Protection – WEDOS IP-Adressen

In diesem Artikel erfahren Sie:

• Wie sich WGP auf den Datenverkehr zu Ihrem Origin-Server auswirkt
• Wie Sie WGP IP-Adressen auf Ihrem Origin-Server zulassen
• Beispiele für die Konfiguration Ihrer Firewall
• Warum Sie den gesamten übrigen Datenverkehr blockieren sollten
• Wie Sie Ihre Konfiguration überprüfen
• Wie Sie die IP-Liste aktuell halten
• Häufig gestellte Fragen

---

Datenverkehr zu Ihrem Origin-Server

Wenn Ihre Domain durch WEDOS Protection (WGP) geschützt ist, wird der gesamte Web-Datenverkehr über unser Proxy-Netzwerk geleitet, bevor er den Origin-Server erreicht. Aus diesem Grund nimmt Ihr Origin-Server den eingehenden Datenverkehr anders wahr:

• Die echten IP-Adressen der Besucher sind nicht direkt sichtbar. Stattdessen scheint der gesamte Datenverkehr von WEDOS Global IP-Adressen zu kommen.
• Große Mengen an Anfragen kommen von einer kleinen Anzahl von IPs. Sicherheitswerkzeuge (Firewalls, Hosting-Schutzmechanismen, Plugins) können:
  • diese IPs blockieren
  • Rate-Limits anwenden
  • sie als verdächtig einstufen

---

WEDOS Global IP-Adressen zulassen

Damit Ihre Website korrekt funktioniert, sollten Sie den Datenverkehr aus den WEDOS Global IP-Bereichen immer zulassen auf Ihrem Origin-Server.

Die vollständige Liste finden Sie hier:

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Dies lässt sich in der Regel konfigurieren in:

• der Server-Firewall (iptables, ufw, firewalld)
• der Cloud-Firewall
• der Datei .htaccess Ihrer Website

Das Zulassen von WEDOS IP-Bereichen ist nicht möglich, wenn Sie verwaltete Website-Baukästen wie Wix, Squarespace, Shopify und andere nutzen.

---

Beispiele für Firewall-Konfigurationen

Die folgenden Beispiele zeigen, wie eingehender Datenverkehr auf den Ports 80 und 443 nur aus den WEDOS.global IP-Bereichen zugelassen wird. Es handelt sich um Ausgangspunkte, die an die jeweilige Umgebung, Distribution und die vorhandenen Firewall-Regeln angepasst werden sollten. Ersetzen Sie in allen Beispielen die Platzhalter-IP-Bereiche durch die aktuellen Einträge aus https://ips.wedos.global/ips.json oder https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

Für IPv6 verwenden Sie ip6tables mit den entsprechenden IPv6-Bereichen aus der IP-Liste.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Direkten Zugriff auf Ihren Origin-Server blockieren

Für maximale Sicherheit empfehlen wir, zusätzlich den gesamten übrigen eingehenden Datenverkehr zu blockieren zu Ihrem Webserver. Der Grund dafür ist: Wird die IP-Adresse Ihres Origin-Servers durch historische DNS-Einträge, E-Mail-Header, direktes Scannen oder andere Techniken bekannt, kann ein Angreifer den Datenverkehr direkt an Ihren Server senden und dabei WGP mit seiner WAF, seinen Rate-Limits und seinem DDoS-Schutz umgehen.

Daher empfiehlt es sich:

• nur WEDOS Global IP-Bereiche und Ihre eigenen vertrauenswürdigen IPs zuzulassen (z. B. für den Administratorzugang oder Monitoring-Werkzeuge)
• den gesamten übrigen Datenverkehr zu blockieren auf den Ports 80 (HTTP) und 443 (HTTPS)

---

Die Konfiguration überprüfen

Überprüfen Sie nach dem Anwenden der IP-Beschränkungen, ob der Origin-Server ordnungsgemäß geschützt ist:

1. Rufen Sie die Website über ihre öffentliche Domain auf. Die Seite sollte normal laden, da der Datenverkehr durch den WGP-Proxy weitergeleitet wird.
2. Versuchen Sie, sich aus einem externen Netzwerk direkt mit der IP-Adresse des Origin-Servers zu verbinden. Die Verbindung sollte abgelehnt werden oder in eine Zeitüberschreitung laufen.
3. Prüfen Sie die Protokolle des Origin-Servers, um zu bestätigen, dass eingehende Anfragen ausschließlich aus den WEDOS.global IP-Bereichen stammen.

Wenn direkte Verbindungen zum Origin-Server weiterhin erfolgreich sind, überprüfen Sie die Konfiguration der Firewall und des Webservers, um sicherzustellen, dass die WEDOS.global IP-Liste korrekt angewendet wurde und keine widersprüchlichen Regeln bestehen bleiben.

---

IP-Whitelist aktuell halten

Die WEDOS.global IP-Liste kann erweitert werden, wenn dem Anycast-Netzwerk neue Proxy-Knoten hinzugefügt werden. Um Betriebsstörungen zu vermeiden, sollte die Konfiguration des Origin-Servers mit der offiziellen Liste synchron gehalten werden.

Empfehlenswert ist die Einrichtung eines automatisierten Aktualisierungsprozesses der:

• in regelmäßigen Abständen die neueste Datei ips.json oderips.txt ein- bis zweimal täglich herunterlädt.
• die Whitelist der Firewall oder des Webservers entsprechend aktualisiert.
• den betreffenden Dienst neu lädt, um die Änderungen ohne Ausfallzeit zu übernehmen.

Manuelle Aktualisierungen sind möglich, bergen jedoch das Risiko veralteter Konfigurationen, was dazu führen kann, dass legitimer Proxy-Datenverkehr blockiert wird.

---

FAQ