CDN:Configurar IP Blacklist or Whitelist

Casos de uso

Faturamento

A configuração do recurso IP Blacklist or Whitelist é gratuita, mas as solicitações bloqueadas ainda geram cobranças.

• Lógica de faturamento: O bloqueio ocorre durante a etapa de processamento da solicitação HTTP (Camada 7). Nesse momento, o POP da CDN já processou a solicitação e consumiu recursos.

• Itens faturáveis:

  • Taxas de transferência de dados: Cada solicitação bloqueada gera transferência de dados tanto para a solicitação original (incluindo o cabeçalho HTTP) quanto para a página de resposta 403. Essa transferência de dados é cobrada à tarifa padrão da CDN.

  • Taxas de solicitação HTTPS: Para domínios que usam HTTPS, o handshake TLS é concluído antes da aplicação do bloqueio de IP. Portanto, cada solicitação bloqueada ainda conta como uma solicitação HTTPS faturável.

Observações

• É possível configurar uma lista de bloqueios de IP ou uma lista de permissões de IP para um domínio, mas não ambas. Elas são mutuamente exclusivas.

• Após a configuração de uma lista de bloqueios de IP, as solicitações provenientes dos IPs bloqueados ainda podem chegar aos POPs. Os POPs então rejeitam essas solicitações e retornam um código de status 403. Os logs ainda registrarão essas solicitações, mas esse é o comportamento esperado e confirma que a lista de bloqueios de IP está funcionando.

• Alguns provedores de serviços de Internet (ISPs) em regiões específicas podem atribuir endereços IP privados aos usuários finais. Como resultado, os POPs podem receber o endereço IP privado de um usuário.

  Nota

  Os endereços IP privados dividem-se em três faixas:

  • Endereço IP privado Classe A: 10.0.0.0 a 10.255.255.255, máscara de sub-rede: 10.0.0.0/8

  • Endereço IP privado Classe B: 172.16.0.0 a 172.31.255.255, máscara de sub-rede: 172.16.0.0/12

  • Endereço IP privado Classe C: 192.168.0.0 a 192.168.255.255, máscara de sub-rede: 192.168.0.0/16

Procedimento

1. Faça login no CDN console.

2. Na página Domain Names, localize o nome de domínio desejado e clique em Manage na coluna Actions.

3. No painel de navegação do domínio, clique em Access Control.

4. Na seção IP Blacklist or Whitelist, clique em Modify.

5. Os exemplos a seguir ajudam você a concluir rapidamente a configuração. Para definições específicas aos seus requisitos de negócios, consulte Parâmetros.

   • Cenário 1: Proteger um backend administrativo (Whitelist + Rules Engine)

     • Objetivo: Permitir que apenas solicitações dos IPs de saída do escritório 203.x.x.10 e 203.x.x.11 acessem o caminho /admin/.

     • Configuração:

       • Type: Selecione Whitelist.

       • Rules: Insira 203.x.x.10 e 203.x.x.11 (um por linha).

       • Advanced Settings-IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

       • Advanced Settings-Rule Condition: Na página Rules Engine, crie uma regra que corresponda a solicitações onde o URI contém /admin/* (sem distinção entre maiúsculas e minúsculas). Em seguida, selecione essa regra para a condição da regra.

         

     • Resultado: Apenas solicitações desses dois endereços IP podem acessar o diretório /admin/. Todas as outras solicitações para este diretório são rejeitadas com um código de status 403.

   • Cenário 2: Permitir acesso do segmento de rede IPv6 de um parceiro (Whitelist)

     • Objetivo: Permitir acesso apenas do segmento de rede IPv6 do parceiro FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

     • Configuração:

       1. Type: Selecione Whitelist.

       2. Rules: Insira FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

       3. Advanced Settings-IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

     • Resultado: Apenas solicitações dessa faixa de endereços IPv6 podem acessar os recursos do seu domínio.

   • Cenário 3: Bloquear uma fonte de ataque em emergência (Blacklist)

     • Objetivo: Bloquear imediatamente um ataque CC originado do bloco CIDR 198.x.x.0/24.

     • Configuração:

       1. Type: Selecione Blacklist.

       2. Rules: Insira 198.x.x.0/24.

       3. Advanced Settings-IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

     • Resultado: O POP da CDN rejeita todas as solicitações do bloco CIDR 198.x.x.0/24.

Parâmetros

Exemplos de configuração

• Cenário 1: Proteger o console administrativo (Whitelist e Rules Engine)

  • Objetivo: Permitir que apenas solicitações dos IPs de saída do escritório 203.x.x.10 e 203.x.x.11 acessem o caminho /admin/.

  • Configuração:

    1. Type: Selecione Whitelist.

    2. Rules: Insira 203.x.x.10 e 203.x.x.11, um por linha.

    3. Advanced Settings - IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

    4. Advanced Settings-Rule Condition: Na página Rule Engine, configure uma regra. O conteúdo da regra deve ser URI contains /admin/*, case-insensitive. Em seguida, selecione essa regra para a Rule Condition.

       

  • Resultado: Apenas solicitações desses dois endereços IP podem acessar o diretório /admin/. Todas as outras solicitações para este diretório serão negadas com um código de status 403.

• Cenário 2: Permitir acesso do bloco CIDR IPv6 de um parceiro (Whitelist)

  • Objetivo: Permitir que apenas solicitações do bloco CIDR IPv6 do parceiro FC00:0AA3:0000:0000:0000:0000:0000:0000/48 acessem os recursos do seu domínio.

  • Configuração:

    1. Type: Selecione Whitelist.

    2. Rules: Insira FC00:0AA3:0000:0000:0000:0000:0000:0000/48.

    3. Advanced Settings - IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

  • Resultado: Apenas solicitações dessa faixa de endereços IPv6 podem acessar os recursos do seu domínio.

• Cenário 3: Bloquear urgentemente uma fonte de ataque (Blacklist)

  • Objetivo: Bloquear imediatamente um ataque CC identificado originado do bloco CIDR 198.x.x.0/24.

  • Configuração:

    1. Type: Selecione Blacklist.

    2. Rules: Insira 198.x.x.0/24.

    3. Advanced Settings - IP Rules: Selecione Determine based on the IP address that is used to connect to the POP.

  • Resultado: Os POPs da CDN rejeitarão todas as solicitações do bloco CIDR 198.x.x.0/24.

Verificação da configuração

• Propagação: Após o envio, a configuração da lista de bloqueios/permissões de IP leva cerca de 5 a 10 minutos para propagar para todos os POPs da CDN no mundo todo.

• Método de verificação: Os POPs da CDN retornam um código de status 403 para solicitações bloqueadas por uma regra de lista de bloqueios/permissões de IP. Verifique se a regra está em vigor executando um teste de acesso ou verificando o monitoramento.

Como o Alibaba Cloud CDN identifica os IPs dos clientes

O Alibaba Cloud CDN usa dois métodos para identificar os IPs dos clientes, cada um com suas próprias vantagens e desvantagens:

• IP da conexão TCP

  • Definição: O endereço IP usado para estabelecer a conexão TCP entre um cliente e um POP de borda.

  • Vantagem: Este endereço IP não pode ser falsificado, tornando-o a opção mais segura.

  • Desvantagem: Quando um cliente se conecta através de um servidor proxy, como uma saída de rede corporativa ou um dispositivo NAT, este IP pertence ao servidor proxy, e não ao cliente original.

• Cabeçalho de solicitação X-Forwarded-For (XFF)

  • Definição: Um campo de cabeçalho de solicitação HTTP que registra o endereço IP de cada servidor proxy pelo qual uma solicitação passa. A CDN normalmente usa o endereço IP mais à esquerda neste cabeçalho como o IP do cliente.

  • Vantagem: Consegue identificar o IP original do cliente atrás de um servidor proxy.

  • Desvantagem: O cliente pode falsificar este cabeçalho de solicitação, representando um risco significativo de segurança. Um invasor pode forjar o cabeçalho XFF para contornar o controle de acesso baseado em IP.

Quando um cliente se conecta diretamente à CDN, esses dois IPs geralmente são os mesmos. No entanto, se um cliente se conectar através de um servidor proxy, os IPs serão diferentes. Por exemplo, se o IP original do cliente for 10.10.10.10 e o IP do servidor proxy for 192.168.0.1, então:

• O valor do cabeçalho de solicitação X-Forwarded-For pode ser 10.10.10.10, 192.168.0.1.

• O IP original do cliente é 10.10.10.10.

• O IP da conexão TCP é 192.168.0.1.

Perguntas frequentes

• Como os blocos CIDR são contabilizados no limite de entradas para uma lista de bloqueios ou permissões de endereços IP?

• Como obtenho os endereços IP dos POPs do Alibaba Cloud CDN para adicionar à lista de permissões da minha origem?

• Por que um IP na lista de bloqueios de endereços IP ainda consegue acessar recursos?

• Como recupero o endereço IP real do cliente?

APIs relacionadas

Referência da API

{
	"Functions": [{
		"functionArgs": [{
			"argName": "ip_list",
			"argValue": "192.168.0.1"
		}, {
			"argName": "ip_acl_xfwd",
			"argValue": "all"
		
		}],
		"functionName": "ip_black_list_set"
	}],
	"DomainNames": "example.com"
}

{
  "RequestId": "04F0F334-xxxx-xxxx-xxxx-6C044FE73368",
  "DomainConfigList": {
    "DomainConfigModel": [
      {
        "ConfigId": 1234567,
        "DomainName": "example.com",
        "FunctionName": "ip_black_list_set"
      }
    ]
  }
}

{
	"Functions": [{
		"functionArgs": [{
			"argName": "ip_list",
			"argValue": "192.168.0.1,192.168.0.2"
		}],
		"functionName": "ip_black_list_set"
	}],
	"DomainNames": "example.com"
}

{
  "DomainConfigList": {
    "DomainConfigModel": [
      {
        "FunctionName": "ip_black_list_set",
        "DomainName": "example.com",
        "ConfigId": 1234567
      }
    ]
  },
  "RequestId": "F4A1F8C6-xxxx-xxxx-xxxx-3327736D1AEF"
}

{
	"DomainNames": "example.com",
	"Functions": "ip_black_list_set"
}

{
  "RequestId": "B09D0C48-xxxx-xxxx-xxxx-F071DB8C4900",
  "DomainConfigs": {
    "DomainConfig": [
      {
        "Status": "success",
        "FunctionName": "ip_black_list_set",
        "FunctionArgs": {
          "FunctionArg": [
            {
              "ArgValue": "192.168.0.1",
              "ArgName": "ip_list"
            },
            {
              "ArgValue": "all",
              "ArgName": "ip_acl_xfwd"
            }
          ]
        },
        "ConfigId": 1234567
      }
    ]
  }
}

{
	"DomainNames": "example.com",
	"ConfigId": 1234567
}

{
  "RequestId": "C9088777-xxxx-xxxx-xxxx-A1EE56616D6C"
}