Блокировка страны для сайта

Country filtering lets you block visitors from selected countries, or allow only selected countries, enforced at the server on each visitor's IP address. This guide covers the two modes, how to set…

Фильтрация по странам позволяет блокировать посетителей из выбранных стран или разрешить доступ только из выбранных стран, с проверкой на сервере по IP-адресу каждого посетителя. Это руководство охватывает два режима, способ их безопасной настройки, возможности и ограничения функции, а также объясняет, почему она никогда не заблокирует вам доступ в KPanel.

Где находится фильтрация по странам в KPanel

Фильтрация по странам не имеет отдельной записи в полосе вкладок сайта. Вы можете получить доступ к ней через страницу безопасности сайта:

Войдите в KPanel.
Нажмите Websites на левой боковой панели, затем нажмите на сайт.
Откройте страницу Security сайта. На сайте WordPress или WooCommerce нажмите WordPress, а затем Security. На статическом сайте, сайте на PHP, Node.js, Python или Ruby нажмите Advanced, а затем Security.
Найдите карточку Country IP filtering и нажмите Configure.

Прямой адрес: /websites/<site-id>/security/geo-block.

Country IP filtering for a site in KPanel

Карточка на странице Security также показывает текущее состояние без открытия полной страницы: сколько стран выбрано и блокируются они или разрешаются.

Два режима

Block selected. Весь трафик разрешён, кроме посетителей из стран, которые вы отметили. Используйте этот режим, чтобы заблокировать конкретный источник злоупотреблений, оставляя сайт открытым для всех остальных. Это безопасный режим по умолчанию и правильный выбор в большинстве случаев.

Allow only selected. Весь трафик блокируется, кроме посетителей из стран, которые вы отметили. Используйте этот режим, когда сайт действительно обслуживает один рынок и больше ничего, например внутренний инструмент или региональный лицензированный сервис.

Заблокированные запросы получают HTTP 403.

Режим "Allow only selected" намного более мощный инструмент, чем кажется. Он блокирует поисковые краулеры, средства проверки доступности, обратные вызовы от поставщиков платежей и отправителей вебхуков, которые исходят из стран вне вашего списка разрешённых, а не только человеческих посетителей. Если вы его используете, будьте готовы добавить страны, о которых вы не думали, и следите за трафиком впоследствии.

Настройка

Откройте страницу фильтрации по странам.
Выберите Block selected или Allow only selected.
Используйте поле поиска для поиска стран по названию или двухбуквенному коду и нажимайте на каждую, чтобы отметить её. Заголовок показывает текущий счёт и ссылку Clear all.
Нажмите кнопку внизу, которая читается как Apply to количество выбранных вами стран.

Правила вступают в силу на сервере в момент сохранения. Нет задержки распространения и нет кэша, который нужно ждать.

Любое несохранённое изменение помечается примечанием Unsaved changes рядом с кнопкой, поэтому вы не можете оставить незавершённое правило в предположении, что оно применилось.

Защита от пустого списка разрешённых

Режим "Allow only selected" с нулевым количеством выбранных стран означал бы "разрешить только эти нулевые страны", что то же самое, что блокировать каждого посетителя на земле и полностью взять ваш сайт в автономный режим.

Такая комбинация отклоняется. Если вы попытаетесь сохранить её, вы получите ошибку, которая говорит вам добавить хотя бы одну страну или вернуться в режим блокирования. Отклонение происходит как в браузере, так и на сервере, поэтому нет пути для случайного применения этого.

Чтобы полностью отключить фильтрацию, очистите все страны в режиме Block selected и сохраните. Кнопка изменится на Clear rules, и после этого весь трафик будет разрешён снова. Страница это подтверждает: без выбранных стран весь трафик разрешён.

Вы не можете заблокировать себе доступ в KPanel

Это вопрос, который задают все, и ответ обнадёживающий.

KPanel обслуживается со своего отдельного домена. Правило страны, которое вы создаёте здесь, применяется к вашему веб-сайту, а не к панели управления, поэтому даже правило, которое блокирует вашу собственную страну, никогда не влияет на вашу способность войти, отредактировать правило или удалить его.

Наихудший случай в том, что вы блокируете себя от собственного веб-сайта, и вы исправляете это в KPanel за несколько секунд.

Что это может и не может делать

Фильтрация по странам применяется к IP-адресу посетителя, что делает её точной для обычного трафика и простой для обхода для любого, кто захочет.

Это будет:

Отсечь большое количество автоматизированного сканирования и низкокачественных злоупотреблений, происходящих из конкретной страны.
Снизить нагрузку и шум логов из регионов, которые вы не обслуживаете.
Применить простую политику доступа на основе географии.

Это не будет:

Остановить решительного злоумышленника. Любой человек на VPN или прокси выглядит откуда-то ещё, и страница это ясно говорит.
Надёжно применить юридическую или лицензионную границу. Не относитесь к этому как к соответствию нормам.
Отличить законного посетителя, путешествующего за границей, от нежелательного. Клиент в отпуске получает 403.

Рассматривайте это как грубый фильтр, который снижает объём, а не как границу безопасности. Для реальной границы используйте аутентификацию: см. Password-Protecting a Site.

Комбинирование с другими средствами управления

Фильтрация по странам является одним из нескольких средств управления доступом на одном и том же сайте, и они суммируются:

IP blocking нацелен на отдельные адреса или диапазоны. Лучше, когда вы точно знаете, в чём проблема. См. Site Security.
Login brute-force protection отслеживает неудачные попытки входа и автоматически запрещает источник, что обрабатывает наиболее распространённую атаку без какой-либо географии.
Password protection требует учётные данные от всех, везде, и это единственный из них, который является действительной границей.
Hotlink protection препятствует встраиванию вашего мультимедиа другими сайтами, что является проблемой пропускной способности, а не проблемой доступа.

Если вашей реальной проблемой являются попытки перебора паролей при входе WordPress, усиление входа уже это обрабатывает и фильтрация по странам добавляет немного. Если вашей проблемой является скрейпинг, фильтрация по странам плюс защита от хотлинков - это разумная пара.

Устранение неполадок

Законные посетители сообщают о 403. Проверьте, находится ли их страна в вашем списке блокировки или отсутствует в списке разрешённых. Путешествующие клиенты и мобильные сети, маршрутизируемые через другую страну, являются обычными объяснениями.

Трафик из поиска упал после включения режима "allow-only". Краулеры обращаются к вам из стран вне ваших разрешённых и блокируются. Либо добавьте страны, которые используют краулеры, либо переключитесь в режим блокирования и перечислите только страны, которые вы действительно хотите удалить.

Мониторинг доступности начал не работать. Средство проверки блокируется. См. Site Uptime Monitoring, где причина инцидента будет показывать 403.

Обратные вызовы платежей или вебхуков перестали приходить. Сторонние сервисы вызывают ваш сайт из своей собственной инфраструктуры, где бы она ни находилась. Режим "allow-only" обычно виновник.

Сохранение не удалось с сообщением о сервере. Правило не могло быть применено, и ваша предыдущая настройка была восстановлена вместо того, чтобы оставлять её наполовину применённой. Попробуйте снова, и если это продолжает не работать, откройте заявку.

Я хочу заблокировать отдельный оскорбительный адрес, а не страну. Используйте вместо этого список блокировки IP на странице Security сайта. Это намного точнее и не имеет никакого побочного ущерба.

Связанные страницы

Site Security для полной страницы безопасности, включая блокирование IP и усиление входа.
Password-Protecting a Site когда вам нужна реальная граница доступа.
Site Traffic Analytics чтобы увидеть, из каких стран ваш трафик действительно поступает, прежде чем вы блокируете какие-либо из них.