IIS 动态 IP 限制白名单

Question

请您指导我如何在使用站点范围的 DIPR 时指定 IP 地址白名单？

<security>
  <dynamicIpSecurity denyAction="Forbidden">
    <denyByRequestRate enabled="true" maxRequests="5000" requestIntervalInMilliseconds="86399999"/>
  </dynamicIpSecurity>
</security>

Answer 1

您实际上可以做到这一点。 the tutorial 中显示的 UI但是已经过时了。相反，您转到“IP 地址和域限制”(IIS 10) 并添加一些“允许”IP 和/或范围。

在您的 web.config 或 applicationHost.config 中， 将添加一个兄弟元素，如下所示:

<ipSecurity allowUnlisted="true">
    <add ipAddress="127.0.0.1" allowed="true" />
</ipSecurity>

“允许的”IP 将跳过您的动态过滤。

如果启用了“代理模式”选项，则需要将所有 WAF 和 CDN IP 范围添加到“允许”IP。过滤将跳过“允许”列表中的所有 IP，从实际传入 IP 开始，然后在 X-Forwarded-For header 中列出的 IP 上从后到前。

遇到的第一个不在“允许”列表中的 IP 是用于动态过滤目的的 IP。有关详细信息，请参阅 this Wade Hilmo post在 IIS.net 上。