ご利用のオリジンサーバーを保護するために、Alibaba Cloud CDN POP の back-to-origin IP アドレスを取得し、オリジンサーバーのホワイトリストに追加できます。この設定により、Alibaba Cloud CDN からの back-to-origin トラフィックのみがオリジンサーバーにアクセスできるようになります。
エッジノード IP アドレスと back-to-origin IP アドレスの比較
Alibaba Cloud CDN は 2 種類の IP アドレスを使用します。この違いを理解することで、正しいホワイトリストの設定や問題のトラブルシューティングに役立ちます。
タイプ | 説明 | ユースケース | 取得方法 |
back-to-origin IP (L2 ノード) | CDN POP がオリジンサーバーからコンテンツを取得するために使用する IP アドレスです。動的に割り当てられます。 | オリジンサーバーのホワイトリスト (ECS セキュリティグループ、SLB アクセス制御、Cloud Firewall) を設定します。 |
|
エッジノード IP (L1 ノード) | エンドユーザーが CDN で高速化されたコンテンツにアクセスする際に接続する IP アドレスです。動的に割り当てられます。 | クライアント側のトラブルシューティング、コンプライアンス要件。 |
|
また、nslookup または dig コマンドを実行して、高速化ドメイン名を解決し、スケジューリングシステムによって現在割り当てられているエッジノード IP アドレスを取得することもできます。これらの結果は、特定時点のスナップショットにすぎません。
nslookup your-domain.example.com
# または
dig your-domain.example.comAlibaba Cloud CDN は、オリジンリクエスト中に POP の IP アドレスを動的に割り当てます。そのため、固定 IP ホワイトリストをオリジンサーバーに設定することは、back-to-origin リクエストの失敗につながる可能性があるため、強く推奨されません。
SafeDog などのセキュリティソフトウェアがオリジンサーバーにインストールされているなど、特別な要件でホワイトリストを設定する必要がある場合は、L2 POP IP アドレスのクエリ操作を呼び出して、最新の back-to-origin POP IP アドレスのリストを取得します。このリストをオリジンサーバーのホワイトリストに追加して、適切なアクセスを確保してください。
注意：この API は、1 日のピーク帯域幅が 1 Gbps 以上のユーザーのみが利用できます。この要件を満たしている場合は、チケットを送信してアクセスをリクエストできます。
オリジンサーバーのセキュリティに関するベストプラクティス
CDN の back-to-origin IP アドレスは動的に割り当てられるため、IP ホワイトリストのみに依存することは推奨されません。以下の代替案をご検討ください。
HTTP ヘッダー識別：back-to-origin リクエスト中、CDN は実際のクライアント IP アドレスを含む
ali-cdn-real-ipHTTP ヘッダーを追加します。オリジンサーバーは、IP ホワイトリストに依存するのではなく、このヘッダーをチェックすることで、正当な CDN の back-to-origin リクエストを識別して許可できます。Referer ベースのホットリンク保護：Referer ホワイトリストまたはブラックリストを設定して、リソースへのアクセスを制御します。この方法は IP アドレスに依存しません。
URL 署名：URL 署名を有効にして、有効期限付きの署名付き URL を生成します。有効な署名を持つリクエストのみがオリジンサーバーにアクセスできます。
タイムスタンプベースの認証：URL にタイムスタンプパラメーターを追加して、指定した期間が経過するとアクセスが有効期限切れになるようにします。
これらの方法は、CDN の動的な IP 割り当てモデルにより適しており、より信頼性の高いオリジンサーバーの保護を提供します。
よくある質問
DescribeL2VipsByDomain API の制限事項
DescribeL2VipsByDomain API には以下の制限があります。
制限事項 | 説明 |
帯域幅しきい値 | 1 日のピーク帯域幅が 1 Gbps 以上のユーザーのみがこの API を呼び出すことができます。アクセスをリクエストするには、チケットを送信する必要があります。 |
クエリの粒度 | この API は、複数のドメインに対するバッチクエリをサポートしていません。リクエストごとに 1 つの高速化ドメイン名しかクエリできません。 |
範囲 | この API は L2 の back-to-origin ノード IP アドレスのみを返します。オリジンサーバー (ECS セキュリティグループ、SLB アクセス制御リスト、Cloud Firewall ルールなど) にホワイトリストを設定する必要があるシナリオを対象としています。 |
Cloud Firewall または WAF で CDN の back-to-origin 許可ルールを設定する方法
オリジンサーバーが Cloud Firewall または Web Application Firewall (WAF) によって保護されている場合、CDN または ESA の back-to-origin トラフィックを許可するために、以下のルールを設定します。
オリジン IP アドレスの取得：
CDN の場合、DescribeL2VipsByDomain 操作を呼び出します。
ESA の場合、ESA コンソールに移動し、サイト管理に移動して back-to-origin IP リストを表示およびエクスポートします。ESA は、組み込みの IP リストを持つ独自のオリジンサーバーの保護機能を提供します。
インバウンドルールの設定：Cloud Firewall または WAF で、back-to-origin IP アドレスに対するインバウンド許可ルールを作成します。カスタムの back-to-origin ポートが設定されていない場合、デフォルトのポートは 80 (HTTP) と 443 (HTTPS) です。
アウトバウンドルールの設定 (該当する場合)：ネットワークにアウトバウンドトラフィック制御ポリシーがある場合は、オリジン IP アドレスに対するアウトバウンド許可ルールも設定します。
CDN のオリジンリクエストが WAF によってブロックされ、ホワイトリスト用の固定 IP アドレスを提供できない場合は、ESA への移行を検討してください。ESA は WAF 保護を統合し、より柔軟なオリジンサーバー IP 管理をサポートします。
CDN のアクセスログまたはオリジンサーバーのログの IP アドレスが実際のクライアント IP アドレスと異なる理由
これは、CDN の back-to-origin メカニズムによって引き起こされる想定された動作です。
CDN エッジノードにリクエストされたコンテンツがキャッシュされていない場合 (キャッシュミス)、back-to-origin ノード (L2 ノード) がユーザーに代わってオリジンサーバーにリクエストを送信します。オリジンサーバーのログに記録される IP アドレスは、実際のクライアント IP ではなく、back-to-origin ノードの IP です。
CDN アクセスログも、このようなリクエストに対してエンドユーザーの IP ではなく、back-to-origin ノードの IP を記録します。
実際のクライアント IP アドレスを取得するには、接続 IP に依存するのではなく、次の HTTP ヘッダーを解析します。
X-Forwarded-For：クライアント IP とリクエストパスに沿ったプロキシサーバーの IP アドレスが含まれます。通常、最初の IP アドレスが実際のクライアント IP です。ali-cdn-real-ip：実際のクライアント IP アドレスを含む Alibaba Cloud CDN 固有のヘッダーです。
Alibaba Cloud は静的な CDN または API サービスの IP アドレスリストを提供していますか？
CDN IP アドレス：Alibaba Cloud は、CDN IP アドレス (国内またはグローバル) の静的なリストを提供していません。CDN IP アドレスは動的に割り当てられ、リアルタイムで変更されます。カスタマーサポートは静的な IP リストを提供できません。
CDN API エンドポイント IP アドレス：CDN API サービスのエンドポイントには固定 IP アドレスがありません。ネットワーク環境に厳しいアウトバウンド制限がある場合は、プロキシサーバーを設定し、プロキシサーバーの IP アドレスをホワイトリストに追加してください。API リクエストをプロキシ経由でルーティングします。