Elasticsearch 中如何限制和指定 IP 地址的访问？-51CTO.COM

在现代的微服务架构中，保护系统不受未授权访问是非常重要的，尤其是在网关层。极限网关（INFINI Gateway）作为我们服务架构的入口，它的安全性直接影响到整个系统的稳定与安全。

极限网关提供了强大的 IP 访问控制功能，允许你灵活地控制哪些 IP 可以访问你的服务，以及哪些 IP 必须被拒绝。

注意：开源非付费版本 Elasticsearch 不具备这个功能。

本文将带你一步步了解如何使用极限网关来限制或指定允许/拒绝的 IP 地址，帮助你增强网关的安全性。

1. 什么是 IP 访问控制？

IP 访问控制是一种安全机制，它允许你基于客户端的 IP 地址来决定是否允许访问你的服务。极限网关通过 ip_access_control 配置来启用和管理这一功能。你可以通过配置以下两种方式来管理客户端的访问：

白名单：只允许指定的 IP 地址访问。
黑名单：拒绝指定的 IP 地址访问。

这两种方式可以单独使用，也可以结合使用，确保只有可信的 IP 地址能够访问你的服务。

2. 如何配置 IP 访问控制？

在极限网关中，配置 IP 访问控制非常简单。你只需要在路由配置中增加 ip_access_control 节点，启用控制功能，并指定需要允许或拒绝的 IP 地址。

启用 IP 访问控制

下面是一个简单的示例，展示如何启用 IP 访问控制：

router:
  - name: my_router
    default_flow: async_bulk
    ip_access_control:
      enabled: true

在上面的配置中，enabled: true 就是启用 IP 访问控制的关键。之后，你可以选择进一步配置允许或拒绝的 IP 地址。

3. 配置白名单：只允许特定 IP 访问

如果你希望只允许某些特定 IP 地址能够访问你的服务，可以使用白名单配置。这意味着，只有列出的 IP 地址可以访问你的网关服务，其他 IP 地址会被自动拒绝。

假设你只希望 IP 地址 133.37.55.22 能够访问服务，其他的 IP 都不能访问，配置示例如下：

router:
  - name: my_router
    default_flow: async_bulk
    ip_access_control:
      enabled: true
      client_ip:
        permitted:
          - 133.37.55.22

在上面的配置中，client_ip.permitted 下列出了被允许访问的 IP 地址。只有 IP 地址为 133.37.55.22 的请求会通过，其他 IP 地址的请求都会被自动拒绝。

实际案例配置截图：

验证结果如下：

4. 配置黑名单：拒绝特定 IP 访问

如果你希望某些特定 IP 地址不能访问你的网关服务，可以使用黑名单配置。这意味着，列出的 IP 地址会被拒绝访问，而其他未列出的 IP 地址将能够正常访问。

例如，假设你希望拒绝 IP 地址 133.37.55.22 访问服务，配置示例如下：

router:
  - name: my_router
    default_flow: async_bulk
    ip_access_control:
      enabled: true
      client_ip:
        denied:
          - 133.37.55.22

在这个配置中，client_ip.denied 下列出了被拒绝访问的 IP 地址。任何来自 133.37.55.22 的请求都会被网关直接拒绝，其他 IP 地址的请求则不会受到影响。

实际案例配置截图参考：

图片

实际验证截图如下：

图片

由于 IP 地址被设置为黑名单，导致客户端写入报错。

Error inserting data: AuthorizationException(403, 'Access Forbidden.\n')

5. 配置同时使用白名单和黑名单

你也可以将白名单和黑名单结合起来使用。例如，允许某些特定 IP 地址访问，同时拒绝某些其他的 IP 地址。

假设你想允许 133.37.55.22 访问，但拒绝 192.168.1.1 的访问，配置如下：

router:
  - name: my_router
    default_flow: async_bulk
    ip_access_control:
      enabled: true
      client_ip:
        permitted:
          - 133.37.55.22
        denied:
          - 192.168.1.1

在这个配置中，133.37.55.22 会被允许访问，而 192.168.1.1 会被拒绝访问。

6. 使用 IP 地址访问控制的场景

1）保护敏感服务：如果你有一些只允许特定客户端访问的敏感服务，可以通过白名单来确保只有合法的客户端能够访问。

2）防止恶意访问：黑名单可以帮助你封堵已知的恶意 IP 地址，防止攻击者通过尝试访问网关来对系统造成危害。

3）灵活的访问管理：你可以根据业务需求动态地调整允许或拒绝的 IP 地址，确保网关始终处于安全状态。

7. 小结

IP 访问控制是极限网关提供的一项非常实用的安全功能，它能帮助你控制谁能够访问你的服务。通过简单的配置，你可以指定哪些 IP 地址可以访问（白名单），以及哪些 IP 地址不能访问（黑名单）。合理使用这项功能，可以有效地提高系统的安全性，防止未经授权的访问。