Protection – IP adresy WEDOS

V tomto článku sa dozviete:

• Ako WGP ovplyvňuje prevádzku na váš origin server
• Ako na origin serveri povoliť IP adresy WGP
• Príklady konfigurácie firewallu
• Prečo by ste mali blokovať všetku ostatnú prevádzku
• Ako si overiť konfiguráciu
• Ako udržiavať zoznam IP adries aktuálny
• Často kladené otázky

---

Prevádzka na váš origin server

Keď je vaša doména chránená službou WEDOS Protection (WGP), všetka webová prevádzka prechádza pred doručením na váš origin server našou proxy sieťou. Váš origin server preto vníma prichádzajúcu prevádzku odlišne:

• Skutočné IP adresy návštevníkov nie sú priamo viditeľné. Namiesto toho všetka prevádzka prichádza z IP adries WEDOS Global.
• Veľké množstvo požiadaviek prichádza z malého počtu IP adries. Bezpečnostné nástroje (firewally, ochrany hostingu, pluginy) môžu:
  • Blokovať tieto IP adresy
  • Uplatniť rate limity
  • Označiť ich ako podozrivé

---

Povoľte IP adresy WEDOS Global

Aby vaša webová stránka fungovala správne, nezabudnite vždy povoliť prevádzku z IP rozsahov WEDOS Global na svojom origin serveri.

Úplný zoznam nájdete tu:

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Zvyčajne to možno nastaviť v:

• Firewalle servera (iptables, ufw, firewalld)
• Cloudovom firewalle
• Súbore .htaccess vášho webu

Povolenie IP rozsahov WEDOS nie je možné, ak používate spravované nástroje na tvorbu webov ako Wix, Squarespace, Shopify a ďalšie.

---

Príklady konfigurácie firewallu

Nasledujúce príklady ukazujú, ako povoliť prichádzajúcu prevádzku na portoch 80 a 443 iba z IP rozsahov WEDOS.global. Ide o východiskové body, ktoré je potrebné prispôsobiť konkrétnemu prostrediu, distribúcii a existujúcim pravidlám firewallu. Vo všetkých príkladoch nahraďte zástupné IP rozsahy aktuálnymi záznamami z https://ips.wedos.global/ips.json alebo https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

Pre IPv6 použite ip6tables so zodpovedajúcimi IPv6 rozsahmi zo zoznamu IP adries.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Zablokujte priamy prístup k origin serveru

Pre maximálnu bezpečnosť odporúčame tiež zablokovať všetku ostatnú prichádzajúcu prevádzku na váš webový server. Dôvodom je, že ak sa IP adresa vášho origin servera stane známou prostredníctvom historických DNS záznamov, e-mailových hlavičiek, priameho skenovania alebo iných techník, útočník môže posielať prevádzku priamo na váš server a obísť tak WGP aj jeho WAF, rate limiting a ochranu proti DDoS.

Preto je osvedčeným postupom:

• Povoliť iba IP rozsahy WEDOS Global a vaše vlastné dôveryhodné IP adresy (napr. administrátorský prístup, monitorovacie nástroje)
• Blokovať všetku ostatnú prevádzku na portoch 80 (HTTP) a 443 (HTTPS)

---

Overenie konfigurácie

Po nastavení obmedzení podľa IP adries overte, že je origin server správne chránený:

1. Otvorte web cez jeho verejnú doménu. Stránka by sa mala načítať normálne, pretože prevádzku preposiela proxy WGP.
2. Skúste sa z externej siete pripojiť priamo na IP adresu origin servera. Spojenie by malo byť odmietnuté alebo by malo vypršať.
3. Skontrolujte logy origin servera a overte, že prichádzajúce požiadavky pochádzajú výhradne z IP rozsahov WEDOS.global.

Ak priame pripojenie k origin serveru stále funguje, skontrolujte konfiguráciu firewallu a webového servera a uistite sa, že je zoznam IP adries WEDOS.global správne použitý a že nezostali žiadne kolidujúce pravidlá.

---

Udržiavajte zoznam povolených IP adries aktuálny

Zoznam IP adries WEDOS.global sa môže rozširovať, ako sa do Anycast siete pridávajú nové proxy uzly. Aby nedošlo k výpadkom služby, je potrebné konfiguráciu origin servera udržiavať synchronizovanú s oficiálnym zoznamom.

Odporúčaným postupom je nastaviť automatizovaný proces aktualizácie ktorý:

• Pravidelne sťahuje najnovší súbor ips.json aleboips.txt , a to raz alebo dvakrát denne.
• Podľa toho aktualizuje zoznam povolených adries vo firewalle alebo webovom serveri.
• Znovu načíta príslušnú službu, aby sa zmeny prejavili bez výpadku.

Ručné aktualizácie sú možné, ale prinášajú riziko zastaranej konfigurácie, čo môže viesť k blokovaniu legitímnej prevádzky proxy.

---

Časté otázky