Edge Security Acceleration：規則常見問題

少數ISP在特定地區可能會分配私人IP地址給用戶端，導致ESA節點接收到的是用戶端IP是私人IP段的地址，這會導致在規則中使用“省/地區、省份、電訊廠商等”欄位參數去識別用戶端請求的時候無法準確識別出這部分請求。如果要識別私人IP段地址，可以按以下方式來處理。

步驟1: 建立IP網段分組

1. 進入全域配置目錄下的分組功能介面，點擊建立分組，添加如下三個私人IP/網段：

   • A類私人IP地址：10.0.0.0～10.255.255.255，子網路遮罩：10.0.0.0/8。

   • B類私人IP地址：172.16.0.0～172.31.255.255，子網路遮罩：172.16.0.0/12。

   • C類私人IP地址：192.168.0.0～192.168.255.255，子網路遮罩：192.168.0.0/16。

2. 添加完成後如下圖所示，點擊確定。

   

步驟2：添加私人IP網段規則

1. 以自訂規則為例，進入WAF自訂規則配置頁面，點擊新增規則，可參考下圖填寫。

   

2. 填寫完成後，點擊確定即可。

問題現象

在ESA中配置了IP頻次限制規則（例如：10秒內超過20次請求觸發JS/滑塊挑戰，持續1小時）後，小程式中的圖片全部無法載入。刪除該規則後，圖片訪問恢複正常。

原因分析

小程式載入頁面時會並發請求大量圖片資源，短時間內產生的請求數容易超過設定的頻次閾值。當觸發頻次限制規則後，正常的圖片請求也會被攔截（JS挑戰或滑塊驗證），而小程式環境無法執行JS挑戰或完成滑塊驗證，導致所有圖片請求被阻斷。

解決方案

您可以根據實際情況選擇以下一種或多種方式進行處理：

• 調高頻次閾值：將觸發閾值調整為更高的值（例如100次/10秒），避免小程式正常載入圖片時觸發限制。

• 縮小匹配範圍：在規則的匹配條件中排除圖片類請求（例如通過URL路徑或副檔名過濾），僅對非靜態資源請求進行頻次限制。

• 配置白名單：將小程式的已知來源IP或Referer加入白名單，使其不受頻次限制規則的約束。

• 臨時刪除規則：如果暫時無法確定合適的閾值，可以先刪除該頻次限制規則以恢複業務，再通過ESA控制台的請求分析功能識別異常IP後，重新設定更精確的規則。