Фильтрация по странам позволяет блокировать посетителей из выбранных стран или разрешать доступ только выбранным странам. Правило применяется на сервере к IP-адресу каждого посетителя. В этом руководстве рассматриваются оба режима, как настроить их безопасно, что эта функция может и не может делать, и почему она никогда не заблокирует вам доступ к KPanel.
Где находится фильтрация по странам в KPanel
Фильтрация по странам имеет собственный пункт в левом меню сайта: откройте Параметры, затем Блокировка по странам. Также до неё можно добраться через страницу безопасности сайта:
- Войдите в KPanel.
- Нажмите Веб-сайты в левой боковой панели, затем выберите сайт.
- Откройте страницу Безопасность сайта. На сайте WordPress или WooCommerce это WordPress, затем Безопасность. На статическом сайте, PHP, Node.js, Python или Ruby сайте это Параметры, затем Безопасность.
- Найдите карточку Фильтрация IP по странам и нажмите Configure.
Прямой адрес: /websites/<site-id>/security/geo-block.
Карточка на странице безопасности также кратко отображает текущее состояние без необходимости открывать полную страницу: сколько стран выбрано и блокируются они или разрешаются.
Два режима
Блокировать выбранные. Весь трафик разрешён, кроме посетителей из отмеченных вами стран. Используйте это, чтобы перекрыть конкретный источник злоупотреблений, оставив сайт открытым для всех остальных. Это безопасный вариант по умолчанию и правильный выбор в большинстве случаев.
Разрешить только выбранные. Весь трафик блокируется, кроме посетителей из отмеченных вами стран. Используйте это, когда сайт действительно обслуживает только один рынок и больше нигде, например внутренний инструмент или услугу с региональной лицензией.
Заблокированные запросы получают ответ HTTP 403.
Режим "только разрешённые" это гораздо более грубый инструмент, чем кажется на первый взгляд. Он блокирует не только живых посетителей, но и поисковых роботов, сервисы проверки доступности, обратные вызовы платёжных систем и отправителей вебхуков, если они оказываются за пределами вашего разрешённого списка. Если вы его используете, будьте готовы добавлять страны, о которых не подумали заранее, и следите за трафиком после включения.
Настройка
- Откройте страницу фильтрации по странам.
- Выберите Блокировать выбранные или Разрешить только выбранные.
- Используйте поле поиска, чтобы найти страны по названию или двухбуквенному коду, и нажмите на каждую, чтобы отметить её. В заголовке отображается текущий счётчик и ссылка Очистить всё.
- Нажмите кнопку внизу, на которой написано Apply to и указано количество выбранных стран.
Правила вступают в силу на сервере в момент сохранения. Нет никакой задержки распространения и не нужно ждать очистки кэша.
Любое несохранённое изменение помечается пометкой Несохранённые изменения рядом с кнопкой, так что вы не сможете покинуть страницу с наполовину настроенным правилом, думая, что оно уже применено.
Защита от пустого списка разрешённых стран
Режим "только разрешённые" с нулём выбранных стран означал бы "разрешить доступ только этим нулевым странам", что равносильно блокировке абсолютно всех посетителей на планете и полному отключению сайта.
Такая комбинация отклоняется. Если вы попытаетесь её сохранить, появится ошибка с просьбой добавить хотя бы одну страну или вернуться в режим блокировки. Отказ происходит и в браузере, и повторно на сервере, так что случайно применить такую настройку невозможно.
Чтобы полностью отключить фильтрацию, снимите отметки со всех стран в режиме Блокировать выбранные и сохраните. Кнопка изменится на Очистить правила, и после этого весь трафик снова будет разрешён. Страница подтверждает это: при отсутствии выбранных стран весь трафик разрешён.
Вы не можете заблокировать себе доступ к KPanel
Это вопрос, который задают все, и ответ обнадёживающий.
KPanel обслуживается с отдельного собственного домена. Правило по странам, которое вы создаёте здесь, применяется к вашему сайту, а не к панели управления, поэтому даже правило, блокирующее вашу собственную страну, никогда не повлияет на вашу возможность войти, изменить правило или удалить его.
Худший сценарий, это что вы заблокируете сами себе доступ к собственному сайту, и это исправляется в KPanel за несколько секунд.
Что эта функция может и не может делать
Фильтрация по странам применяется к IP-адресу посетителя, что делает её точной для обычного трафика и легко обходимой для тех, кто этого захочет.
Она умеет:
- Отсекать значительную часть автоматического сканирования и несложных злоупотреблений, исходящих из конкретной страны.
- Снижать нагрузку и шум в журналах от регионов, которые вы не обслуживаете.
- Обеспечивать простую географическую политику доступа.
Она не умеет:
- Останавливать целеустремлённого злоумышленника. Любой пользователь VPN или прокси будет выглядеть так, будто находится в другом месте, и страница честно об этом предупреждает.
- Надёжно обеспечивать юридическую или лицензионную границу. Не используйте её как средство соответствия требованиям.
- Отличать законного посетителя, находящегося за границей, от нежелательного. Клиент в отпуске получит ответ 403.
Относитесь к ней как к грубому фильтру, снижающему объём нежелательного трафика, а не как к реальной границе безопасности. Для настоящей границы используйте аутентификацию: см. Защита сайта паролем.
Сочетание с другими средствами контроля
Фильтрация по странам, это одно из нескольких средств контроля доступа на том же сайте, и они работают совместно:
- Блокировка IP нацелена на отдельные адреса или диапазоны. Лучше, когда вы точно знаете, кто является источником проблемы. См. Безопасность сайта.
- Защита входа от brute-force атак отслеживает неудачные попытки входа и автоматически блокирует источник, что решает проблему самой распространённой атаки вообще без учёта географии.
- Защита паролем требует учётные данные от всех и отовсюду, и это единственное из перечисленных средств, которое действительно является настоящей границей.
- Защита от горячих ссылок не даёт другим сайтам встраивать ваши медиафайлы, что является проблемой расхода трафика, а не доступа.
Если ваша реальная проблема, это brute-force попытки входа в WordPress, защита входа уже решает её, и фильтрация по странам почти ничего не добавляет. Если ваша проблема, это парсинг (скрапинг) сайта, фильтрация по странам в сочетании с защитой от горячих ссылок, разумная пара.
Устранение неполадок
Легитимные посетители сообщают об ошибке 403. Проверьте, не находится ли их страна в вашем списке блокировки или не отсутствует ли она в вашем списке разрешённых. Обычное объяснение, это путешествующие клиенты и мобильные сети, маршрутизирующие трафик через другую страну.
Поисковый трафик упал после включения режима "только разрешённые". Поисковые роботы обращаются к вам из стран за пределами вашего разрешённого списка и блокируются. Либо добавьте страны, которые используют роботы, либо переключитесь на режим блокировки и укажите только те страны, которые вы действительно хотите исключить.
Мониторинг доступности начал давать сбои. Служба проверки блокируется. См. Мониторинг доступности сайта, где причина инцидента будет показывать код 403.
Платёжные или вебхук-обратные вызовы перестали поступать. Сторонние сервисы обращаются к вашему сайту со своей собственной инфраструктуры, где бы она ни находилась. Обычно причина в режиме "только разрешённые".
Сохранение завершилось ошибкой с сообщением о сервере. Правило не удалось применить, и ваша предыдущая настройка была восстановлена, а не оставлена в частично применённом состоянии. Попробуйте снова, и если ошибка повторяется, откройте обращение в поддержку.
Я хочу заблокировать один конкретный вредоносный адрес, а не страну. Используйте вместо этого список блокировки IP на странице Безопасность сайта. Он гораздо точнее и не имеет никаких побочных эффектов.
Похожие страницы
- Безопасность сайта для полной страницы безопасности, включая блокировку IP и защиту входа.
- Защита сайта паролем, когда вам нужна настоящая граница доступа.
- Аналитика трафика сайта, чтобы увидеть, из каких стран на самом деле приходит ваш трафик, прежде чем блокировать какую-либо из них.