.
API
Panggil CreateAccessControlList untuk membuat ACL.
Tambahkan entri IP
Tambahkan entri IP ke ACL yang sudah ada.
Konsol
Buka halaman Access Control di konsol CLB, lalu klik ID ACL target untuk membuka halaman detailnya. Tambahkan entri IP dengan salah satu cara berikut:
Tambahkan satu entri: Klik Add Entry. Di kotak dialog, masukkan IP Address/CIDR Block dan Remarks, lalu klik Add.
Tambahkan entri secara batch: Klik Add ACL Entries dan masukkan entri dalam format berikut:
Masukkan satu entri per baris. Tekan tombol Enter untuk memulai baris baru.
Pisahkan alamat IP atau blok CIDR dari deskripsinya dengan tanda pipa vertikal (|). Contohnya, 192.168.1.0/24|description.
Anda dapat menambahkan hingga 50 entri sekaligus.
Anda dapat menghapus atau mengekspor entri dari daftar entri.
API
Panggil AddAccessControlListEntry untuk menambahkan entri IP.
Panggil RemoveAccessControlListEntry untuk menghapus entri IP.
Aktifkan atau nonaktifkan kontrol akses
Kaitkan ACL dengan listener untuk mengaktifkan kontrol akses. Nonaktifkan kapan saja jika tidak lagi diperlukan.
Kontrol akses tidak berlaku jika ACL yang dikaitkan kosong — listener akan meneruskan semua permintaan terlepas dari mode daftar putih atau blacklist. Sebelum mengaktifkan daftar putih, pastikan ACL berisi alamat IP yang diizinkan untuk menghindari gangguan layanan.
Jika Anda mengaitkan beberapa ACL ke satu listener, entri IP di seluruh ACL tersebut tidak boleh tumpang tindih.
Konsol
Buka halaman Instances di konsol CLB. Di bilah navigasi atas, pilih wilayah tempat instans target dideploy, lalu klik ID instans tersebut.
Klik tab Listener. Temukan listener target, lalu di kolom ACL, klik Enable atau Close.
Enable: Di kotak dialog yang muncul, pilih Access Control Mode (Whitelist: Allows Specified IP Addresses to Access the SLB Instance atau Blacklist: Forbids Specified IP Addresses to Access the SLB Instance) dan ACL, lalu klik Save.
Close: Di kotak dialog konfirmasi, klik OK.
Anda juga dapat mengaktifkan atau menonaktifkan kontrol akses di bagian Access Control pada halaman detail listener.
Anda juga dapat mengaktifkan kontrol akses saat membuat listener.
API
Saat memanggil operasi API untuk membuat atau mengubah listener, seperti CreateLoadBalancerHTTPSListener atau SetLoadBalancerHTTPSListenerAttribute, konfigurasikan kontrol akses menggunakan parameter berikut:
AclStatus: Menentukan apakah kontrol akses diaktifkan. Nilai yang valid:
ondanoff.AclType: Jenis kontrol akses. Nilai yang valid:
white(daftar putih) danblack(blacklist).AclId: ID ACL yang dikaitkan.
FAQ
Mengapa daftar putih saya mengizinkan semua IP?
Penyebab: Kontrol akses dinonaktifkan pada listener, atau ACL yang dikaitkan kosong (ACL kosong mengizinkan seluruh traffic).
Solusi: Buka tab Listener pada instans CLB Anda. Pastikan kolom ACL untuk listener target menampilkan Enabled, dan konfirmasi bahwa ACL yang dikaitkan berisi entri IP.
Mengapa blacklist saya gagal memblokir IP?
Penyebab: Saat permintaan melewati proxy (CDN atau WAF), CLB melihat IP back-to-source proxy, bukan IP klien asli, sehingga aturan blacklist tidak cocok.
Solusi: Konfigurasikan blacklist di lapisan proxy (CDN atau WAF). Jika klien dapat melewati proxy, tambahkan daftar putih CLB yang hanya mengizinkan rentang IP back-to-source proxy.
Mengapa aturan allow/deny Nginx tidak efektif dengan listener Lapisan 7?
Penyebab: Listener Lapisan 7 CLB meneruskan traffic dari IP privat dalam rentang 100.64.0.0/10. Aturan allow/deny Nginx mencocokkan IP sumber, sehingga tidak dapat menyaring berdasarkan IP klien asli.
Solusi:
(Direkomendasikan) Gunakan kontrol akses CLB untuk mengonfigurasi daftar putih atau blacklist langsung pada instans.
Di Nginx, ekstrak IP klien asli dari header
X-Forwarded-Fordan konfigurasikan aturan allow/deny sesuai kebutuhan. Dapatkan IP klien asli di server backend melalui listener Lapisan 7 CLB.
Mengapa security group ECS tidak dapat memblokir traffic CLB?
Penyebab: CLB menggunakan rentang 100.64.0.0/10 untuk berkomunikasi dengan instans ECS backend. Secara desain, aturan inbound security group ECS tidak membatasi traffic dari rentang ini.
Solusi: Konfigurasikan ACL CLB untuk memblokir permintaan berdasarkan IP klien sebelum mencapai server backend.
Apa yang terjadi ketika permintaan diblokir?
Deskripsi: CLB membuang permintaan yang diblokir tanpa mengembalikan respons. Klien mengalami timeout koneksi.
Dapatkah daftar putih melindungi dari DDoS?
Deskripsi: Tidak. Traffic DDoS mengonsumsi bandwidth instans sebelum mencapai lapisan kontrol akses. Serangan parah dapat memicu blackholing.
Rekomendasi: Gunakan Anti-DDoS.
Mengapa kontrol akses CLB (blacklist/daftar putih) tidak berlaku?
Deskripsi: Kelompok kebijakan ACL mungkin telah dilampirkan ke listener, tetapi sakelar kontrol akses masih dinonaktifkan — hanya mengonfigurasi kelompok kebijakan tidak mengaktifkan kontrol akses. Selain itu, aturan port Cloud Firewall, perlindungan Anti-DDoS Origin, atau proxy multi-lapis yang menyembunyikan IP klien asli masing-masing dapat mencegah kontrol akses bekerja sebagaimana mestinya. Ikuti langkah-langkah berikut sesuai urutan prioritas.
Langkah 1: Verifikasi bahwa kontrol akses diaktifkan. Buka tab Listener pada instans CLB Anda. Di kolom ACL, pastikan status listener menampilkan Enabled. Kelompok kebijakan ACL dapat ada pada listener meskipun sakelar kontrol akses masih mati. Jika sakelar dinonaktifkan, klik Enable, pilih Whitelist: Allows Specified IP Addresses to Access the SLB Instance atau Blacklist: Forbids Specified IP Addresses to Access the SLB Instance sebagai jenis kontrol akses, kaitkan kelompok kebijakan ACL, lalu klik Save.
Langkah 2: Periksa aturan port Cloud Firewall. Jika Cloud Firewall diaktifkan pada akun Anda, login ke konsol Cloud Firewall dan pastikan port listener CLB diizinkan dalam kebijakan kontrol akses jaringan. Cloud Firewall dapat memblokir traffic pada port secara independen meskipun kontrol akses CLB telah diaktifkan dengan benar.
Langkah 3: Periksa pengaturan Anti-DDoS Origin. Jika instans CLB Anda dilindungi oleh Anti-DDoS, aturan perlindungan di lapisan Anti-DDoS dapat mengesampingkan entri blacklist di sisi CLB. Dalam kasus ini, konfigurasikan aturan daftar putih dan blacklist pada instans Anti-DDoS, bukan pada CLB.
Langkah 4: Identifikasi IP klien asli. Saat permintaan melewati beberapa lapisan proxy, CLB hanya melihat IP proxy upstream, bukan IP klien asli, sehingga aturan kontrol akses mungkin tidak cocok. Untuk menemukan IP klien asli: nonaktifkan sementara kontrol akses CLB, periksa log server backend atau aplikasi Anda untuk mengidentifikasi IP sumber aktual, tambahkan ke ACL, lalu aktifkan kembali kontrol akses.
Skema proxy multi-lapis
Saat proxy Lapisan 7 berada di depan CLB, kontrol akses hanya melihat IP back-to-source proxy upstream, bukan IP klien asli. Konfigurasikan kontrol akses di lapisan yang tepat. Tabel berikut menunjukkan IP sumber dan rekomendasi konfigurasi di setiap lapisan dalam integrasi WAF berbasis CNAME (Client → CDN → WAF → CLB → ECS).
Dalam mode proxy transparan, traffic dialihkan secara otomatis melalui WAF untuk inspeksi tanpa rentang IP back-to-source terpisah. Tidak diperlukan konfigurasi tambahan kontrol akses CLB.
Lapisan | IP sumber yang teramati | Rekomendasi |
WAF |
| Direkomendasikan: Konfigurasikan kontrol akses di lapisan ini. WAF memblokir berdasarkan IP client asli dan mendukung pemblokiran berbasis wilayah. |
CLB | IP back-to-source WAF. | Hanya izinkan rentang IP back-to-source WAF di CLB untuk mencegah penyerang melewati WAF. Lihat rentang IP back-to-source WAF di halaman Website Access di konsol WAF. |
Backend ECS | IP privat CLB (dari blok CIDR 100.64.0.0/10). | Jangan blokir 100.64.0.0/10 di firewall host (iptables, firewalld). Memblokir rentang ini akan mengganggu pemeriksaan kesehatan dan penerusan permintaan. |
Penagihan
Kontrol akses tidak dikenai biaya tambahan. Ikhtisar penagihan CLB.
Kuota
Anda dapat mengajukan peningkatan kuota untuk batasan berikut di Pusat Kuota.
Batasan | Nama kuota | Batas default | Tingkatkan kuota |
Jumlah ACL yang dapat dibuat oleh Akun Alibaba Cloud | slb_quota_acls_num | 200 | |
Jumlah entri yang dapat ditambahkan ke setiap ACL | slb_quota_acl_entries_num | 300 | |
Jumlah listener yang dapat dikaitkan dengan satu ACL | slb_quota_acl_attached_num | 50 |
Batasan berikut bersifat tetap dan tidak dapat ditingkatkan.
Batasan | Maksimum |
Jumlah ACL yang dapat dikaitkan dengan satu listener | 3 |
Total jumlah entri IP di seluruh ACL yang dikaitkan dengan satu listener | 1.000 |