Edge Security Acceleration:configure uma lista de bloqueios/permissões de IP

Observações de uso

• Esse recurso está desabilitado por padrão. A lista de bloqueios e a lista de permissões de IP são mutuamente exclusivas — só é possível configure uma de cada vez. Para alternar entre os tipos, exclua primeiro a lista existente antes de criar uma nova do tipo oposto.

• Após configure uma lista de bloqueios de IP, as requisições de endereços IP na lista ainda chegam aos POPs do CDNDCDN. No entanto, os POPs rejeitam essas requisições e retornam um código de status http 403. Os CDNDCDN logs registram essas requisições, mas isso não significa que a lista de bloqueios de IP seja ineficaz.

• Como o recurso de lista de bloqueios/permissões de IP utiliza tecnologia de reconhecimento de IP http na camada 7, uma pequena quantidade de taxas de tráfego é gerada quando requisições maliciosas são bloqueadas pelos nós do DCDN. Se o cliente utilizar o protocolo HTTPS para acesso, taxas de requisição HTTPS também são geradas, pois o bloqueio de endereços IP maliciosos consome recursos de processamento dos nós do DCDN.

• Alguns provedores de service de Internet (ISPs) em regiões específicas podem atribuir endereços IP privados aos clientes. Os POPs do CDNDCDN podem receber requisições originadas do endereço IP privado de um usuário.

  Nota

  As três faixas de endereços IP privados são:

  • Endereços IP privados classe A: 10.0.0.0 a 10.255.255.255, máscara de sub-rede: 10.0.0.0/8

  • Endereços IP privados classe B: 172.16.0.0 a 172.31.255.255, máscara de sub-rede: 172.16.0.0/12

  • Endereços IP privados classe C: 192.168.0.0 a 192.168.255.255, máscara de sub-rede: 192.168.0.0/16

Procedimento

1. Faça login no console do DCDN.

2. No painel de navegação à esquerda, clique em Domain Names.

3. Na página Domain Names, localize o nome de domínio desejado e clique em Configure.

4. Na árvore de navegação à esquerda do nome de domínio, clique em Access Control.

5. clique em na aba IP Blacklist or Whitelist.

6. Na aba IP Blacklist or Whitelist, clique em modifique e configure uma Blacklist ou Whitelist de IP na página Rules.

   Nota

   Se você já tiver uma lista de bloqueios ou permissões de IP configurada e desejar alternar para o outro tipo, exclua primeiro a lista existente. Por exemplo, se houver uma lista de permissões de IP e você clicar em modifique para alterar o tipo para Blacklist, uma mensagem de erro semelhante à seguinte será exibida: "You have an existing IP whitelist. To switch to an IP blacklist, exclua the existing IP whitelist." exclua a lista atual primeiro e, em seguida, crie uma nova lista do tipo desejado clicando em modifique novamente.

   Parâmetro	Descrição
   Type	Os seguintes tipos de lista são suportados: Blacklist Endereços IP na lista de bloqueios não podem acessar nenhum recurso sob o nome de domínio acelerado. Whitelist Apenas endereços IP na lista de permissões podem acessar os recursos sob o nome de domínio acelerado. Todos os demais endereços IP são bloqueados.
   Rules	Requisitos de formato Você pode insira endereços IP individuais ou faixas de endereços IP em notação CIDR. Separe múltiplas entradas com quebras de linha. Endereços IPv4 e blocos CIDR são suportados: Exemplo de endereço IPv4: 192.168.0.1. Exemplo de bloco CIDR IPv4: 192.168.0.0/24. O endereço curinga 0.0.0.0/0 não é suportado. Para especifique todos os endereços IPv4, utilize as duas sub-redes a seguir: 0.0.0.0/1 128.0.0.0/1 Endereços IPv6 e blocos CIDR são suportados: Exemplo de endereço IPv6: FC00:AA3:0:23:3:300:300A:1234. Exemplo de bloco CIDR IPv6: FC00:0AA3:0000:0000:0000:0000:0000:0000/48. As letras em endereços IPv6 não diferenciam maiúsculas de minúsculas. Por exemplo, FC00:AA3:0:23:3:300:300A:1234 e fc00:0aa3:0000:0023:0003:0300:300a:1234 são equivalentes. O formato comprimido :: não é suportado. Por exemplo, FC00:0AA3::0023:0003:0300:300A:1234 é inválido. O endereço curinga 0000:0000:0000:0000:0000:0000:0000:0000/0 não é suportado. Para especifique todos os endereços IPv6, utilize as duas sub-redes a seguir: 0000:0000:0000:0000:0000:0000:0000:0000/1 8000:0000:0000:0000:0000:0000:0000:0000/1 Limite de tamanho das regras O campo de regras é limitado a 30 KB. Com base no comprimento médio das strings de endereços IP e blocos CIDR, é possível insira aproximadamente 700 entradas IPv6 ou 2.000 entradas IPv4. Para bloquear uma quantidade maior de endereços IP, utilize o Edge Security Accelerator (ESA), que suporta bloqueio massivo de IP e bloqueio por região. Para mais informações, consulte CDN, DCDN, and ESA: Feature comparison e IP access rules.
   IP rules	Selecione uma das três regras a seguir: Use the X-Forwarded-For header for verification (regra padrão) Recomendada quando todos os clientes acessam seu service por meio de proxies confiáveis que defina corretamente o cabeçalho X-Forwarded-For. Use the real connection IP for verification Mais indicada quando os clientes se conectam diretamente ao DCDN sem proxies intermediários, ou quando você deseja controlar o acesso com base no endereço IP de um servidor proxy. Use both the X-Forwarded-For header and the real connection IP for verification Projetada para ambientes de rede mistos em que alguns usuários se conectam diretamente e outros utilizam proxies. Se o cabeçalho X-Forwarded-For não contiver um endereço IP, o IP real da conexão será utilizado.

7. clique em OK para salve a configuração.

Perguntas frequentes

• IP address blacklists and whitelists have a limit on the number of entries. Does an IP address range count as one entry or multiple?

• Why can an IP address on the blacklist still access resources?

• How do I obtain the real client IP address?

• I need to add DCDN to the access whitelist on my origin server. Can I get a list of DCDN POP IP addresses?

Referência de API

BatchSetDcdnDomainConfigs: utilize a operação BatchSetDcdnDomainConfigs para configure múltiplos nomes de domínio em uma única chamada. Use os parâmetros ip_black_list_set e ip_allow_list_set para especifique a lista de bloqueios e a lista de permissões de IP, respectivamente.