← Dokumentace WAF / tools

IP Access rules

Použijte IP Access rules k allowlist, blokovat a challengovat provoz na základě IP adresy návštěvníka, Autonomous System Number (ASN) nebo země.

Pravidla IP Access se běžně používají k blokování nebo prověřování podezřelého škodlivého provozu. Dalším běžným využitím pravidel IP Access je povolení služeb, které pravidelně přistupují na váš web, jako jsou API, crawlery a poskytovatelé plateb.

Blokování podle země je k dispozici pouze v plánech Enterprise.

IP adresy globálně povolené Cloudflare přepíší blokování podle země nastavené pravidlem IP Access, ale nepřepíší blokování podle země prostřednictvím vlastní pravidla.

Povolení země znamená:

• Obcházení veškerých nastavených vlastní pravidla, pravidla rate limitingu, a Firewall Rules (zastaralé).
• Neobchází WAF Managed Rules nebo WAF managed rules (předchozí verze).

Cloudflare doporučuje vytvořit vlastní pravidla namísto IP Access rules k provádění blokování na základě IP adresy nebo geografické polohy (geoblokování):

• Pro blokování na základě IP adresy použijte Seznam IP adres ve výrazu vlastního pravidla. Podívejte se na Povolit provoz pouze z IP adres na seznamu povolených pro příklad.
• Pro geoblokování použijte pole jako AS Num, Země, a Kontinent ve výrazu vlastního pravidla. Podívejte se na Blokování provozu z konkrétních zemí pro příklad.

Při přechodu na vlastní pravidla zvažte nahrazení Allow akce podporovaná v IP Access rules s Přeskočit akce. Mějte na paměti, že Přeskočit akce neobchází všechny bezpečnostní funkce aplikací Cloudflare.

Pravidla IP Access jsou dostupná všem zákazníkům.

Každý účet Cloudflare může mít maximálně 50,000 pravidel. Pokud jste zákazníkem plánu Enterprise a potřebujete více pravidel, obraťte se na svůj tým podpory účtu.

Blokování podle země je k dispozici pouze v plánech Enterprise. Ostatní zákazníci mohou provádět blokování podle zemí pomocí WAF custom rules.

• Pravidla IP Access jsou už ze své podstaty nastavená na Allow provoz se nezobrazuje v Security Events.

• Požadavky obsahující určité vzory útoku v User-Agent pole se kontrolují ještě před zpracováním v obecném firewallovém pipeline. Takové požadavky jsou proto blokovány dříve, než se uplatní jakákoli logika allowlistu. Když k tomu dojde, bezpečnostní události stažené z API zobrazují rule_id jako security_level a akci jako drop.

• Cloudflare podporuje použití fail2ban k blokování IP adres na vašem serveru. Aby se však zabránilo fail2ban před neúmyslným blokováním IP adres Cloudflare a vznikem chyb u některých návštěvníků se ujistěte, že v protokolech svého origin serveru obnovíte původní IP adresu návštěvníka. Podrobnosti naleznete v Obnovení původních IP adres návštěvníků.

Další informace o možnostech ochrany, které Cloudflare nabízí pro zabezpečení vašeho webu proti škodlivému provozu a útočníkům, najdete v Zabezpečení účtu.