更新时间:2025-06-12 GMT+08:00
分享

通过黑白名单拦截/放行流量

开启防护后,云防火墙默认放行所有流量,您可以通过配置黑/白名单规则,拦截/放行IP地址的访问请求。

本文指导您添加单个黑白名单,如果需要批量添加黑白名单请参见导入/导出防护策略

黑白名单策略说明

黑白名单策略的防护对象、防护动作,以及应用场景说明如下:

名称

说明

支持的防护对象

  • 五元组
  • IP地址组

网络类型

  • 公网IP
  • 私网IP

防护后的动作

  • 黑名单:直接拦截流量。
  • 白名单:流量被云防火墙放行,不再经过其它功能检测。

应用场景

  • 黑名单:适用于已知恶意流量数据的情况。
  • 白名单:适用于明确可信IP地址的情况。
注意:
如果IP为Web应用防火墙(WAF)的回源IP,建议使用白名单或配置放行的防护规则,请谨慎配置黑名单规则,否则可能会影响您的业务。

规格限制

系统影响

  • 将IP或IP地址段配置为黑名单/白名单后,来自该IP或IP地址段的访问,CFW将不会做任何检测,直接拦截(黑名单)/放行(白名单),您可以在日志查询中检索该IP或IP地址段查看访问情况和流量情况。
  • 配置黑名单时,如果涉及地址转换或者存在代理的场景,需要谨慎评估拦截IP的影响。
  1. 登录管理控制台
  2. 单击管理控制台左上角的,选择区域。
  3. 在左侧导航栏中,单击左上方的,选择安全与合规 > 云防火墙,进入云防火墙的总览页面。
  4. (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。
  5. 在云防火墙左侧导航栏中,选择访问控制 > 互联网边界防护规则,进入“互联网边界防护规则”页面。
  6. 选择“黑名单”“白名单”页签。
  7. 单击“添加”,设置地址方向、IP地址、协议类型、端口,填写规则请参见表1

    表1 互联网边界黑/白名单

    参数名称

    参数说明

    地址方向

    选择“源地址”或“目的地址”。
    • 源地址:设置会话发起方。
    • 目的地址:设置会话接收方。

    协议类型

    协议类型当前支持:TCP、UDP、ICMP、Any。

    端口

    “协议类型”选择“TCP”“UDP”时,设置需要放行或拦截的端口。
    • 如您需设置该IP地址的全部端口,可配置“端口”“1-65535”
    • 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”“22”
    • 如您需设置某个范围的端口,可填写为连续端口组,中间使用“-”隔开。例如放行/拦截该IP地址80-443端口的访问,则配置“端口”“80-443”

    IP地址列表

    • 自定义IP地址:在输入框中输入单个或多个IP地址,单击“解析”,将IP地址加入列表中。
    • 预定义地址组:单击“添加预定义地址组”,在弹出的对话框中选择地址组,预定义地址组介绍请参见预定义地址组
      注意:

      “WAF回源IP地址组”添加至黑/白名单后,如果回源IP改变,您需手动修改对应黑/白名单中的IP地址。

    描述

    (可选)设置该黑/白名单的备注信息。

  8. 单击“确认”,完成添加。
  1. 登录管理控制台
  2. 单击管理控制台左上角的,选择区域。
  3. 在左侧导航栏中,单击左上方的,选择安全与合规 > 云防火墙,进入云防火墙的总览页面。
  4. (可选)切换防火墙实例:在页面左上角的下拉框中切换防火墙。
  5. 在云防火墙左侧导航栏中,选择访问控制 > VPC边界防护规则,进入“VPC边界防护规则”页面。
  6. 选择“黑名单”“白名单”页签。
  7. 单击“添加”,设置地址方向、IP地址、协议类型、端口,填写规则请参见表2

    表2 VPC边界黑/白名单

    参数名称

    参数说明

    地址方向

    选择“源地址”或“目的地址”。
    • 源地址:设置会话发起方。
    • 目的地址:设置会话接收方。

    协议类型

    协议类型当前支持:TCP、UDP、ICMP、Any。

    端口

    “协议类型”选择“TCP”“UDP”时,设置需要放行或拦截的端口。
    • 如您需设置该IP地址的全部端口,可配置“端口”“1-65535”
    • 如您需设置某个端口,可填写为单个端口。例如放行/拦截该IP地址22端口的访问,则配置“端口”“22”
    • 如您需设置某个范围的端口,可填写为连续端口组,中间使用“-”隔开。例如放行/拦截该IP地址80-443端口的访问,则配置“端口”“80-443”

    IP地址列表

    • 自定义IP地址:在输入框中输入单个或多个IP地址,单击“解析”,将IP地址加入列表中。
    • 预定义地址组:单击“添加预定义地址组”,在弹出的对话框中选择地址组,预定义地址组介绍请参见预定义地址组
      注意:

      “WAF回源IP地址组”添加至黑/白名单后,如果回源IP改变,您需手动修改对应黑/白名单中的IP地址。

    描述

    (可选)设置该黑/白名单的备注信息。

  8. 单击“确认”,完成添加。

相关文档

相关文档