iis动态IP限制白名单

Question

在使用网站范围的DIPR时，请您指点一下如何指定IP地址白名单？

感谢。

<security>
  <dynamicIpSecurity denyAction="Forbidden">
      <denyByRequestRate enabled="true" maxRequests="5000" requestIntervalInMilliseconds="86399999"/>
  </dynamicIpSecurity>
</security>

Answer 1

你实际上可以做到这一点。不过，the tutorial 中显示的 UI 已过时。相反，您转到“IP 地址和域限制”(IIS 10) 并添加一些“允许”IP 和/或范围。

在您的 web.config 或 applicationHost.config 中，将添加如下所示的同级元素：

<ipSecurity allowUnlisted="true">
    <add ipAddress="127.0.0.1" allowed="true" />
</ipSecurity>

“允许的”IP 可以跳过您的动态过滤。

如果您启用了“代理模式”选项，则需要将所有 WAF 和 CDN IP 范围添加到“允许的”IP。过滤将跳过“允许”列表中的所有 IP，从实际传入的 IP 开始，然后是 X-Forwarded-For 标头中列出的 IP 的倒数第一个。

遇到的第一个不在“允许”列表中的 IP 是用于动态过滤目的的 IP。有关详细信息，请参阅 IIS.net 上的 this Wade Hilmo post。