★ FEATURED ARTICLE 前言在企业日常运维中内网穿透经常用来解决无公网 IP 环境下远程访问内网资源的需求运维人员会把 OA、ERP、业务 API、服务器、数据库、内网主机映射为公网 HTTPS 或者 TCP 访问入口。但该方案会带来不容忽视的安全风险原本仅限内网访问的业务安全边界直接扩散到整个互联网。Web 入口会遭遇账号撞库、路径探测、接口枚举SSH、RDP、数据库这类 TCP 端口一旦暴露公网会被全网扫描器探测极易发生暴力破解给内网主机带来入侵、勒索病毒风险。IP 黑白名单是网络层基础访问控制策略基于访问来源 IP 做放行或者拒绝。如果将该能力部署在边缘网关可以在请求进入内网隧道之前完成拦截无需在内网服务器修改防火墙有效缩小公网攻击暴露面。1 IP 黑白名单基础概念IP 黑白名单识别访问请求的源 IP 地址按照预设策略做转发或者拒绝。属于网络层访问控制不会解析业务报文不能替代业务系统内部账号权限体系。分为白名单模式、黑名单模式两种工作模式。1.1 白名单模式仅允许列表内的单 IP 或者 CIDR 网段访问列表之外全部拒绝访问。逻辑为默认拒绝显式放行安全边界最严格运维场景优先推荐使用。适用场景合作方固定出口 IP、分公司办公宽带 NAT 出口、堡垒机、集中 VPN 公网出口。运维注意配置网段尽量收窄优先单 IP 或小网段不要为省事配置/16这类大网段会扩大攻击面。1.2 黑名单模式拒绝名单内的 IP / 网段不在黑名单中的来源默认允许访问。适合业务整体对外开放需要封禁已知恶意扫描 IP、异常探测节点的应急场景。运维注意黑名单只能处理已经发现的恶意 IP无法防御未知攻击不能作为唯一防护手段。2 边缘网关 IP 访问控制的运维价值访问控制策略部署在边缘网关以单条隧道作为独立配置单元HTTPS、TCP 隧道均可分别配置带来下面几点运维价值未授权请求网关直接拦截不流入内网对比请求进入内网再返回 401/403非法请求直接在边缘网关丢弃不会建立隧道连接降低内网服务器连接压力与枚举探测压力。按隧道精细化管控业务之间互不干扰OA、对外 API、RDP、SSH、数据库隧道维护各自独立 IP 名单。修改某一条隧道的 IP 策略不会影响其他映射隧道关闭、删除对应访问策略同步回收。支持单 IP 与 CIDR 网段既支持填写单个 IP也支持 CIDR 掩码网段不需要为每一个 IP 单独创建隧道适配合作方多出口的对接场景。支持多安全策略叠加组合IP 黑白名单可以和身份认证、路由白名单、地域访问控制等网关安全策略一起使用构建多层边界防护体系。3 典型业务落地场景场景 1合作方、分支 API 对接白名单锁定对方出口 IP企业内网 ERP、主数据、报工接口通过内网穿透对外提供 HTTPS 调用。业务仅允许指定合作方系统访问收集合作方固定公网出口 IP在对接隧道启用白名单模式仅放行登记 IP。合作方出口 IP 变更时直接在网关策略面板更新 IP 列表不需要登录内网服务器修改防火墙。未登记来源全部网关拦截不必将内网接口暴露给全网。场景 2RDP、SSH 远程运维隧道仅放行可信运维来源内网开发服务器通过 RDP、SSH 的 TCP 隧道映射公网运维端口公网暴露风险远高于普通 Web 业务。隧道配置 IP 白名单仅放行分公司出口、堡垒机、运维固定办公 IP。遇到临时外包运维可短期添加单 IP项目结束后及时删除最小化攻击暴露面。场景 3MySQL、PostgreSQL 数据库 TCP 隧道加固内网数据库通过 TCP 隧道映射公网端口极易遭遇全网扫库、口令爆破。数据库隧道启用 IP 白名单仅放行办公网出口、堡垒机、经过审批的值班 IP。不同数据库隧道维护独立 IP 名单临时联调可临时增加 IP调试结束立刻删除。提示IP 名单仅管控访问来源数据库账号密码安全策略仍需要正常配置。场景 4隧道遭遇扫描探测黑名单快速止血访问日志观察到同一个 IP 短时间大量 404、401、异常路径探测行为可先将该恶意 IP 加入黑名单临时阻断攻击流量缓解业务压力。黑名单属于应急止血手段后续结合访问日志评估条件允许尽量收紧为白名单或者叠加地域访问控制实现长期安全防护。4 配置逻辑说明IP 黑白名单按隧道粒度独立配置不同隧道之间策略互不影响。进入隧道管理页面选中目标业务隧道打开流量策略配置面板。找到 IP 黑白名单配置项开启策略开关选择模式白名单 / 黑名单录入单 IP 或者 CIDR 网段例如203.0.113.10/32、198.51.100.0/24。保存策略配置在边缘网关实时生效无需重启隧道。 【上传图片填写图注IP 黑白名单策略生效界面】运维小建议居家值班 IP 不固定时可谨慎添加对应出口小网段尽量避免大范围网段。小结内网穿透解决内网服务公网可达但网络可达不等于访问安全。很多运维直接将内网业务、数据库、运维端口对外暴露把全部安全压力交由内网应用承担。部署在边缘网关的 IP 黑白名单可以在网络层完成来源 IP 校验白名单实现 “默认拒绝、显式放行”黑名单用于应急处置已知恶意 IP。策略按隧道隔离非法流量在网关拦截不会进入内网隧道有效降低内网穿透带来的公网攻击暴露面。
阅读完成 · 觉得有帮助？
