高防服务器白名单怎么设置？老司机的实操避坑指南

做网站运营或游戏业务，最怕的就是被DDoS或CC攻击。很多新手买了高防服务器，第一反应就是“把白名单一开，万事大吉”——结果要么业务崩了，要么攻击照打不误。我踩了两年坑，才把白名单玩明白。今天就把真实操作步骤和血泪教训掏出来，保你少走弯路。

一、先搞清白名单到底防什么

很多人以为白名单就是“只让好人进，不让坏人进”，其实在高防场景下，白名单通常针对应用层攻击（CC），而不是网络层DDoS。DDoS靠流量清洗，CC才靠白名单限制访问来源。简单说：白名单是“只允许特定IP或用户代理访问”，其他全部拒绝。比如只让公司办公网段访问后台，只让特定地区玩家进游戏服务器。

二、实操步骤：三种最常见的白名单配置

1. 云高防控制台一键添加（最省事）

如果你用的是带管理平台的高防服务器（比如沐雨云），直接在控制台找“防护策略”→“IP白名单”。输入你要放行的IP（支持CIDR格式，比如192.168.1.0/24），保存生效。注意：控制台白名单通常优先级最高，会覆盖服务器本地防火墙。很多新手在服务器里设了iptables，又在控制台设了白名单，结果导致本地规则失效——以控制台为准。

2. 服务器防火墙（iptables/firewalld）——Linux通用

登录服务器，用iptables设置只允许某些IP访问特定端口。例如只允许1.2.3.4访问3306（MySQL），其余全部拒绝：

# 清空规则（小心！当前SSH连接如果不在白名单会断开）
iptables -F
# 允许已建立的连接
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 允许回环
iptables -A INPUT -i lo -j ACCEPT
# 添加白名单IP
iptables -A INPUT -s 1.2.3.4 -p tcp --dport 3306 -j ACCEPT
# 拒绝其他所有访问3306
iptables -A INPUT -p tcp --dport 3306 -j DROP
# 保存规则
service iptables save

避坑1：千万不要先执行iptables -F然后直接设拒绝规则——你的SSH连接也会被干掉。正确做法：先添加允许自己本机IP的SSH端口规则，再清空。

避坑2：防火墙重启后规则会丢失，记得用iptables-save或安装iptables-persistent持久化。

3. Nginx应用层白名单（防CC攻击）

在Nginx的server块或location块中加入：

location /admin {
    allow 192.168.1.0/24;
    allow 10.0.0.1;
    deny all;
}

这样只允许内网段和指定IP访问/admin路径。注意：如果高防节点做了CDN回源，你看到的所有请求IP都是回源IP（比如高防节点地址），此时用deny all会误杀所有用户。解决办法：在set_real_ip_from里设置高防回源IP段，否则白名单无效。

三、五个让我交过学费的避坑提醒

回源IP必须加入白名单
如果你的高防服务器在CDN或高防后面，用户请求先到高防节点，再到你服务器。此时服务器收到的是高防回源IP，不是真实用户IP。你在服务器防火墙设“只允许特定用户IP”，等于把高防节点也拒绝了——业务直接挂。正确做法：在高防控制台设白名单（控制台能识别真实IP），或者在服务器里用real_ip_header配置。
动态IP用户别用白名单
比如一些外贸网站客户是家庭宽带，IP经常变。你设了白名单，第二天客户就上不去了。解决方案：用“地区白名单”或“验证码”代替精确IP。
测试白名单时先用临时端口
别直接在80/443（主要业务端口）上试。先在服务器开个测试端口比如8080，只允许自己的IP访问，确认没问题再改到正式端口。否则一旦规则写错，你连服务器都登不进去（只能去机房或重启到救援模式）。
白名单不是越严越好
有的站长把所有端口ALLOW只给几个IP，结果监控系统、数据库备份、日志采集这些内部服务全跑不通。建议按服务细分白名单：数据库只对应用服务器IP开放，后台只对办公室IP开放，前端API保持开放但要加频率限制。
定期清理过期IP
内部人员离职了、测试IP回收了，白名单里还留着。某天这个IP被攻击者利用，等于给人家开了“VIP通道”。我每月用脚本扫描白名单列表，对比当前活跃IP，删除无用的。