70 lines
1.5 KiB
Markdown
70 lines
1.5 KiB
Markdown
|
# P1-01: IP 白名单收窄
|
|||
|
|
|
|||
|
|
## 任务概述
|
|||
|
|
|
|||
|
|
| 项目 | 内容 |
|
|||
|
|
|------|------|
|
|||
|
|
| 需求ID | #48 |
|
|||
|
|
| 优先级 | P1 |
|
|||
|
|
| 状态 | 待网络组确认 |
|
|||
|
|
| 预估工时 | 1h |
|
|||
|
|
|
|||
|
|
## 背景
|
|||
|
|
|
|||
|
|
当前 `/api/admin/` 和 `/itadmin/` 的 Nginx 配置临时设置为 `allow 0.0.0.0/0`，存在安全风险。需要收窄到真实业务 IP 段。
|
|||
|
|
|
|||
|
|
## 阻塞条件
|
|||
|
|
|
|||
|
|
**需网络组确认真实代理 IP 段**：
|
|||
|
|
- WAF 出口 IP
|
|||
|
|
- 堡垒机出口 IP
|
|||
|
|
- CDN 出口 IP（如有）
|
|||
|
|
|
|||
|
|
## 技术方案
|
|||
|
|
|
|||
|
|
### 1. Nginx 配置修改
|
|||
|
|
|
|||
|
|
```nginx
|
|||
|
|
# 修改 /etc/nginx/conf.d/admin-*.conf
|
|||
|
|
location /api/admin/ {
|
|||
|
|
# 允许的 IP 段（网络组确认后填入）
|
|||
|
|
allow 10.0.0.0/8;
|
|||
|
|
allow 172.16.0.0/12;
|
|||
|
|
# deny all 放在最后
|
|||
|
|
deny all;
|
|||
|
|
|
|||
|
|
proxy_pass http://backend_api;
|
|||
|
|
# ... 其他配置
|
|||
|
|
}
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 2. 测试验证
|
|||
|
|
|
|||
|
|
- 本地 curl 测试不同 IP 访问
|
|||
|
|
- 确认白名单内 IP 正常访问
|
|||
|
|
- 确认白名单外 IP 返回 403
|
|||
|
|
|
|||
|
|
## 验收标准
|
|||
|
|
|
|||
|
|
- [ ] 获取网络组提供的 IP 段清单
|
|||
|
|
- [ ] Nginx 配置已更新为指定 IP 段
|
|||
|
|
- [ ] 白名单内 IP 可正常访问 `/api/admin/` 和 `/itadmin/`
|
|||
|
|
- [ ] 白名单外 IP 返回 403 Forbidden
|
|||
|
|
- [ ] 文档已更新
|
|||
|
|
|
|||
|
|
## 文件清单
|
|||
|
|
|
|||
|
|
| 文件 | 操作 |
|
|||
|
|
|------|------|
|
|||
|
|
| `/etc/nginx/conf.d/admin-backend.conf` | 修改 |
|
|||
|
|
| `/etc/nginx/conf.d/admin-frontend.conf` | 修改 |
|
|||
|
|
| 部署运维文档 | 更新 |
|
|||
|
|
|
|||
|
|
## 实施步骤
|
|||
|
|
|
|||
|
|
1. 提交工单给网络组，确认业务 IP 段
|
|||
|
|
2. 收到回复后更新 Nginx 配置
|
|||
|
|
3. `nginx -t && nginx -s reload`
|
|||
|
|
4. 测试验证
|
|||
|
|
5. 更新文档
|