Todos os produtos
Search

Este produto

    CDN:Configure uma lista de bloqueios ou uma lista de permissões de IP

    Central de documentação

    CDN:Configure uma lista de bloqueios ou uma lista de permissões de IP

    Última atualização: Oct 21, 2026

    Quando seu service sofre com abuso de tráfego malicioso baseado em IP ou ataques específicos, configure uma lista de bloqueios ou lista de permissões de IP para filtrar solicitações nos nós de borda do CDN com base na source da solicitação. Esse recurso permite o acesso apenas de endereços IP confiáveis por meio de uma lista de permissões ou bloqueia com precisão endereços IP maliciosos conhecidos por meio de uma lista de bloqueios, protegendo assim os recursos de source e reduzindo os riscos de segurança.

    Casos de uso

    selecione uma lista de permissões ou lista de bloqueios de IP com base nos seguintes casos de uso:

    Configuração

    Casos de uso

    Lista de permissões de IP

    • Proteger dados internos confidenciais: Permita apenas que endereços IP especificados acessem dados ou recursos confidenciais para garantir a segurança dos dados.

    • Integrar com service de terceiros: Garanta que apenas os endereços IP de service de terceiros confiáveis possam acessar os recursos do CDN.

    Lista de bloqueios de IP

    • Evitar ataques maliciosos: Se um endereço IP envia solicitações anômalas com frequência, adicione-o à lista de bloqueios para impedir que o endereço IP malicioso acesse seus recursos.

    • Restringir acesso por região: Bloqueie endereços IP de regiões de alto risco, como países sujeitos a restrições de políticas específicas, adicionando os intervalos de endereços IP desses países ou regiões à lista de bloqueios.

    Faturamento

    A configuração de uma lista de bloqueios ou lista de permissões de IP é gratuita, mas as solicitações bloqueadas ainda geram pequenas taxas.

    • Princípio de faturamento: O bloqueio ocorre durante o processamento de solicitações HTTP na Camada 7. Nesse ponto, o nó do CDN já processou a solicitação e consumiu recursos.

    • Itens faturáveis:

      • Taxas de tráfego: Uma solicitação bloqueada gera tráfego para uma solicitação, incluindo os cabeçalhos HTTP, e uma resposta, que é a página 403. O tráfego é cobrado à taxa de tráfego padrão do CDN.

      • Taxas de solicitação HTTPS: Se o nome de domínio usar HTTPS, o handshake TLS será concluído antes que o bloqueio baseado em IP ocorra. Portanto, cada solicitação HTTPS bloqueada ainda é contada como uma solicitação HTTPS para faturamento.

    Considerações

    Importante

    IP Blacklist/Whitelist e Referer Blacklist/Whitelist são entradas de configuração separadas no módulo de controle de acesso. Não as confunda:

    • IP Blacklist/Whitelist: Controla o acesso com base nos endereços IP de source. O campo de regra aceita endereços IPv4 ou IPv6 e blocos CIDR, como 1.1.1.0/24. Caminho de configuração: Domain Names > Access Control > IP Blacklist/Whitelist.

    • Referer Blacklist/Whitelist: Controla o hotlinking com base no cabeçalho HTTP Referer. O campo de regra aceita apenas nomes de domínio ou URLs, não endereços IP. Caminho de configuração: Domain Names > Access Control > Referer Blacklist/Whitelist.

    Para controlar o acesso por endereço IP, use IP Blacklist/Whitelist. Não insira um endereço IP ou bloco CIDR no campo de regra de Referer Blacklist/Whitelist. Caso contrário, o sistema retorna o erro de validação de formato de parâmetro InvalidArgValue.Malformed.

    As seguintes considerações também se aplicam às configurações de lista de bloqueios e lista de permissões de IP:

    • Um nome de domínio pode ter apenas uma regra de lista de bloqueios de IP ou lista de permissões de IP. Os dois tipos são mutuamente exclusivos e não podem ser configurados ao mesmo tempo.

    • Após configurar uma lista de bloqueios de IP, as solicitações de endereços IP bloqueados ainda podem alcançar o nó CDN DCDN, mas o nó rejeita as solicitações e retorna um código de status 403. Os logs do CDN registram as solicitações desses endereços IP. Isso não indica que a lista de bloqueios de IP é ineficaz.

    • Em regiões específicas, um pequeno número de provedores de service de Internet (ISPs) pode atribuir endereços IP privados aos usuários finais. Como resultado, o nó CDN DCDN recebe o endereço IP privado do usuário.

      Nota

      Endereços IP privados se enquadram nos três intervalos a seguir:

      • Endereços IP privados Classe A: 10.0.0.0–10.255.255.255. Máscara de sub-rede: 10.0.0.0/8.

      • Endereços IP privados Classe B: 172.16.0.0–172.31.255.255. Máscara de sub-rede: 172.16.0.0/12.

      • Endereços IP privados Classe C: 192.168.0.0–192.168.255.255. Máscara de sub-rede: 192.168.0.0/16.

    Procedimento

    1. Acesse o console do CDN.

    2. Na página Domain Names, encontre o nome de domínio de destino e clique em Manage na coluna Actions.

    3. No painel de navegação do domínio, clique em Access Control.

    4. Na seção IP Blacklist/Whitelist, clique em Modify Configuration.

    5. Configure rapidamente uma regra com base nos exemplos a seguir. Você também pode consultar Parameters e adicionar uma configuração adequada ao seu negócio.

      • Exemplo 1: Proteger um back-end de administração (lista de permissões + Rule Engine)

        • Objetivo: Permitir apenas que os endereços IP de saída do escritório 203.x.x.10 e 203.x.x.11 acessem o caminho /admin/.

        • Configuração:

          • Type: selecione Whitelist.

          • Rule: insira 203.x.x.10 e 203.x.x.11 em linhas separadas.

          • Advanced Settings - IP Rule: selecione Determine based on the IP address that is used to connect to the POP.

          • Advanced Settings - Rule Condition: Na página Rule Engine, configure uma regra que corresponda quando o URI contiver qualquer ocorrência de /admin/*, independentemente de maiúsculas e minúsculas. Em seguida, selecione essa regra como a condição da regra.

            Rule condition configuration

        • Resultado: Apenas solicitações desses dois endereços IP podem acessar o diretório /admin/. Solicitações de todos os outros endereços IP para este diretório são rejeitadas com um código de status 403.

      • Exemplo 2: Permitir acesso de um bloco CIDR IPv6 de um parceiro (lista de permissões)

        • Objetivo: Permitir acesso apenas do bloco CIDR IPv6 do parceiro FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

        • Configuração:

          1. Type: selecione Whitelist.

          2. Rule: insira FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

          3. Advanced Settings - IP Rule: selecione Determine based on the IP address that is used to connect to the POP.

        • Resultado: Apenas solicitações desse intervalo de endereços IPv6 podem acessar os recursos do seu domínio.

      • Exemplo 3: Bloquear imediatamente uma source de ataque (lista de bloqueios)

        • Objetivo: Um ataque CC foi detectado no bloco CIDR 198.x.x.0/24 e deve ser bloqueado imediatamente.

        • Configuração:

          1. Type: selecione Blacklist.

          2. Rule: insira 198.x.x.0/24.

          3. Advanced Settings - IP Rule: selecione Determine based on the IP address that is used to connect to the POP.

        • Resultado: O nó do CDN rejeita todas as solicitações IP do bloco CIDR 198.x.x.0/24.

    Parâmetros

    A tabela a seguir descreve os parâmetros para uma lista de bloqueios ou lista de permissões de IP:

    Parâmetro

    Descrição

    Type

    selecione Blacklist ou Whitelist.

    • Blacklist: Os endereços IP na lista têm o acesso negado e recebem um código de status 403.

    • Whitelist: Apenas os endereços IP na lista têm acesso permitido. Todos os outros endereços IP são negados.

    Rule

    Requisitos de formato de regra

    1. insira endereços IP ou blocos CIDR.

    2. Separe vários endereços IP ou blocos CIDR com quebras de linha.

    3. Endereços IPv4 e blocos CIDR são suportados:

      1. Exemplo de endereço IPv4: 192.168.0.1.

      2. Exemplo de bloco CIDR IPv4: 192.168.0.0/24.

      3. O bloco CIDR curinga 0.0.0.0/0 não é suportado. Para representar todos os endereços IPv4, use os dois blocos CIDR a seguir:

        1. 0.0.0.0/1

        2. 128.0.0.0/1

    4. Endereços IPv6 e blocos CIDR são suportados:

      1. Exemplo de endereço IPv6: FC00:AA3:0:23:3:300:300A:1234.

      2. Exemplo de bloco CIDR IPv6: FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

      3. As letras em um endereço não diferenciam maiúsculas de minúsculas. Letras maiúsculas, minúsculas e mistas são suportadas. Exemplos: FC00:AA3:0:23:3:300:300A:1234 e fc00:0aa3:0000:0023:0003:0300:300a:1234.

      4. A abreviação :: não é suportada. Por exemplo, FC00:0AA3::0023:0003:0300:300A:1234 não é suportado.

      5. O bloco CIDR curinga 0000:0000:0000:0000:0000:0000:0000:0000/0 não é suportado. Para representar todos os endereços IPv6, use os dois blocos CIDR a seguir:

        1. 0000:0000:0000:0000:0000:0000:0000:0000/1

        2. 8000:0000:0000:0000:0000:0000:0000:0000/1

    Limite de comprimento da regra

    O campo de entrada de regra suporta até 30 KB de caracteres. Como os endereços IP e blocos CIDR variam em comprimento, o campo pode conter aproximadamente 700 endereços IPv6 ou blocos CIDR, ou aproximadamente 2.000 endereços IPv4 ou blocos CIDR, com base nos comprimentos médios de entrada. Se você precisar bloquear mais endereços IP, ative o recurso de proteção de segurança ESA, que suporta bloqueio de IP em grande escala e bloqueio baseado em região. Para obter mais informações, consulte CDN, DCDN, and ESA: Feature comparison e Configure an IP access rule.

    IP Rule

    selecione uma das três regras a seguir:

    1. Usar o cabeçalho de solicitação x-forwarded-for do usuário como base para avaliação (padrão)

      Esta regra é recomendada quando todos os clientes acessam o CDN por meio de proxies confiáveis que defina corretamente o cabeçalho x-forwarded-for.

    2. Usar o endereço IP de conexão real como base para avaliação

      Esta regra é recomendada quando os clientes se conectam diretamente ao CDN sem um servidor proxy intermediário, ou quando você deseja controlar o acesso com base no endereço IP do servidor proxy.

    3. Usar tanto o x-forwarded-for quanto o endereço IP de conexão real como base para avaliação

      Esta regra é recomendada para um ambiente de rede misto no qual alguns usuários se conectam diretamente e outros acessam o CDN por meio de proxies.

    Rule Condition

    Uma condição de regra identifica várias informações de parâmetros em uma solicitação de usuário. Isso determina se uma configuração entra em vigor para essa solicitação.

    Importante

    Ao referenciar condições de regra, elas são correspondidas com base na prioridade das condições de regra associadas, não na ordem de configuração do próprio recurso.

    • Do not use: Não usa uma condição de regra.

    • Para adicionar ou edite condições de regra, gerencie-as em Rules Engine.

    Leitura complementar: Como o Alibaba Cloud CDN identifica endereços IP de cliente

    Os nós do CDN identificam os endereços IP do cliente das duas maneiras a seguir. Cada uma tem vantagens e desvantagens:

    • Endereço IP de conexão real (IP de conexão TCP)

      • Definição: O endereço IP que o cliente usa para estabelecer uma conexão TCP com o nó de borda do CDN.

      • Vantagem: O endereço não pode ser falsificado e oferece a maior segurança.

      • Desvantagem: Se um usuário acessar o CDN por meio de um proxy, como uma saída de rede corporativa ou dispositivo NAT, este endereço será o endereço IP do servidor proxy e não refletirá a source real do cliente.

    • Cabeçalho de solicitação X-Forwarded-For (XFF)

      • Definição: Um cabeçalho de solicitação HTTP que registra o endereço IP de cada servidor proxy pelo qual uma solicitação passa. O CDN normalmente usa o endereço IP mais à esquerda como o endereço IP do cliente.

      • Vantagem: O cabeçalho pode identificar o endereço IP real do cliente através de proxies.

      • Desvantagem: Um cliente pode falsificar este cabeçalho, o que representa um sério risco de segurança. Um usuário malicioso pode falsificar o cabeçalho XFF para contornar o controle de acesso baseado neste endereço IP.

    Quando um cliente acessa diretamente o CDN, esses dois endereços IP geralmente são os mesmos. Se o cliente acessar o CDN por meio de um servidor proxy, os endereços serão diferentes. Por exemplo, se o endereço IP real do cliente for 10.10.10.10 e o endereço IP do servidor proxy for 192.168.0.1:

    • O valor do cabeçalho de solicitação X-Forwarded-For pode ser 10.10.10.10, 192.168.0.1.

    • O endereço IP real do cliente é 10.10.10.10.

    • O endereço IP de conexão real é 192.168.0.1.

    Para os métodos de identificação de IP anteriores, o CDN fornece três modos de verificação para equilibrar segurança e flexibilidade de negócios.

    Modo de verificação de endereço IP

    Caso de uso

    Como funciona

    Avaliação de segurança

    Usar o cabeçalho de solicitação x-forwarded-for do usuário como base para avaliação (padrão)

    Todos os clientes acessam o CDN por meio de proxies confiáveis que defina corretamente o cabeçalho XFF.

    Apenas o endereço IP mais à esquerda no cabeçalho de solicitação x-forwarded-for é extraído e correspondido.

    O cabeçalho de solicitação x-forwarded-for pode ser falsificado pelos clientes. Um usuário malicioso pode contornar facilmente as restrições da lista de bloqueios.

    Usar o endereço IP de conexão real como base para avaliação

    Os clientes se conectam diretamente ao CDN sem um servidor proxy intermediário, ou o acesso deve ser controlado com base no endereço IP do servidor proxy.

    Apenas o endereço IP usado pelo cliente para estabelecer a conexão TCP com o nó do CDN é correspondido.

    O endereço IP de conexão não pode ser falsificado e fornece a proteção mais confiável.

    Usar tanto o x-forwarded-for quanto o endereço IP de conexão real como base para avaliação

    Um ambiente de rede misto no qual alguns usuários se conectam diretamente e outros acessam o CDN por meio de proxies.

    Blacklist: Uma solicitação é bloqueada se o endereço IP no cabeçalho x-forwarded-for ou o endereço IP de conexão real corresponder à regra.

    Whitelist: Uma solicitação é permitida se o endereço IP no cabeçalho x-forwarded-for ou o endereço IP de conexão real corresponder à regra.

    Este modo combina a flexibilidade de identificar endereços IP reais de clientes com a segurança de endereços IP de conexão e é a melhor escolha para a maioria dos cenários.

    FAQ