Protection – Direcciones IP de WEDOS

En este artículo aprenderá:

• Cómo afecta WGP al tráfico hacia su servidor de origen
• Cómo permitir las direcciones IP de WGP en su servidor de origen
• Ejemplos de configuración de su cortafuegos
• Por qué debería bloquear todo el resto del tráfico
• Cómo verificar su configuración
• Cómo mantener actualizada la lista de IP
• Preguntas frecuentes

---

Tráfico hacia su servidor de origen

Cuando su dominio está protegido por WEDOS Protection (WGP), todo el tráfico web se enruta a través de nuestra red de proxies antes de llegar a su servidor de origen. Por este motivo, su servidor de origen percibe el tráfico entrante de forma diferente:

• Las direcciones IP reales de los visitantes no se ven directamente. En su lugar, todo el tráfico parece provenir de direcciones IP de WEDOS Global.
• Llegan grandes volúmenes de solicitudes desde un número reducido de IP. Las herramientas de seguridad (cortafuegos, protecciones del alojamiento, plugins) pueden:
  • bloquear estas IP
  • aplicar límites de velocidad
  • marcarlas como sospechosas

---

Permitir las direcciones IP de WEDOS Global

Para que su sitio web funcione correctamente, asegúrese de permitir siempre el tráfico procedente de los rangos de IP de WEDOS Global en su servidor de origen.

Puede consultar la lista completa aquí:

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Esto se suele configurar en:

• el cortafuegos del servidor (iptables, ufw, firewalld)
• el cortafuegos en la nube
• el archivo .htaccess de su sitio web

No es posible permitir los rangos de IP de WEDOS si utiliza creadores de sitios web gestionados como Wix, Squarespace, Shopify y otros.

---

Ejemplos de configuración del cortafuegos

Los siguientes ejemplos muestran cómo permitir el tráfico entrante en los puertos 80 y 443 únicamente desde los rangos de IP de WEDOS.global. Son puntos de partida y deben adaptarse al entorno, la distribución y las reglas de cortafuegos existentes en cada caso. En todos los ejemplos, sustituya los rangos de IP de ejemplo por las entradas actuales de https://ips.wedos.global/ips.json o https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

Para IPv6, utilice ip6tables con los rangos IPv6 correspondientes de la lista de IP.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Bloquear el acceso directo a su servidor de origen

Para una seguridad máxima, recomendamos que además bloquee todo el resto del tráfico entrante hacia su servidor web. El motivo es que, si la dirección IP de su servidor de origen llega a conocerse a través de registros DNS antiguos, cabeceras de correo electrónico, escaneos directos u otras técnicas, un atacante puede enviar tráfico directamente a su servidor, eludiendo WGP y su WAF, su limitación de velocidad y su protección contra DDoS.

Por lo tanto, la mejor práctica es:

• permitir únicamente los rangos de IP de WEDOS Global y sus propias IP de confianza (por ejemplo, el acceso de administración o las herramientas de monitorización)
• bloquear todo el resto del tráfico en los puertos 80 (HTTP) y 443 (HTTPS)

---

Verificar la configuración

Después de aplicar las restricciones de IP, confirme que el servidor de origen está correctamente protegido:

1. Acceda al sitio web a través de su dominio público. El sitio debería cargarse con normalidad, ya que el tráfico lo reenvía el proxy de WGP.
2. Intente conectarse directamente a la dirección IP del servidor de origen desde una red externa. La conexión debería ser rechazada o agotar el tiempo de espera.
3. Revise los registros del servidor de origen para confirmar que las solicitudes entrantes proceden exclusivamente de los rangos de IP de WEDOS.global.

Si las conexiones directas al servidor de origen siguen teniendo éxito, revise la configuración del cortafuegos y del servidor web para asegurarse de que la lista de IP de WEDOS.global se aplica correctamente y de que no quedan reglas contradictorias.

---

Mantener actualizada la lista de IP permitidas

La lista de IP de WEDOS.global puede ampliarse a medida que se añaden nuevos nodos proxy a la red Anycast. Para evitar interrupciones del servicio, la configuración del servidor de origen debe mantenerse sincronizada con la lista oficial.

El enfoque recomendado es configurar un proceso de actualización automatizado que:

• descargue periódicamente el archivo más reciente ips.json oips.txt una o dos veces al día.
• actualice en consecuencia la lista de permitidos del cortafuegos o del servidor web.
• recargue el servicio correspondiente para aplicar los cambios sin tiempo de inactividad.

Las actualizaciones manuales son posibles, pero conllevan el riesgo de configuraciones obsoletas, lo que puede provocar que se bloquee tráfico legítimo del proxy.

---

FAQ