了解如何利用 IP 访问规则来限制、质询或允许流向您的站点的流量。

概述

IP 访问规则通常用于阻止或质询可疑的恶意流量。IP 访问规则的另一种常见用途是允许定期访问您的站点的服务（API、爬网程序、支付提供商等）。IP 访问规则根据访问者的 IP 地址、国家/地区或 ASN，对流量执行列入允许列表、阻止和质询操作。

IP 访问规则有五个可配置的操作：

• 列入允许列表：将访问者从所有安全检查中排除（浏览器完整性检查、I'm Under Attack 模式和 WAF 等）。当可信访问者被 Cloudflare 的默认安全功能阻止时，您可以使用此功能。列入允许列表优先于阻止。

• 托管质询：根据请求的特性，Cloudflare 将执行以下操作：
  • 显示一个非交互式的质询页面（类似于当前的 JS 质询）
  • 显示 Captcha
• JavaScript 质询：向访问者展示 I'm Under Attack Mode 插页。要求访问者的浏览器或客户端支持 JavaScript。可用于阻止 DDoS 攻击，并对合法访问者的影响最小。
• 旧版 CAPTCHA：要求访问者完成 CAPTCHA 后，再访问您的站点。防止机器人访问该站点。
• 阻止：阻止访问者访问您的站点。

添加 IP 访问规则

若要创建 IP 访问规则 ，请按照下列步骤操作：

1. 登录您的 Cloudflare 帐户。
2. 选择您的域名。
3. 打开安全性 > WAF。
4. 单击工具选项卡。
5. 在 IP 访问规则下 ，输入以下详细信息：
6. 输入值作为 IP、IP范围或两个字母的国家/地区代码。
7. 选择操作 。
8. 选择规则适用于该网站还是帐户中的所有网站。
9. （可选）添加注释 （即 Payment Gateway ）。
10. 单击添加 。

另外，您也可以通过 Cloudflare API 以编程方式阻止或信任 IP。Cloudflare 支持在您的服务器上使用 fail2ban 来阻止 IP。但是，为防止 fail2ban 意外阻止 Cloudflare IP 并给某些访问者造成错误，请确保在源服务器日志中恢复源访问者 IP。 

访问规则的类型

访问规则有几种类型：

被 Cloudflare 全局允许的 IP 可通过 IP 访问规则覆盖国家/地区阻止，但不通过防火墙规则覆盖国家/地区阻止。

地址范围示例

IP 访问规则限制

帐户限制为最多 50,000 条规则。企业客户可以通过其客户团队请求增加规则限制。

按国家/地区阻止仅面向 Cloudflare Enterprise 计划。另外，使用防火墙规则的所有计划也可使用按国家/地区阻止。

两字母国家/地区代码

以下是为 IP 防火墙创建 Access Rule 所需的 ISO 3166-1 Alpha 2 格式的二位字母国家/地区代码的完整列表：

相关资源

• 了解您的站点保护选项
• 防火墙分析