# 配置黑白名单设置规则拦截/放行指定IP IP地址默认全部放行，如果您希望对访问IP做访问控制，您可以通过配置黑白名单规则，阻断、仅记录或放行指定IP地址/IP地址段的访问请求，白名单规则优先级高于黑名单规则。配置黑白名单规则时，WAF支持单个添加或通过引用地址组批量导入黑白名单IP地址/IP地址段。 - 将IP配置为仅记录后，来自该IP的访问，WAF将根据防护规则进行检测并记录该IP的防护事件数据。 - 其他的IP将根据配置的WAF防护规则进行检测。 #### 介绍视频 #### 约束条件 | 类别 | 约束说明 | |:---|:---| | 接入方式与版本限制 | - **云模式-CNAME接入/云模式-ELB接入** **：** 仅**标准版** 、**专业版** 、**企业版**支持该功能。 - **独享模式接入**：支持该功能。 | | 生效条件 | **云模式-ELB接入**场景下，ELB监听器的"前端协议"为TCP、UDP、QUIC时，使用该规则不生效。 | | 规则生效时间 | 添加或修改防护规则后，规则生效需要等待几分钟。规则生效后，您可以在"防护事件"页面，[查看防护效果](https://support.huaweicloud.com/usermanual-waf/waf_01_0156.html)。 | | 计费说明 | **黑白名单设置**规则按配置的IP/IP段数量计费。 | | 批量导入黑白名单 | 支持，可通过配置多个IP/IP地址段规则到地址组实现。详细操作请参见[添加黑白名单IP地址组](https://support.huaweicloud.com/usermanual-waf/waf_01_0357.html)。 | | IPv6地址/地址段 | - **云模式-CNAME接入**：仅专业版和企业版支持。 - **独享模式/** **云模式-ELB接入**：使用的ELB支持IPv6，则WAF支持IPv6地址/地址段。 | | IPv6与IPv4黑白名单关系 | IPv4黑白名单规则与IPv6黑白名单规则相互独立，IPv4黑白名单不会对IPv6请求生效，IPv6黑白名单也不会对IPv4请求生效。如需同时管控IPv4 和IPv6请求，需分别配置IPv4和IPv6的黑白名单规则。例如，仅配置IPv4白名单放行指定IPv4地址时，来自IPv6地址的请求仍会按照其他防护规则进行检测，不会被放行。 | | 0.0.0.0/0 和::/0 IP地址段 | 黑白名单规则支持配置0.0.0.0/0 和::/0 IP地址段，分别实现IPv4全流量拦截和IPv6全流量拦截。 白名单规则优先级高于黑名单规则，如果您需要放行某个网段指定的IP并拦截某个网段其他所有IP，请先添加黑名单规则，拦截该网段的所有IP，然后添加白名单规则，放行指定IP。 如果您需要拦截所有来源IP或仅允许指定IP访问防护网站，也可以参见[拦截所有来源IP或仅允许指定IP访问防护网站，如何配置？](https://support.huaweicloud.com/waf_faq/waf_01_0312.html)进行配置。 | #### 规格限制 - 云模式各版本、独享模式支持创建的**黑白名单设置** 规则条数请参见[服务版本差异](https://support.huaweicloud.com/productdesc-waf/waf_01_0106.html#section1)。 - 如果您购买了云模式，当前版本的**黑白名单设置** 防护规则条数不能满足要求时，您可以通过购买规则扩展包或升级云模式版本增加**黑白名单设置** 规则条数，以满足的防护配置需求。 一个规则扩展包包含10个IP/IP段。有关升级规则的详细操作，请参见[升级WAF云模式版本和规格](https://support.huaweicloud.com/usermanual-waf/waf_01_0114.html)。 #### 系统影响 将IP或IP地址段配置为黑名单/白名单后，来自该IP或IP地址段的访问，WAF将不会做任何检测，直接拦截/放行。 #### 前提条件 - 已[将网站成功接入WAF](https://support.huaweicloud.com/usermanual-waf/waf_01_1108.html)。 - 如果使用独享WAF，确保独享引擎已升级到最新版本，具体的操作请参见[升级独享引擎实例](https://support.huaweicloud.com/usermanual-waf/waf_01_0253_4.html)。 #### 配置黑白名单设置规则 1. [登录Web应用防火墙控制台](https://console.huaweicloud.com/waf/?locale=zh-cn)。 2. 在控制台左上角，单击![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002304713360.png)图标，选择区域或项目。 3. (可选) 如果您已开通企业项目，在左侧导航栏上方单击"按企业项目筛选"下拉框，选择您所在的企业项目。完成后，页面将为您展示该企业项目下的相关数据。 4. 在左侧导航栏，选择"防护策略 \> WAF核心防护"。 5. 在防护策略列表，单击目标策略名称，进入目标策略的防护规则配置页面。 您也可以在"资产管理 \> 防护对象"页面，单击目标域名"防护策略"列的"已开启防护项"后的数字，进入网站绑定的防护策略的规则配置页面。 6. 单击"黑白名单设置"配置框，确认已开启黑白名单设置防护规则。 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000001761737873.png)：开启状态。 7. 在"黑白名单设置"配置列表的左上方，单击"添加规则"。 8. 在"添加黑白名单设置规则"面板，添加黑白名单规则，如[图1]和[图2]所示，参数说明如[表1]所示。 图1添加单个IP/IP地址段黑白名单规则 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002200100882.png "点击放大") 图2批量添加IP/IP地址段黑白名单规则 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002200097014.png "点击放大") 表1黑白名单参数说明 | 参数 | 参数说明 | 取值样例 | |:---|:---|:---| | 规则名称 | 填写黑白名单规则的名字。 | waf | | 规则描述（可选） | 填写黑白名单规则的备注信息。 | -- | | IP/IP段或地址组 | 选择添加**黑白名单设置**规则的方式，支持"IP/IP段"或"地址组"。 | IP/IP段 | | IP/IP段 | 当"IP/IP段或地址组" 选择"IP/IP段"时，需要填写要加入黑白名单规则的IP或IP段。 - **I** **P**：添加黑名单或者白名单的IP地址。 - **IP段**：IP地址与子网掩码。 | - IPv4格式： - 192.168.2.3 - 10.1.1.0/24 - IPv6格式： - fe80:0000:0000:0000:0000:0000:0000:0000 - ::/0 | | 地址组 | 当"IP/IP段或地址组" 选择"地址组"时，需要创建或选择已有地址组。 1. （可选）单击"添加地址组"，填写地址组名称、IP/IP段、描述信息。 如果已有地址组，可跳过该步骤，在地址组列表选择已添加的地址组。 - 如果已有地址组不满足业务需求，单击"操作"列的"修改"，修改已有地址组。 - 如果您不再需要某个地址组，解除地址组与黑白名单规则的关联关系后，单击"操作"列的"删除"，删除已有地址组。 - 此处添加的地址组会同步到"地址组管理"中。更多信息，请参见[管理黑白名单IP地址组](https://support.huaweicloud.com/usermanual-waf/waf_01_0356.html)。 2. 选择一个已添加的地址组。 | -- | | 防护动作 | 设置请求命中规则时要执行的处置动作： - **拦截** ：如果要将IP、IP段设置为黑名单，则"防护动作"选择"拦截"。 设置为"拦截"后，WAF直接拦截该IP的请求，并不再进行后续规则检测。 "防护动作"选择"拦截"时，支持配置针对访问者的IP、Cookie或Params的长时间拦截规则、短时间拦截规则。当请求命中规则时，WAF会根据攻击惩罚自动封禁访问者。更多信息，请参见[配置攻击惩罚标准封禁访问者指定时长](https://support.huaweicloud.com/usermanual-waf/waf_01_0271.html)。 IP黑名单不支持选择"长时间IP拦截"和"短时间IP拦截"。 - **放行** ：如果要将IP、IP段设置为白名单，则"防护动作"选择"放行"。 设置为"放行"后，WAF会放行该IP的请求，并直接跳过后续规则检测。 - **仅记录** ：如果只需要观察来自IP、IP段的请求，则"防护动作"选择"仅记录"。 设置为"仅记录"后，WAF会记录当前IP地址或IP地址段的请求后，放行该请求，同时，按照防护规则检测顺序，进行后续规则检测。 您可以在防护事件列表，判断该IP地址或IP地址段是黑名单还是白名单。 | 拦截 | | 生效时间 | 设置规则生效的时间。 - **立即生效**：防护规则开启后，规则立即生效。 - **自定义**：自定义规则生效时间段。 | 立即生效 | 9. 输入完成后，单击"确定"，添加的黑白名单展示在黑白名单规则列表中。 如果要生效该防护规则，需确认防护规则所属防护策略已[绑定防护域名](https://support.huaweicloud.com/usermanual-waf/waf_01_0074.html)，即绑定策略生效目标。一条防护策略可以适用于多个防护域名，但一个防护域名只能绑定一个防护策略。 完成以上配置后，您还可以执行以下操作： - **查看规则状态**：在防护规则列表，查看已添加的规则。此时，"规则状态"默认为"已开启"。 - **关闭规则**：如果您暂时不想使该规则生效，可在目标规则"操作"列，单击"关闭"。 - **删除或修改规则**：您也可以在目标规则"操作"列，单击"删除"或"修改"，删除或修改已添加的防护规则。 - **验证防护效果** ： 1. 清理浏览器缓存，使用已配置的IP"192.168.2.3"在浏览器中访问"http://www.example.com"页面，正常情况下，WAF会阻断该IP的访问请求，返回拦截页面。 2. 在"防护事件"页面，查看防护日志。 #### 配置示例：放行指定IP 假如防护域名"www.example.com"已接入WAF，您可以参照以下操作步骤验证放行指定IP防护效果。 1. 单击"黑白名单设置"配置框，确认已开启黑白名单设置防护规则。 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000001761737873.png)：开启状态。 2. 添规则拦截所有来源IP。 - **方法一** ：添加以下2条黑名单规则，拦截所有来源IP，如[图3]和[图4]所示。 图3拦截1.0.0.0/1 IP地址段 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002121541586.png "点击放大") 图4拦截128.0.0.0/1 IP地址段 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002121544454.png "点击放大") - **方法二** ：添加一条精准访问防护规则，拦截所有访问请求。 图5拦截所有的请求 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002007942858.png "点击放大") - **方法三** ：添加0.0.0.0/0 和::/0 IP地址段，可实现IPv4全流量拦截和IPv6全流量拦截。 图6IPv4全流量拦截 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002121557494.png "点击放大") 图7IPv6全流量拦截 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002121401282.png "点击放大") 3. 参照[图8]示例添加黑白名单规则，放行指定IP，例如，192.168.2.3。 图8放行指定IP ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000002043823985.png "点击放大") 4. 清理浏览器缓存，在浏览器中访问"http://www.example.com"页面。 当访问者的源IP不属于[3]中设置的放行IP地址时，WAF将拦截该访问请求，拦截页面示例如[图9]所示。 图9WAF拦截攻击请求 ![](https://support.huaweicloud.com/usermanual-waf/zh-cn_image_0000001179033432.png "点击放大") 5. 返回Web应用防火墙管理控制台，在左侧导航树中，单击"防护事件"，进入"防护事件"页面，您可以查看该防护事件。 #### 常见问题 - [黑白名单规则和精准访问防护规则的拦截指定IP访问请求，有什么差异？](https://support.huaweicloud.com/waf_faq/waf_01_0363.html) - [黑白名单删除后仍被拦截的原因及处理方法](https://support.huaweicloud.com/waf_faq/waf_01_0564.html)