技术帮助 · 发布时间：
配置抗攻击清洗服务的业务回源地址白名单配置，关键不只是把地址填进防火墙，而是确认这些地址会不会变化、变化时由谁更新，以及更新失败时业务如何恢复。固定地址省去持续维护，动态维护则减少地址变更造成的中断风险；选择取决于服务商的地址管理方式和自身的运维能力。
先弄清白名单保护什么
启用清洗服务后，公网请求应先经过清洗节点，再由节点连接源站。源站的安全组或防火墙通常只放行清洗服务提供的回源地址，并限制到业务实际使用的协议和端口，例如网站常见的 TCP 80、443。这样可降低攻击流量绕过清洗、直接打到源站的风险。
这里要核对的是回源地址，不是业务域名解析到的用户访问地址，也不是运维人员的办公出口 IP。IPv4 与 IPv6 也要分别确认：若源站启用了 IPv6，却只配置 IPv4 白名单，仍可能留下未受预期限制的访问路径。
固定维护与动态维护，差别在哪里
| 方式 | 成本与优势 | 主要风险和适用情况 |
|---|---|---|
| 固定地址 | 地址数量稳定时，只需在防火墙或云安全组中配置一次，后续核查工作较少。 | 服务商增删回源节点后，旧配置可能失效。适合服务商明确提供长期稳定地址、变更通知可靠的业务。 |
| 动态维护 | 定期或按变更事件同步官方地址清单，可减少人工漏改，适合地址会调整或环境较多的业务。 | 需要编写或配置同步流程，并承担 API、权限、监控及错误回滚的维护成本。 |
所谓动态维护，不应理解为“允许任意地址”。它应从服务商公开的官方地址清单或受控接口取数，只更新指定规则，并保留变更记录。若地址范围很大，不要为了省事放行整个云服务商网段；范围越宽，攻击者绕过预期入口的可能性越高。
怎样估算成本并选方案
固定维护的直接成本低，但人工核对和紧急变更会占用时间；动态维护前期投入较多，长期可减少重复操作，却需要有人处理同步失败、权限失效和错误变更。比较时可把地址数量、每年变更频率、涉及的防火墙数量，以及故障影响纳入评估。规则少、变更少，固定维护往往更简洁；规则多、跨多个环境且地址常变，自动化通常更有价值。
云环境可用安全组或云防火墙控制回源来源；自建环境则常由边界防火墙或主机防火墙落实。无论使用哪种设备，变更都应经过验证，不要只看配置页面显示成功。
可执行的配置流程
- 向清洗服务商确认回源 IPv4、IPv6 地址范围、使用端口、地址变更通知方式，以及是否存在健康检查来源。
- 盘点源站入口，在云安全组、防火墙或主机访问控制规则中，仅允许所需地址访问对应业务端口；管理端口单独限制，不要混入业务白名单。
- 先在测试环境或低风险节点验证清洗后的请求可达，再检查从非白名单来源直连源站是否被拒绝。
- 若选择动态维护，设置受控任务读取官方清单，校验格式和变更范围后再更新规则；失败时告警，保留上一个可用版本和回滚步骤。
- 建立变更记录与定期复核：核对实际规则是否仍与官方清单一致，并确认已停用的地址和重复规则得到清理。
结论与常见问题
固定地址和动态维护并无绝对优劣。服务商地址稳定、规则少时，固定维护更省事；地址经常调整、环境分散时，自动同步更能控制遗漏风险。完善的抗攻击清洗服务的业务回源地址白名单配置，还应包含来源核验、变更验证和故障回退，而不只是一次性添加 IP。
常见问题
- 白名单应填写域名还是 IP？多数网络访问控制规则按 IP 或网段匹配，应以服务商公布的回源地址为准；域名支持情况取决于具体设备。
- 可以直接放行较大的网段吗？只有在服务商明确要求且确认范围必要时才考虑。放行范围越大，源站暴露面通常越大。
- 地址变化后怎样减少中断？订阅正式变更通知，按新旧地址并行验证后再清理旧规则；自动化同步还应配置失败告警和回滚。
- 源站还要保留管理入口吗？需要时应另设管理规则，仅允许受控的运维来源或专用管理通道，避免把管理端口开放给全部清洗节点。
