← Документация WAF / tools
Zone Lockdown
Zone Lockdown задаёт список из одного или нескольких IP-адресов, диапазонов CIDR или сетей, которым разрешён доступ к домену, поддомену или URL-адресу. В одном правиле Zone Lockdown можно настроить несколько адресатов, включая адреса IPv4/IPv6.
IP-адреса, не указанные в правиле Zone Lockdown, не получат доступа к указанным ресурсам. Запросы с этих IP-адресов получат Access Denied ответ.
Доступность
Cloudflare Zone Lockdown доступен на платных тарифных планах. Правила Zone Lockdown опция отображается только если вы настроили хотя бы одно правило zone lockdown.
Количество доступных правил Zone Lockdown зависит от вашего плана Cloudflare.
| Free | Pro | Business | Enterprise | |
|---|---|---|---|---|
| Доступность | Нет | Да | Да | Да |
| Количество правил | 0 | 3 | 10 | 200 |
Создание правила Zone Lockdown
Если у вас есть доступ к правилам Zone Lockdown
-
На панели управления Cloudflare перейдите к разделу Правила безопасности страницу.
Перейдите в Правила безопасности ↗ -
Выберите Создать правило > Правила Zone Lockdown.
Если этот вариант недоступен, см. инструкции ниже. -
Введите описательное название правила в Название.
-
Для URL-адреса, введите домены, поддомены или URL-адреса, которые нужно защитить от неавторизованных IP-адресов. Можно использовать подстановочные знаки, например
*. Вводите по одному элементу на строку. -
Для IP Range, введите один или несколько разрешенных адресов IPv4/IPv6 или диапазонов CIDR, по одному в строке. Только эти IP-адреса и диапазоны будут иметь доступ к ресурсам, указанным в URL-адреса.
-
(Необязательно) Если вы создаёте правило Zone Lockdown, которое пересекается с уже существующим правилом, разверните Advanced Options и укажите приоритет правила в Приоритет. Чем меньше число, тем выше приоритет. Правила с более высоким приоритетом имеют преимущество.
-
Выберите Save and Deploy для правила Zone Lockdown.
Если у вас нет доступа к правилам Zone Lockdown
Создайте пользовательское правило чтобы выполнить zone lockdown:
-
На панели управления Cloudflare перейдите к разделу Правила безопасности страницу.
Перейдите в Правила безопасности ↗ -
Выберите Шаблоны, а затем выберите шаблон Разрешить только указанные IP-адреса.
-
Заполните обязательные поля и выберите Развернуть.
Выдайте POST запрос к Создание правила Zone Lockdown операцию, аналогичную следующей:
Необходимые разрешения API-токена
Хотя бы одно из следующих права доступа токена требуется:Firewall Services Write
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/firewall/lockdowns" \
--request POST \
--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
--json '{
"description": "Block all traffic to staging and wiki unless it comes from HQ or branch offices",
"urls": [
"staging.example.com/*",
"example.com/wiki/*"
],
"configurations": [
{
"target": "ip_range",
"value": "192.0.2.0/24"
},
{
"target": "ip_range",
"value": "2001:DB8::/64"
},
{
"target": "ip",
"value": "203.0.133.1"
}
]
}'Пример правила
Следующее правило-пример разрешит доступ к стейджинговой среде и wiki только посетителям, подключающимся из штаб-квартиры компании или её филиалов:
-
Имя:
Block all traffic to staging and wiki unless it comes from HQ or branch offices -
URL-адреса:
staging.example.com/* example.com/wiki/* -
IP Range:
192.0.2.0/24 2001:DB8::/64 203.0.133.1
Этот пример не защитит внутреннюю вики, расположенную по другому пути каталога, например example.com/internal/wiki.
Пример отказа в доступе
Посетитель с неавторизованного IP-адреса получит следующую ошибку при совпадении с правилом Zone Lockdown:
