[Feature] The WAF supports origin server protection configuration.

[Muska-Ami]

1Panel Version

v2.0.17

Please describe your needs or suggestions for improvements

WAF功能中，希望能够给网站配置上游CDN回源IP列表，不在列表内的IP进行拦截的功能，实现源站保护

Please describe the solution you suggest

在网站WAF设置中添加源站防护功能，并能够支持使用全局的IP组，并允许同时选择多个IP组作为CDN回源IP列表，适配不同CDN分开存储IP组数据，避免混乱

Additional Information

No response

[zhengkunwang223]

是这个功能吗？

[Muska-Ami]

这个是判断客户端来源IP的吧，会读取CDN的XFF标头，实际获取到好像是用户IP
源站保护是对直接来源（不读XFF之类的标头）

[Muska-Ami]

另外你截图这个功能，其实之前我试过，不能类似CF或者阿里的“或”的表达，只能“和”，也没法实现多个IP组列表的使用

[zhengkunwang223]

另外你截图这个功能，其实之前我试过，不能类似CF或者阿里的“或”的表达，只能“和”，也没法实现多个IP组列表的使用

我明白你的意思了 这里确实是真实 IP 因为如果给网站配置了 CDN 拉黑某些 IP 的时候需要获取真实 IP
你是想拦截非 CDN 的IP 你用的 CDN 是否有可信 header 来传递 CDN IP 呢

[Muska-Ami]

有的，我们用过大部分CDN都是支持XFF标头的，包括Cloudflare，阿里云ESA，腾讯云的EdgeOne，白山云，网速CDN Pro这些

[zhengkunwang223]

有的，我们用过大部分CDN都是支持XFF标头的，包括Cloudflare，阿里云ESA，腾讯云的EdgeOne，白山云，网速CDN Pro这些

好的 我研究一下

[zhengkunwang223]

按照我的理解 其实就是在规则中加一个 xff 的第几个 IP 不属于 某几个 IP 组就拦截

[Muska-Ami]

不是，我刚刚可能没理解你的意思，是这样的，CDN上会有一个“源站保护”的功能，可以开启获得CDN回源层的IP段，也有的CDN是直接公开的，比如Cloudflare:
https://www.cloudflare.com/ips-v4/
https://www.cloudflare.com/ips-v6/

[zhengkunwang223]

你的目的不就是拦截非 CDN IP 吗
自定义规则 从 xff 头中获取 CDN IP 和 IP 组中的 IP 比较就行吧

[Muska-Ami]

XFF头不会传递CDN的IP XFF的设计是传递客户端IP和嵌套代理的IP
CDN如果只有一层的话，XFF是只有客户端IP的

[zhengkunwang223]

那我刚才的意思就是 如何准确安全获取请求中 CDN 的 IP

[Muska-Ami]

你在CDN侧开启源站保护功能后CDN那边会给你回源的IP段呀，对这个IP段内的IP进行加白就可以了，其他禁止访问