ソース IP アドレスをブラックリスト (拒否) またはホワイトリスト (許可) に追加することで、ご利用の Anti-DDoS Proxy インスタンスにアクセスできる IP アドレスを制御します。この設定は、インスタンスに関連付けられているすべてのサービスに適用されます。
仕組み
Anti-DDoS Proxy は、IP ベースのアクセス制御リストを 2 種類保持しています：
ブラックリスト：ブラックリストに登録された IP アドレスからのリクエストは拒否されます。
ホワイトリスト：ホワイトリストに登録された IP アドレスからのリクエストは常に許可されます。
同じ IP アドレスが両方のリストに存在する場合、ホワイトリストが優先されます。
Anti-DDoS Proxy は、IP アドレスベースとドメイン名ベースの両方のブラックリストとホワイトリストをサポートしています：
IP アドレスベース (このトピック)：インスタンスに追加されたすべてのサービスに影響します。インスタンス全体でのアクセス制御が必要な場合に使用します。
ドメイン名ベース：特定のドメイン名にのみ影響します。これを使用する必要がある場合
誤検知のトラブルシューティング
通常のアクセスリクエストが予期せずブロックされた場合は、次の手順に従って原因を特定し、アクセスを復元してください。
ステップ 1：ブロックされた IP アドレスをホワイトリストに追加
左側のナビゲーションウィンドウで、[緩和設定] > [汎用ポリシー] を選択し、ブラックリストおよびホワイトリスト (宛先 IP) セクションを見つけ、設定の変更 をクリックします。ブラックリストとホワイトリスト設定 パネルで、ホワイトリスト を選択し、誤ってブロックされた IP アドレスを入力して (複数のアドレスを区切るにはカンマを使用します)、変更を保存します。IP アドレスがホワイトリストに追加されると、その IP アドレスからのリクエストは許可されます。
ステップ 2：フルログクエリを使用してリクエストをブロックした緩和モジュールを特定
複数の IP アドレスが誤ってブロックされた場合は、左側のナビゲーションウィンドウで [調査] > [フルログクエリ] に移動します。フルログクエリは付加価値サービスであり、使用する前に有効にする必要があります。リクエスト ID でブロックされたリクエストを検索し、返された結果の last_module フィールドを確認して、どの緩和モジュールがリクエストをブロックしたかを特定します。
last_module の有効な値：
値 | 説明 |
gfareaban | 地域ブラックリスト |
gfbwip | ブラックリストとホワイトリスト |
gfacl | カスタム緩和ポリシー |
gfcc | HTTP フラッド対策モード |
gfglobal | グローバル緩和ポリシー |
ステップ 3：ブロッキングモジュールを無効化または調整
last_module によって特定されたモジュールに基づいて、[緩和設定] ページで対応するポリシーを調整します。たとえば、ドロップダウンリストからグローバル緩和ポリシーの保護レベルを調整したり、地域ブラックリストをオフにしたり、HTTP フラッド対策のために [Web サイトの保護] タブの設定を更新したりします。
有効期間
リストタイプ | 期間 |
カスタムブラックリスト | 永続 |
インテリジェント防御アルゴリズムによって発行されたブラックリスト | 5 分から 1 時間。頻繁に攻撃を仕掛ける IP アドレスの場合、ブロック期間が自動的に延長されることがあります。 |
カスタムホワイトリスト | 永続 |
注：カスタムホワイトリストのみがサポートされています。アルゴリズムによって生成されるホワイトリストはありません。
制限事項
同じ Alibaba Cloud アカウント配下のすべての Anti-DDoS Proxy インスタンスで、ブラックリストに最大 2,000 個、ホワイトリストに最大 2,000 個の IP アドレスまたは CIDR ブロックを追加できます。
IP アドレスをホワイトリストからブラックリストに移動するには、まずホワイトリストから削除する必要があります。
IP アドレスのフォーマット制約：
IPv4 専用インスタンスは、IPv4 アドレスと CIDR ブロック (/8～/32) をサポートします。
IPv6 専用インスタンスは、IPv6 アドレスと CIDR ブロック (/32～/128) をサポートします。
次のアドレスは許可されません：
0.0.0.0、255.255.255.255(IPv4)；::、ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff(IPv6)。
前提条件
開始する前に、以下が準備できていることを確認してください：
Anti-DDoS Proxy (中国本土) または Anti-DDoS Proxy (中国本土以外) のインスタンス。
IP ブラックリストまたはホワイトリストの設定
Anti-DDoS Proxy コンソールにログインします。
上部のナビゲーションバーで、インスタンスのリージョンを選択します：
中国本土：Anti-DDoS Proxy (中国本土) インスタンスの場合
中国本土以外：Anti-DDoS Proxy (中国本土以外) インスタンスの場合
左側のナビゲーションウィンドウで、緩和設定 > 汎用ポリシー を選択します。
インフラストラクチャ保護 タブで、リストからご利用の Anti-DDoS Proxy インスタンスを選択します。インスタンス ID または説明で検索できます。
ブラックリストとホワイトリスト (IP アドレスベース) セクションで、設定 をクリックします。
ブラックリストとホワイトリストの設定 パネルで、ブラックリスト または ホワイトリスト を選択し、追加する IP アドレスまたは CIDR ブロックを入力します。
複数のエントリはカンマで区切ります。IP アドレスまたはサブネットマスクのフォーマットがサポートされています。例：
フォーマット
例
説明
単一の IPv4 アドレス
203.0.113.42特定の 1 つの IP アドレスをブロックまたは許可します
IPv4 CIDR ブロック
203.0.113.0/24203.0.113.0～203.0.113.255 の範囲をカバーします
単一の IPv6 アドレス
2001:db8::1特定の 1 つの IPv6 アドレスをブロックまたは許可します
IPv6 CIDR ブロック
2001:db8::/32IPv6 アドレスの範囲をカバーします
保存後、リストの一括削除、ダウンロード、またはクリアができます。