Protection – adresy IP WEDOS

Z tego artykułu dowiedzą się Państwo:

• Jak WGP wpływa na ruch do Państwa serwera origin
• Jak zezwolić na adresy IP WGP na serwerze origin
• Przykłady konfiguracji zapory
• Dlaczego warto zablokować cały pozostały ruch
• Jak zweryfikować konfigurację
• Jak utrzymywać aktualną listę adresów IP
• Najczęściej zadawane pytania

---

Ruch do Państwa serwera origin

Gdy domena jest chroniona przez WEDOS Protection (WGP), cały ruch WWW przechodzi przed dotarciem do serwera origin przez naszą sieć proxy. Z tego powodu serwer origin postrzega ruch przychodzący inaczej:

• Rzeczywiste adresy IP odwiedzających nie są bezpośrednio widoczne. Zamiast tego cały ruch pochodzi z adresów IP WEDOS Global.
• Duża liczba żądań pochodzi z niewielkiej liczby adresów IP. Narzędzia bezpieczeństwa (zapory, zabezpieczenia hostingu, wtyczki) mogą:
  • Blokować te adresy IP
  • Stosować limity szybkości (rate limit)
  • Oznaczać je jako podejrzane

---

Zezwolenie na adresy IP WEDOS Global

Aby strona działała prawidłowo, należy zawsze zezwalać na ruch z zakresów IP WEDOS Global na swoim serwerze origin.

Pełną listę znajdą Państwo tutaj:

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Zazwyczaj można to skonfigurować w:

• Zaporze serwera (iptables, ufw, firewalld)
• Zaporze chmurowej
• Pliku .htaccess Państwa strony

Zezwolenie na zakresy IP WEDOS nie jest możliwe, jeśli korzystają Państwo z zarządzanych kreatorów stron, takich jak Wix, Squarespace, Shopify i inne.

---

Przykładowe konfiguracje zapory

Poniższe przykłady pokazują, jak zezwolić na ruch przychodzący na portach 80 i 443 wyłącznie z zakresów IP WEDOS.global. Są to punkty wyjścia, które należy dostosować do konkretnego środowiska, dystrybucji i istniejących reguł zapory. We wszystkich przykładach prosimy zastąpić przykładowe zakresy IP aktualnymi wpisami z https://ips.wedos.global/ips.json lub https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

W przypadku IPv6 prosimy użyć ip6tables z odpowiednimi zakresami IPv6 z listy adresów IP.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Blokowanie bezpośredniego dostępu do serwera origin

Dla maksymalnego bezpieczeństwa zalecamy również zablokowanie całego pozostałego ruchu przychodzącego do Państwa serwera WWW. Powodem jest to, że jeśli adres IP serwera origin zostanie ujawniony poprzez historyczne rekordy DNS, nagłówki wiadomości e-mail, bezpośrednie skanowanie lub inne techniki, atakujący może wysyłać ruch bezpośrednio do serwera, omijając WGP oraz jego WAF, limity szybkości i ochronę przed DDoS.

Dlatego najlepszą praktyką jest:

• Zezwolić wyłącznie na zakresy IP WEDOS Global oraz własne zaufane adresy IP (np. dostęp administracyjny, narzędzia monitorujące)
• Zablokować cały pozostały ruch na portach 80 (HTTP) i 443 (HTTPS)

---

Weryfikacja konfiguracji

Po zastosowaniu ograniczeń IP należy potwierdzić, że serwer origin jest prawidłowo chroniony:

1. Prosimy otworzyć stronę przez jej publiczną domenę. Strona powinna wczytać się normalnie, ponieważ ruch jest przekazywany przez proxy WGP.
2. Prosimy spróbować połączyć się bezpośrednio z adresem IP serwera origin z sieci zewnętrznej. Połączenie powinno zostać odrzucone lub przekroczyć limit czasu.
3. Prosimy sprawdzić logi serwera origin, aby potwierdzić, że żądania przychodzące pochodzą wyłącznie z zakresów IP WEDOS.global.

Jeśli bezpośrednie połączenia z serwerem origin nadal się udają, prosimy przejrzeć konfigurację zapory i serwera WWW, aby upewnić się, że lista adresów IP WEDOS.global jest prawidłowo zastosowana i że nie pozostały żadne sprzeczne reguły.

---

Utrzymywanie aktualnej listy dozwolonych adresów IP

Lista adresów IP WEDOS.global może być rozszerzana wraz z dodawaniem nowych węzłów proxy do sieci Anycast. Aby uniknąć przerw w działaniu usługi, konfigurację serwera origin należy utrzymywać zsynchronizowaną z oficjalną listą.

Zalecanym podejściem jest skonfigurowanie automatycznego procesu aktualizacji który:

• Regularnie pobiera najnowszy plik ips.json lubips.txt , raz lub dwa razy dziennie.
• Odpowiednio aktualizuje listę dozwolonych adresów w zaporze lub na serwerze WWW.
• Przeładowuje odpowiednią usługę, aby zastosować zmiany bez przestoju.

Ręczne aktualizacje są możliwe, ale wiążą się z ryzykiem nieaktualnej konfiguracji, co może prowadzić do blokowania legalnego ruchu proxy.

---

FAQ