悪意のある IP リクエストや標的型攻撃からサービスを保護するために、DCDN のポイントオブプレゼンス (POP) でソース IP に基づいてリクエストをフィルタリングする IP ブラックリスト/ホワイトリストを設定できます。この機能により、信頼できる IP アドレスのみを許可する (ホワイトリスト)、または既知の悪意のある IP アドレスをブロックする (ブラックリスト) ことで、オリジンサーバーのリソースを保護し、セキュリティリスクを軽減できます。
注意事項
この機能はデフォルトで無効になっています。IP アドレスブラックリストとホワイトリストは相互に排他的です。一度に設定できるのはどちらか一方のみです。一方のタイプから他方に切り替えるには、まず既存のリストを削除してから、もう一方のタイプの新しいリストを作成する必要があります。
IP アドレスブラックリストを設定した後も、ブラックリストに登録された IP アドレスからのリクエストはDCDNの POP に到達します。ただし、POP はこれらのリクエストを拒否し、HTTP 403 ステータスコードを返します。DCDNのログにはこれらのリクエストが記録されますが、これは IP ブラックリストが無効であることを意味するものではありません。
IP ブラックリスト/ホワイトリスト機能はレイヤー 7 の HTTP IP 認識技術を使用するため、悪意のあるリクエストがDCDNノードによってブロックされる際に、少量のトラフィック料金が発生します。クライアントが HTTPS プロトコルでアクセスする場合、悪意のある IP アドレスをブロックする際にもDCDNノードの処理リソースが消費されるため、HTTPS リクエスト料金も発生します。
特定の地域の一部のインターネットサービスプロバイダー (ISP) は、クライアントにプライベート IP アドレスを割り当てる場合があります。DCDNの POP は、ユーザーのプライベート IP アドレスからのリクエストを受信する可能性があります。
説明3 つのプライベート IP アドレス範囲は次のとおりです。
クラス A プライベート IP アドレス：10.0.0.0～10.255.255.255、サブネットマスク：10.0.0.0/8
クラス B プライベート IP アドレス：172.16.0.0～172.31.255.255、サブネットマスク：172.16.0.0/12
クラス C プライベート IP アドレス：192.168.0.0～192.168.255.255、サブネットマスク：192.168.0.0/16
手順
- DCDNコンソールにログインします。
- 左側のナビゲーションペインで ドメイン名 をクリックします。
-
ドメイン名 ページで対象のドメイン名を見つけ、設定 をクリックします。
- ドメイン名の左側のナビゲーションウィンドウで、[アクセス制御] をクリックします。
IP ブラックリスト/ホワイトリスト タブをクリックします。
IP ブラックリスト/ホワイトリスト タブで [変更] をクリックし、ブラックリスト ページで IP [ホワイトリスト]またはホワイトリストを設定します。
説明すでに IP ブラックリストまたはホワイトリストを設定しており、他方のタイプに切り替える場合は、まず既存のリストを削除する必要があります。たとえば、既存の IP ホワイトリストがあり、[変更] をクリックしてタイプを [ブラックリスト] に変更しようとすると、「You have an existing IP whitelist. To switch to an IP blacklist, delete the existing IP whitelist.」のようなエラーメッセージが表示されます。まず現在のリストを削除してから、[変更] を再度クリックして目的のタイプの新しいリストを作成してください。
パラメーター
説明
[タイプ]
次のリストタイプがサポートされています。
[ブラックリスト]
ブラックリストに登録された IP アドレスは、アクセラレーションドメイン名配下のいかなるリソースにもアクセスできません。
[ホワイトリスト]
ホワイトリストに登録された IP アドレスのみが、アクセラレーションドメイン名配下のリソースにアクセスできます。その他すべての IP アドレスはブロックされます。
[ルール]
形式要件
個別の IP アドレスまたは CIDR 表記の IP アドレス範囲を入力できます。
複数のエントリは改行で区切ります。
IPv4 アドレスと CIDR ブロックがサポートされています。
IPv4 アドレスの例：
192.168.0.1IPv4 CIDR ブロックの例：
192.168.0.0/24ワイルドカードアドレス
0.0.0.0/0はサポートされていません。すべての IPv4 アドレスを指定するには、次の 2 つのサブネットを使用してください。0.0.0.0/1128.0.0.0/1
IPv6 アドレスと CIDR ブロックがサポートされています。
IPv6 アドレスの例：
FC00:AA3:0:23:3:300:300A:1234IPv6 CIDR ブロックの例：
FC00:0AA3:0000:0000:0000:0000:0000:0000/48IPv6 アドレスの文字は大文字と小文字を区別しません。たとえば、
FC00:AA3:0:23:3:300:300A:1234とfc00:0aa3:0000:0023:0003:0300:300a:1234は同等です。圧縮形式
::はサポートされていません。たとえば、FC00:0AA3::0023:0003:0300:300A:1234は無効です。ワイルドカードアドレス
0000:0000:0000:0000:0000:0000:0000:0000/0はサポートされていません。すべての IPv6 アドレスを指定するには、次の 2 つのサブネットを使用してください。0000:0000:0000:0000:0000:0000:0000:0000/18000:0000:0000:0000:0000:0000:0000:0000/1
ルールの長さ制限
ルールフィールドは 30 KB に制限されています。IP アドレスと CIDR ブロックの平均文字列長に基づくと、約 700 個の IPv6 エントリまたは 2,000 個の IPv4 エントリを入力できます。より多くの IP アドレスをブロックするには、大規模な IP ブロッキングと地域ベースのブロッキングをサポートする Edge Security Accelerator (ESA) を使用してください。詳細については、「CDN、DCDN、および ESA: 機能比較」および「IP アクセスルール」をご参照ください。
IP ルール
次の 3 つのルールのいずれかを選択できます。
X-Forwarded-For ヘッダーを検証に使用 (デフォルトルール)
すべてのクライアントが、
X-Forwarded-Forヘッダーを正しく設定する信頼できるプロキシを経由してサービスにアクセスする場合に、このルールを推奨します。実際の接続 IP を検証に使用
クライアントが中間プロキシを経由せずに DCDN に直接接続する場合、またはプロキシサーバーの IP アドレスに基づいてアクセスを制御する場合、このルールを推奨します。
X-Forwarded-For ヘッダーと実際の接続 IP の両方を検証に使用
一部のユーザーが直接接続し、他のユーザーがプロキシを使用する混合ネットワーク環境の場合、このルールを推奨します。
X-Forwarded-For ヘッダーに IP アドレスが含まれていない場合は、代わりに実際の接続 IP が使用されます。
OK をクリックして設定を保存します。
よくある質問
API リファレンス
BatchSetDcdnDomainConfigs：BatchSetDcdnDomainConfigs 操作を使用すると、1回の呼び出しで複数のドメイン名を設定できます。ip_black_list_set および ip_allow_list_set パラメーターを使用して、それぞれ IP アドレスブラックリストとホワイトリストを指定します。