Блокировка IP и подсетей: как не закрыть доступ клиентам

Чем блокировка одного IP отличается от CIDR-подсети, как проверить диапазон IPv4 или IPv6 и когда стоит выбрать ограничение частоты.

Блокировка IP запрещает доступ с конкретного адреса. Блокировка подсети распространяет правило на целый диапазон. Такой подход полезен, когда источник нежелательных обращений уже установлен. Он не определяет намерение посетителя и не мешает источнику перейти на другой адрес.

Один адрес или целая сеть

Начните с самого узкого правила, которое решает проблему. Если подозрительные запросы идут с одного IP, блокировка большого диапазона без дополнительных данных расширит число затронутых посетителей.

CIDR записывается как адрес сети и длина префикса через косую черту. Чем длиннее префикс, тем меньше диапазон. IPv4 использует 32 бита, IPv6 — 128.

В таблице использованы адреса для документации. Их не нужно копировать в рабочие правила. Для проверки клиента на принадлежность сети учитывается весь диапазон, а не только адреса, которые могут назначаться узлам в конкретной сети.

Перед блокировкой проверьте источник

Сопоставьте IP с временем обращений, запрошенными путями, частотой и результатом запросов. Посмотрите, есть ли с того же адреса нормальные действия: входы, покупки, работа интеграций. При наличии прокси или CDN убедитесь, что анализируете адрес клиента, а не промежуточного сервера.

Не считайте название провайдера достаточным основанием для блокировки подсети. В облаке или у хостера могут одновременно находиться парсер, клиентская интеграция и полезный поисковый робот.

Порядок введения правила

1. Зафиксируйте проблему: какие обращения мешают работе сайта и почему выбран этот адрес.
2. Проверьте границы CIDR. Например, 192.0.2.0/24 включает и .17, и .200; блокировка одного .17 требует отдельного адреса или /32.
3. Проверьте правило в наблюдении и разберите совпадения с обычным трафиком.
4. Включите ограничение и проверьте доступность ключевых сценариев с других сетей.
5. Задайте срок пересмотра правила. Если причина исчезла или адрес сменил владельца, постоянная блокировка может стать ошибочной.

Общие адреса и IPv6

За одним IPv4 могут находиться разные люди: сотрудники компании, пользователи VPN или абоненты оператора. Блокировка адреса затронет их всех. Если проблема в частоте, сначала рассмотрите лимит запросов.

В IPv6 один клиент может использовать несколько адресов. Блокировка /128 иногда оказывается слишком узкой, но из этого не следует, что безопасно блокировать /64: назначение префиксов зависит от сети. Определите фактическую область проблемы до расширения правила.

Что проверяет Fraudly

IP-фильтр сопоставляет адрес запроса с заданными IP и CIDR для IPv4 и IPv6. Имена хостов в этих правилах не используются. Совпадение в наблюдении отмечается без запрета запроса; в защите становится основанием для блокировки.

Принадлежность подсети не является доказательством автоматизации. Если источник ещё не установлен, используйте руководство по диагностике ботов, прежде чем вводить широкие ограничения.