文档中心 > 聚石塔

精准访问控制

更新时间：2023/06/07 访问次数：11073

一、匹配条件与匹配动作
二、精准访问控制排序
三、操作步骤
四、精准访问控制配置示例

精准访问规则指对常见的HTTP字段（如IP、URL、Referer、UA、参数等）进行条件组合，配置支持业务场景定制化的防护策略，可用于盗链防护、网站管理后台保护等精准访问控制策略配置。

精准访问控制规则由匹配条件与匹配动作构成。

一、匹配条件与匹配动作

1. 匹配条件

匹配条件包含匹配字段、逻辑符、匹配内容三大要素。通过设置匹配字段、逻辑符和相应的匹配内容定义匹配条件，针对符合匹配条件规则的访问请求定义相应的动作。

说明：匹配内容暂时不支持通过正则表达式描述；匹配内容允许设置空值。

匹配字段	字段描述	适用逻辑符
IP	IP代表访问请求的来源IP。	属于不属于
URL	URL代表访问请求的URL地址。	包含不包含等于不等于
Referer	Referer代表访问请求的来源网址，即该访问请求是从哪个页面跳转产生的。	包含不包含等于不等于长度小于长度等于长度大于不存在
User-Agent	User-Agent代表发起访问请求的客户端的浏览器标识、渲染引擎标识和版本信息等浏览器相关信息。	包含不包含等于不等于长度小于长度等于长度大于
Params	Params代表访问请求的URL地址中的参数部分，通常指URL中”?”后面的部分。例如，`www.abc.com/index.html?action=login`中的`action=login`就是参数部分。	包含不包含等于不等于长度小于长度等于长度大于
Cookie	Cookie代表访问请求中的Cookie信息。	包含不包含等于不等于长度小于长度等于长度大于不存在
Content-Type	Content-Type代表访问请求指定的响应HTTP内容类型，即MIME类型信息。	包含不包含等于不等于长度小于长度等于长度大于
X-Forwarded-For	X-Forwarded-For代表访问请求的客户端真实IP。XFF用来识别通过HTTP代理或负载均衡方式转发的访问请求的客户端最原始的IP地址的HTTP请求头字段，只有通过HTTP代理或者负载均衡服务器转发的访问请求才会包含该项。	包含不包含等于不等于长度小于长度等于长度大于不存在
Content-Length	Content-Length代表访问请求的响应内容所包含的字节数。	值小于值等于值大于
Post-Body	Post-Body代表访问请求的响应内容信息。	包含不包含等于不等于
Http-Method	Http-Method代表访问请求的方法，如GET、POST等。	等于不等于
Header	Header代表访问请求的头部信息，用于自定义HTTP头部字段。	包含不包含等于不等于长度小于长度等于长度大于不存在

说明：包年包月模式WAF高级版与按量付费模式WAF的精准访问控制基础防护功能仅支持IP、URL、Referer、User-Agent匹配字段，且最多只能定义10条精准访问控制规则。

注意事项：

1）每一条精准访问控制规则中最多允许设置三个匹配条件进行组合。

2）同一条精准访问控制规则中的多个匹配条件之间是“与”的逻辑关系，即访问请求必须同时满足所有匹配条件才算命中该精准访问控制规则，并执行相应的匹配动作。

2. 匹配动作

精准访问控制规则支持以下四种匹配动作：

1）阻断：符合匹配条件的访问请求将被直接阻断。

2）放行：符合匹配条件的访问请求将被放行。

3）告警：符合匹配条件的访问请求将被放行，同时WAF会对该请求进行告警。

4）captcha（人机识别验证）：符合匹配条件的访问请求需要通过人机识别验证后方可继续访问。

说明：其中，选择放行、告警或captcha匹配动作后，您可进一步设置该请求是否需要继续经过其它WAF防护功能过滤，包括Web应用攻击防护、CC应用攻击防护、智能防护、地区封禁、数据风控、SDK防护等。即未被精准访问控制规则阻断的请求是否进一步经过其它WAF防护功能的检测。

二、精准访问控制排序

精准访问控制规则之间是有先后匹配顺序的，即访问请求将根据所设定的精准访问控制规则依次进行匹配，顺序较前的精准访问控制规则优先匹配。

您可以通过规则排序功能对所有精准访问控制规则进行排序，以获得最优的防护效果。

三、操作步骤

您可以参考以下操作步骤，为已防护的域名配置精准访问控制：

1. 登录到云盾Web应用防火墙控制台，定位到管理>网站配置。

2. 选择已添加的网站域名记录，单击防护配置。

3. 定位到精准访问控制功能项，开启该功能并单击前去配置配置精准访问控制规则。

4. 单击新增规则，设置规则的匹配条件和相应的匹配动作，单击确定，即可为该域名添加精准访问控制规则。

说明：在精准访问控制规则列表页面，单击规则排序，通过单击上移、下移等可调整精准访问控制规则的排序。

四、精准访问控制配置示例

精准访问控制规则支持多种配置方法，您可以结合自身业务特点定义相应的规则。

您甚至可以通过设置精准访问控制规则实现特定的Web漏洞防护。

1. 配置IP黑白名单

通过设置以下精准访问控制规则，阻断来自1.1.1.1的所有访问请求。

通过设置以下精准访问控制规则，放行来自2.2.2.0/24网段的所有访问请求。

注意：应用此白名单配置规则时，请不要勾选继续执行Waf应用攻击防护和继续执行CC应用攻击防护等选项，不然访问请求仍可能被WAF的其它防护功能所拦截。

2. 拦截特定的攻击请求

通过分析某类特定的WordPress反弹攻击，发现其特征是User-Agent字段都包含WordPress。

因此，可以设置以下精准访问控制规则，拦截该类WordPress反弹攻击请求。

关于WordPress攻击的详细防护配置，请参考防御WordPress反射。

3. 封禁特定的URL

如果您遇到有大量IP在刷某个特定且不存在的URL，您可以通过配置以下精准访问控制规则直接阻断所有该类请求，降低源站服务器的资源消耗。

4. 防盗链

通过配置Referer匹配字段的访问控制规则，您可以阻断特定网站的盗链。例如，您发现abc.blog.sina.com大量盗用本站的图片，您可以配置以下精准访问控制规则阻断相关的访问请求。

FAQ

关于此文档暂时还没有FAQ

有用(0) 我要提问

开放平台

聚石塔