全部產品
Search

搜尋本產品

    Edge Security Acceleration：配置IP黑白名單

    文件中心

    Edge Security Acceleration：配置IP黑白名單

    更新時間：Jun 23, 2026

    當業務面臨惡意IP盜刷或特定攻擊時，可通過配置IP黑白名單，在CDN邊緣節點根據訪問來源對請求進行過濾。此功能允許您僅允許存取可信IP（白名單）或精準攔截已知惡意IP（黑名單），從而保護來源站點資源，降低安全風險。

    注意事項

    • 該功能預設關閉，IP黑名單與IP白名單二選一，不可同時配置。如果您需要將已有的名單切換為另一種類型（例如將IP白名單切換為IP黑名單），需先刪除當前已配置的名單，然後重新通過修改配置建立所需類型的名單。

    • 配置IP黑名單後，黑名單中的IP請求仍然可以到達DCDN節點，但會被節點拒絕並返回403狀態代碼。此時，DCDN日誌中會記錄這些IP的請求資訊，但這並不意味著IP黑名單未生效。

    • 由於IP黑白名單功能採用的是七層HTTP協議的IP識別技術，因此在惡意請求被DCDN節點攔截的同時，會產生少量的流量費用，如果用戶端使用HTTPS協議訪問，還會產生HTTPS請求數費用（因為攔截惡意IP的時候，也同時消耗了DCDN節點的處理資源）。

    • 少數互連網服務提供者（ISP）在特定地區可能會分配私人IP地址給使用者端，導致DCDN節點接收到的是使用者的私人IP地址。

      說明

      私人IP位址範圍有以下三個：

      • A類私人IP地址：10.0.0.0～10.255.255.255，子網路遮罩：10.0.0.0/8

      • B類私人IP地址：172.16.0.0～172.31.255.255，子網路遮罩：172.16.0.0/12

      • C類私人IP地址：192.168.0.0~192.168.255.255，子網路遮罩：192.168.0.0/16

    操作步驟

    1. 登入DCDN控制台。

    2. 在左側導覽列，單擊域名管理。

    3. 在域名管理頁面，單擊目標網域名稱對應的配置。

    4. 在指定網域名稱的左側導覽列，單擊访问控制。

    5. 單擊右側的IP黑/白名单頁簽。

    6. 在IP黑/白名单頁簽下，單擊修改配置，然後在規則頁面配置IP的黑名单或白名单。

      配置IP黑白名單

      如果您已配置了一種名單類型，需要切換為另一種類型，無法直接通過修改配置切換。您需要先刪除已有的名單配置，然後重新單擊修改配置建立新的名單類型。例如，若要從IP白名單切換為IP黑名單，需先刪除現有的IP白名單，然後再建立IP黑名單。

      參數

      說明

      名单类型

      IP名單類型如下：

      • 黑名单

        黑名單內的IP無法訪問加速網域名稱下的所有資源。

      • 白名单

        只有白名單內的IP能訪問加速網域名稱下的資源，白名單以外的IP均無法訪問。

      规则

      規則格式要求

      • 支援輸入IP地址或者IP位址區段。

      • 輸入多個IP地址或者IP位址區段時，使用分行符號分隔。

      • 支援IPv4類型的地址或者位址區段：

        1. IPv4地址樣本：192.168.0.1。

        2. IPv4位址區段樣本：192.168.0.0/24。

        3. 不支援輸入通配網路地址0.0.0.0/0，如果需要表示全量IPv4地址，可以用以下兩個子網來表示：

          1. 0.0.0.0/1

          2. 128.0.0.0/1

      • 支援IPv6類型的地址或者位址區段：

        1. IPv6地址樣本：FC00:AA3:0:23:3:300:300A:1234。

        2. IPv6位址區段樣本：FC00:0AA3:0000:0000:0000:0000:0000:0000/48。

        3. 地址中的英文字母不區分大小寫，即支援全大寫、全小寫或者大小寫混合，例如：FC00:AA3:0:23:3:300:300A:1234或fc00:0aa3:0000:0023:0003:0300:300a:1234。

        4. 不支援: :縮寫格式，例如：不支援FC00:0AA3::0023:0003:0300:300A:1234。

        5. 不支援輸入通配網路地址0000:0000:0000:0000:0000:0000:0000:0000/0，如果需要表示全量IPv6地址，可以用以下兩個子網來表示：

          1. 0000:0000:0000:0000:0000:0000:0000:0000/1

          2. 8000:0000:0000:0000:0000:0000:0000:0000/1

      規則長度限制

      規則輸入框最大支援輸入30 KB長度的字元，考慮到IP地址或者IP位址區段的字串長度有長有短，如果按平均長度來算，最多可配置大約700個IPv6地址/位址區段或者2000個IPv4地址/位址區段。如果您有更多的IP地址封鎖需求，請開通ESA安全防護功能（支援海量IP封鎖和按地區封鎖服務），具體操作方法，請參見CDN、DCDN和ESA的功能對照和IP訪問規則配置。

      IP規則

      支援選擇以下三種規則：

      • 使用使用者的x-forwarded-for要求標頭作為判斷依據（預設規則）

        當用戶端均通過可信代理訪問，且代理會正確設定x-forwarded-for頭時，推薦使用該規則。

      • 使用真實建連IP作為判斷依據

        當用戶端直接連接CDN，無中間Proxy 伺服器；或希望基於Proxy 伺服器IP進行存取控制時，推薦使用該規則。

      • 同時使用x-forwarded-for和真實建連IP作為判斷依據

        當用戶端為混合網路環境，部分使用者直連，部分使用者通過代理訪問時，推薦使用該規則。

      如果x-forwarded-for要求標頭沒有攜帶IP的話，將使用建聯IP。

    7. 單擊確定，完成配置。

    常見問題

    相關API

    大量設定網域名稱：調用BatchSetDcdnDomainConfigs進行批量網域名稱配置，通過設定ip_black_list_set和ip_allow_list_set分別指定IP黑名單和IP白名單。