Länderblockierung für eine Website

Country filtering lets you block visitors from selected countries, or allow only selected countries, enforced at the server on each visitor's IP address. This guide covers the two modes, how to set…

Mit der Länderfilterung können Sie Besucher aus ausgewählten Ländern blockieren oder nur Besucher aus ausgewählten Ländern zulassen. Die Filterung wird auf dem Server basierend auf der IP-Adresse jedes Besuchers durchgesetzt. Diese Anleitung behandelt die beiden Modi, deren sichere Einrichtung, die Möglichkeiten und Grenzen dieser Funktion sowie den Grund, warum sie Sie niemals aus KPanel aussperren kann.

Wo sich die Länderfilterung in KPanel befindet

Die Länderfilterung hat keinen eigenen Eintrag in der Website-Registerkartenleiste. Sie erreichen sie über die Sicherheitsseite der Website:

Melden Sie sich bei KPanel an.
Klicken Sie in der linken Seitenleiste auf Websites und dann auf die Website.
Öffnen Sie die Seite Security der Website. Bei einer WordPress- oder WooCommerce-Website ist dies WordPress und dann Security. Bei einer statischen, PHP-, Node.js-, Python- oder Ruby-Website ist es Advanced und dann Security.
Suchen Sie die Karte Country IP filtering und klicken Sie auf Configure.

Die direkte Adresse ist /websites/<site-id>/security/geo-block.

Country IP filtering for a site in KPanel

Die Karte auf der Sicherheitsseite fasst auch den aktuellen Status zusammen, ohne die vollständige Seite zu öffnen: wie viele Länder ausgewählt sind und ob sie blockiert oder zugelassen werden.

Die beiden Modi

Block selected (Ausgewählte blockieren). Der gesamte Datenverkehr ist erlaubt, außer Besuchern aus den Ländern, die Sie auswählen. Verwenden Sie dies, um eine bestimmte Missbrauchsquelle abzuwehren und die Website für alle anderen offen zu halten. Dies ist die sichere Standardeinstellung und in den meisten Fällen die richtige Wahl.

Allow only selected (Nur ausgewählte zulassen). Der gesamte Datenverkehr wird blockiert, außer für Besucher aus den Ländern, die Sie auswählen. Verwenden Sie dies, wenn eine Website tatsächlich nur einen Markt bedient und sonst nirgendwo, z. B. bei einem internen Tool oder einem regional lizenzierten Dienst.

Blockierte Anfragen erhalten einen HTTP 403.

Der Allow-only-Modus ist ein viel massiveres Werkzeug als es aussieht. Er blockiert Suchmaschinen-Crawler, Uptime-Checker, Zahlungsanbieter-Callbacks und Webhook-Sender, die zufällig außerhalb Ihrer Zulassungsliste stammen, nicht nur menschliche Besucher. Wenn Sie ihn verwenden, sollten Sie damit rechnen, Länder hinzufügen zu müssen, an die Sie nicht gedacht haben, und danach Ihren Datenverkehr überwachen.

Einrichtung

Öffnen Sie die Seite zur Länderfilterung.
Wählen Sie Block selected oder Allow only selected.
Verwenden Sie das Suchfeld, um Länder nach Name oder zwei-buchstabigem Code zu finden, und klicken Sie auf jedes Land, um es auszuwählen. Die Kopfzeile zeigt eine laufende Anzahl und einen Clear all-Link.
Klicken Sie auf die Schaltfläche unten, die Apply to die Anzahl der von Ihnen ausgewählten Länder anzeigt.

Regeln treten auf dem Server im Moment des Speicherns in Kraft. Es gibt keine Ausbreitungsverzögerung und keinen Cache, auf den Sie warten müssen.

Jede ungespeicherte Änderung wird neben der Schaltfläche mit einer Unsaved changes-Notiz gekennzeichnet, sodass Sie eine halbfertige Regel nicht verlassen können, ohne anzunehmen, dass sie angewendet wurde.

Der Empty-Allow-List Guard

Der Allow-only-Modus mit null ausgewählten Ländern würde bedeuten „nur diese null Länder zulassen", was dasselbe ist wie das Blockieren aller Besucher auf der Erde und das vollständige Offline-Schalten Ihrer Website.

Diese Kombination wird abgelehnt. Wenn Sie versuchen, sie zu speichern, erhalten Sie eine Fehlermeldung, die Sie auffordert, mindestens ein Land hinzuzufügen oder zurück zum Blockierungsmodus zu wechseln. Die Ablehnung erfolgt im Browser und erneut auf dem Server, sodass es keinen Weg gibt, dies versehentlich anzuwenden.

Um die Filterung vollständig auszuschalten, löschen Sie alle Länder im Block selected-Modus und speichern Sie. Die Schaltfläche ändert sich zu Clear rules, und danach ist der gesamte Datenverkehr wieder erlaubt. Die Seite bestätigt dies: Wenn keine Länder ausgewählt sind, ist der gesamte Datenverkehr erlaubt.

Sie können sich nicht selbst aus KPanel aussperren

Dies ist die Frage, die jeder stellt, und die Antwort ist beruhigend.

KPanel wird von einer eigenen separaten Domäne aus bereitgestellt. Eine Länderregel, die Sie hier erstellen, gilt für Ihre Website, nicht für die Systemsteuerung. Selbst eine Regel, die Ihr eigenes Land blockiert, wirkt sich daher niemals auf Ihre Fähigkeit aus, sich anzumelden, die Regel zu bearbeiten oder sie zu entfernen.

Im schlimmsten Fall blockieren Sie sich selbst von Ihrer eigenen Website, und Sie beheben dies in KPanel in wenigen Sekunden.

Was es kann und nicht kann

Die Länderfilterung wird auf der IP-Adresse des Besuchers durchgesetzt, was sie für gewöhnlichen Datenverkehr genau macht und für jeden, der es will, leicht zu umgehen ist.

Es wird:

Eine große Menge automatisierter Scans und Low-Effort-Missbrauch aus einem bestimmten Land reduzieren.
Belastung und Protokollrauschen aus Regionen, die Sie nicht bedienen, verringern.
Eine unkomplizierte geografische Zugriffspolitik durchsetzen.

Es wird nicht:

Einen entschlossenen Angreifer stoppen. Jeder auf einem VPN oder Proxy erscheint woanders, und die Seite macht dies deutlich.
Eine rechtliche oder Lizenzbegrenzung zuverlässig durchsetzen. Behandeln Sie es nicht als Compliance-Maßnahme.
Einen legitimen Besucher, der im Ausland reist, von einem unerwünschten unterscheiden. Ein Kunde im Urlaub erhält einen 403.

Behandeln Sie es als grobes Filter, das das Volumen reduziert, nicht als Sicherheitsgrenze. Für eine echte Grenze verwenden Sie Authentifizierung: siehe Password-Protecting a Site.

Kombination mit anderen Kontrollen

Die Länderfilterung ist eine von mehreren Zugriffskontroller auf derselben Website und sie stapeln sich:

IP blocking zielt auf einzelne Adressen oder Bereiche ab. Besser, wenn Sie genau wissen, wer das Problem ist. Siehe Site Security.
Login brute-force protection überwacht fehlgeschlagene Anmeldeversuche und sperrt die Quelle automatisch, was den häufigsten Angriff ohne Geografie überhaupt handhabt.
Password protection erfordert Anmeldedaten von jedem, überall, und ist die einzige davon, die eine echte Grenze darstellt.
Hotlink protection verhindert, dass andere Websites Ihre Medien einbetten, was eher ein Bandbreitenproblem als ein Zugriffsproblem ist.

Wenn Ihr eigentliches Problem Brute-Force-Versuche gegen einen WordPress-Login sind, handhabt die Login-Härtung es bereits und die Länderfilterung trägt wenig bei. Wenn Ihr Problem das Scraping ist, ist die Länderfilterung plus Hotlink-Schutz ein vernünftiges Paar.

Problembehandlung

Legitime Besucher melden einen 403. Überprüfen Sie, ob sich ihr Land in Ihrer Blockliste befindet oder in Ihrer Zulassungsliste fehlt. Reisende Kunden und Mobilfunknetze, die über ein anderes Land weitergeleitet werden, sind die üblichen Erklärungen.

Der Suchverkehr ist nach dem Aktivieren des Allow-only-Modus gesunken. Crawler erreichen Sie von außerhalb Ihrer zulässigen Länder aus und werden blockiert. Fügen Sie entweder die Länder hinzu, in denen die Crawler verwendet werden, oder wechseln Sie zum Blockierungsmodus und listen Sie nur die Länder auf, die Sie tatsächlich entfernen möchten.

Uptime-Überwachung ist fehlgeschlagen. Der Checker wird blockiert. Siehe Site Uptime Monitoring, wo die Vorfallursache den 403 anzeigt.

Zahlungs- oder Webhook-Callbacks werden nicht mehr empfangen. Services von Drittanbietern rufen Ihre Website von ihrer eigenen Infrastruktur aus auf, überall dort wo diese ist. Der Allow-only-Modus ist der übliche Verursacher.

Das Speichern ist mit einer Meldung über den Server fehlgeschlagen. Die Regel konnte nicht angewendet werden, und Ihre vorherige Einstellung wurde wiederhergestellt, anstatt halb angewendet zu bleiben. Versuchen Sie es erneut, und wenn es weiterhin fehlschlägt, öffnen Sie ein Ticket.

Ich möchte eine einzelne missbräuchliche Adresse blockieren, nicht ein ganzes Land. Verwenden Sie stattdessen die IP-Blockliste auf der Security-Seite der Website. Sie ist viel genauer und hat keine Kollateralschäden.