← Документация WAF / tools

IP Access rules

Используйте правила IP Access, чтобы allowlist, блокировать и подвергать проверке трафик на основе IP-адреса посетителя, номера автономной системы (ASN) или страны.

Правила IP Access обычно используются для блокировки или проверки подозрительного вредоносного трафика. Ещё один распространённый случай использования правил IP Access: разрешить доступ сервисам, которые регулярно обращаются к вашему сайту, таким как API, краулеры и платёжные системы.

Функция «Блокировка по стране» доступна только на плане Enterprise.

IP-адреса, глобально разрешённые Cloudflare, переопределяют блокировку по стране, заданную правилом IP Access, но не переопределяют блокировку по стране через пользовательские правила.

Разрешение страны означает:

• Обход любых настроенных пользовательские правила, правила ограничения частоты запросов, и правила брандмауэра (устарели).
• Не обходит WAF Managed Rules или WAF managed rules (предыдущая версия).

Cloudflare рекомендует создать пользовательские правила вместо IP Access rules для блокировки по IP-адресу или географическому признаку (геоблокировки):

• Для блокировки по IP-адресу используйте Список IP-адресов в выражении пользовательского правила. См. Разрешить трафик только с IP-адресов из списка разрешений для примера.
• Для геоблокировки используйте такие поля, как AS Num, Страна, а также Континент в выражении пользовательского правила. См. Блокировка трафика из отдельных стран для примера.

При переходе на пользовательские правила рассмотрите замену Allow действие, поддерживаемое правилами IP Access с Пропустить действие. Учтите, что Пропустить действие не отключает все функции защиты приложений Cloudflare.

Правила IP Access доступны всем клиентам.

Каждый аккаунт Cloudflare может содержать не более 50 000 правил. Если вы клиент уровня Enterprise и вам нужно больше правил, обратитесь в свою команду по работе с аккаунтом.

Функция «Блокировка по стране» доступна только на плане Enterprise. Остальные клиенты могут выполнять блокировку по странам с помощью Пользовательские правила WAF.

• Правила IP Access по своей природе, настроенные на Allow трафик не отображается в Security Events.

• Запросы, содержащие определённые паттерны атак в User-Agent поле проверяются до обработки общим конвейером брандмауэра. Поэтому такие запросы блокируются раньше, чем срабатывает логика allowlist. В этом случае события безопасности, полученные из API, показывают rule_id как security_level и действие как drop.

• Cloudflare поддерживает использование fail2ban чтобы блокировать IP-адреса на вашем сервере. Однако, чтобы предотвратить fail2ban от случайной блокировки IP-адресов Cloudflare и связанных с этим ошибок у части посетителей, убедитесь, что в журналах вашего исходного сервера восстановлен исходный IP-адрес посетителя. Подробнее см. в Восстановление исходных IP-адресов посетителей.

Дополнительную информацию о возможностях защиты, которые Cloudflare предлагает для защиты вашего сайта от вредоносного трафика и злоумышленников, см. в Безопасность аккаунта.