Filtrare GeoIP: cum restrângi accesul fără să blochezi clienții și roboții legitimi

Filtrarea GeoIP folosește țara asociată unei adrese IP pentru a aplica o politică de acces. Poate reduce anumite accesări nedorite, dar nu distinge automat un atacator de un client. Înainte să blochezi regiuni întregi, stabilește serviciul protejat, efectul dorit și modul în care verifici rezultatul.

1. Alege ce trebuie restricționat

Accesul la administrare și accesul la blog au nevoi diferite. Pentru administratori, un VPN ori o listă de adrese cunoscute oferă de obicei o delimitare mai precisă decât țara. Pentru site-ul public, o restricție geografică poate afecta clienți aflați în călătorie, utilizatori de VPN și servicii externe.

Nu porni de la presupunerea că tot traficul dintr-o țară este rău. Verifică evenimentele, rutele și costul cererilor. Dacă problema privește numai o funcție de căutare sau autentificare, aplică politica acelei funcții, nu întregului domeniu.

2. Exemplu de regulă GeoIP în Cloudflare

Documentația actuală folosește câmpul ip.src.country. Următorul exemplu selectează accesul din afara României numai pentru o rută administrativă demonstrativă:

(http.request.uri.path eq "/admin"
 or starts_with(http.request.uri.path, "/admin/"))
and not (ip.src.country in {"RO"})

Înlocuiește ruta cu adresa reală a aplicației. Alege apoi acțiunea potrivită obiectivului. Un Managed Challenge cere un flux compatibil cu browserul și nu este echivalentul unei interdicții geografice absolute. Pentru o restricție strictă, Block are alt efect, care trebuie testat înainte de folosirea în producție.

Regula se aplică cererilor care trec prin serviciul Cloudflare relevant. Nu controlează automat accesul SSH, e-mailul sau accesul direct la origine. Inspectează și regulile Skip existente: componentele exceptate și ordinea evaluării pot schimba protecția efectivă.

3. Blocare de țară în Imunify360

În interfața administrativă Imunify360, deschide Firewall și opțiunea de adăugare în lista de blocare. Alege Country, selectează țara și introdu un comentariu care explică motivul. Etichetele exacte pot varia între versiuni; verifică lista și rezultatul după salvare.

O blocare la nivelul firewall-ului serverului are alt domeniu de aplicare decât o regulă HTTP pentru o anumită cale. Nu o folosi ca înlocuitor direct pentru excepția unui singur URL. Pe un server cu mai mulți clienți, verifică impactul pentru toate serviciile găzduite.

4. Verifică dependențele și excepțiile

Inventariază callback-urile de plată, monitorizarea, API-urile, furnizorii de backup și mecanismele de validare a certificatelor. Acestea pot folosi adrese din regiuni diferite de publicul magazinului. Pentru integrări, folosește sursele și metodele de autentificare documentate, nu doar țara.

În spatele unui proxy, confirmă ce adresă este evaluată la fiecare nivel. Nu presupune că firewall-ul de pachete poate folosi automat un antet HTTP. O regulă aplicată adresei proxy-ului poate afecta mulți vizitatori simultan.

5. Măsoară și revizuiește

Testează accesul din surse autorizate și urmărește blocările legitime. Păstrează motivul, responsabilul și data reevaluării. GeoIP este un semnal auxiliar; atacurile pot veni și din regiunea permisă.

Dacă atacul umple legătura, filtrarea locală nu recuperează capacitatea deja consumată în amonte. Pentru infrastructură prin XSERVERE, discută separat filtrarea de rețea, accesul administrativ și politica HTTP. Nu presupune că o singură regulă geografică rezolvă toate trei.

Surse

• Cloudflare — blocarea după țară — https://developers.cloudflare.com/waf/custom-rules/use-cases/block-traffic-from-specific-countries/
• Cloudflare — ip.src.country — https://developers.cloudflare.com/ruleset-engine/rules-language/fields/reference/ip.src.country/
• Imunify360 — interfața administrativă — https://docs.imunify360.com/dashboard/
• cPanel — blocarea IP-urilor și țărilor în Imunify360 — https://support.cpanel.net/hc/en-us/articles/1500001713921-How-to-Block-an-IP-or-Country-from-Connecting-to-Your-Server-with-Imunify360-s-Firewall