Protection – IP adresy WEDOS

V tomto článku se dozvíte:

• Jak WGP ovlivňuje provoz na váš origin server
• Jak na origin serveru povolit IP adresy WGP
• Příklady konfigurace firewallu
• Proč byste měli blokovat veškerý ostatní provoz
• Jak si ověřit konfiguraci
• Jak udržovat seznam IP adres aktuální
• Často kladené dotazy

---

Provoz na váš origin server

Když je vaše doména chráněná službou WEDOS Protection (WGP), veškerý webový provoz prochází před doručením na váš origin server naší proxy sítí. Váš origin server proto vnímá příchozí provoz odlišně:

• Skutečné IP adresy návštěvníků nejsou přímo viditelné. Místo toho veškerý provoz přichází z IP adres WEDOS Global.
• Velké množství požadavků přichází z malého počtu IP adres. Bezpečnostní nástroje (firewally, ochrany hostingu, pluginy) mohou:
  • Blokovat tyto IP adresy
  • Uplatnit rate limity
  • Označit je jako podezřelé

---

Povolte IP adresy WEDOS Global

Aby vaše webové stránky fungovaly správně, nezapomeňte vždy povolit provoz z IP rozsahů WEDOS Global na svém origin serveru.

Úplný seznam najdete zde:

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Obvykle to lze nastavit v:

• Firewallu serveru (iptables, ufw, firewalld)
• Cloudovém firewallu
• Souboru .htaccess vašeho webu

Povolení IP rozsahů WEDOS nelze provést, pokud používáte spravované nástroje pro tvorbu webů jako Wix, Squarespace, Shopify a další.

---

Příklady konfigurace firewallu

Následující příklady ukazují, jak povolit příchozí provoz na portech 80 a 443 pouze z IP rozsahů WEDOS.global. Jde o výchozí body, které je třeba přizpůsobit konkrétnímu prostředí, distribuci a stávajícím pravidlům firewallu. Ve všech příkladech nahraďte zástupné IP rozsahy aktuálními záznamy z https://ips.wedos.global/ips.json nebo https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

Pro IPv6 použijte ip6tables s odpovídajícími IPv6 rozsahy ze seznamu IP adres.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Zablokujte přímý přístup k origin serveru

Pro maximální bezpečnost doporučujeme také zablokovat veškerý ostatní příchozí provoz na váš webový server. Důvodem je, že pokud se IP adresa vašeho origin serveru stane známou prostřednictvím historických DNS záznamů, e-mailových hlaviček, přímého skenování nebo jiných technik, může útočník posílat provoz přímo na váš server a obejít tak WGP i jeho WAF, rate limiting a ochranu proti DDoS.

Proto je osvědčeným postupem:

• Povolit pouze IP rozsahy WEDOS Global a vaše vlastní důvěryhodné IP adresy (např. administrátorský přístup, monitorovací nástroje)
• Blokovat veškerý ostatní provoz na portech 80 (HTTP) a 443 (HTTPS)

---

Ověření konfigurace

Po nastavení omezení podle IP adres ověřte, že je origin server správně chráněný:

1. Otevřete web přes jeho veřejnou doménu. Stránka by se měla načíst normálně, protože provoz přeposílá proxy WGP.
2. Zkuste se z externí sítě připojit přímo na IP adresu origin serveru. Spojení by mělo být odmítnuto nebo vypršet.
3. Zkontrolujte logy origin serveru a ověřte, že příchozí požadavky pocházejí výhradně z IP rozsahů WEDOS.global.

Pokud přímé připojení k origin serveru stále funguje, zkontrolujte konfiguraci firewallu a webového serveru a ujistěte se, že je seznam IP adres WEDOS.global správně použit a že nezůstala žádná kolidující pravidla.

---

Udržujte seznam povolených IP adres aktuální

Seznam IP adres WEDOS.global se může rozšiřovat, jak jsou do Anycast sítě přidávány nové proxy uzly. Aby nedošlo k výpadkům služby, je třeba konfiguraci origin serveru udržovat synchronizovanou s oficiálním seznamem.

Doporučeným postupem je nastavit automatizovaný proces aktualizace který:

• Pravidelně stahuje nejnovější soubor ips.json neboips.txt , a to jednou nebo dvakrát denně.
• Podle toho aktualizuje seznam povolených adres ve firewallu nebo webovém serveru.
• Znovu načte příslušnou službu, aby se změny projevily bez výpadku.

Ruční aktualizace jsou možné, ale přinášejí riziko zastaralé konfigurace, což může vést k blokování legitimního provozu proxy.

---

Časté dotazy