فهرست مجاز IP (IP allowlisting) (که به‌طور سنتی whitelisting نامیده می‌شود) قاعده‌ای است که فقط به آدرس‌ها یا محدوده‌های IP مشخصی اجازهٔ دسترسی به یک سرویس را می‌دهد. همهٔ موارد دیگر رد می‌شوند. شرکت‌ها از آن برای محافظت از پنل‌های مدیریت، پایگاه‌های داده، سرورهای SSH، APIها و دسترسی از راه دور استفاده می‌کنند.
چگونه کار می‌کند
فایروال، سرور یا سرویس ابری فهرستی مانند این نگه می‌دارد:
| مجاز | کاربرد |
|---|---|
203.0.113.25 |
اتصال اینترنت دفتر |
198.51.100.0/24 |
سرورهای مرکز داده |
2001:db8:1234::/48 |
محدودهٔ IPv6 دفتر |
هر اتصالی از آدرسی که در فهرست نیست، پیش از رسیدن به صفحهٔ ورود کنار گذاشته می‌شود. محدوده‌ها از نمادگذاری CIDR استفاده می‌کنند.
کجا با آن روبه‌رو می‌شوید
- فایروال‌ها و security groupهای ابری (AWS، Google Cloud، Azure)
- بخش‌های مدیریت WordPress یا سایر سیستم‌ها (
/wp-adminفقط از دفتر) - سرویس‌های پایگاه داده که فقط اتصال از سرورهای برنامهٔ شما را می‌پذیرند
- APIهایی که فقط درخواست‌های سرورهای یک شریک تجاری را می‌پذیرند
- بانک‌ها و درگاه‌های پرداخت برای سرورهای فروشندگان
برای اضافه شدن به فهرست، IP عمومی شما را می‌خواهند که صفحهٔ اصلی ما آن را نشان می‌دهد.
مزایا
- جلوی حدس زدن رمز عبور و تلاش‌های بهره‌برداری از آسیب‌پذیری از سوی بقیهٔ اینترنت را می‌گیرد.
- درک و ممیزی آن ساده است.
- حتی وقتی نرم‌افزار محافظت‌شده خودش امنیت ضعیفی دارد کار می‌کند.
محدودیت‌ها
- IPهای پویا تغییر می‌کنند. اگر خانه یا دفتر شما آدرس پویا داشته باشد، با تغییر آن دسترسی قطع می‌شود. برای دسترسی از طریق فهرست مجاز از IP ثابت استفاده کنید.
- آدرس‌های مشترک: پشت CGNAT یا یک Wi-Fi عمومی، افراد دیگر در آدرس شما شریک‌اند و آن‌ها هم مجاز می‌شوند.
- سفر و دورکاری: کارکنان خارج از دفتر بدون VPN نمی‌توانند وصل شوند.
- IPv6: به یاد داشته باشید محدوده‌های IPv6 را اضافه کنید، وگرنه ترافیک روی IPv6 رد می‌شود.
- احراز هویت نیست. همیشه رمز عبور و احراز هویت دومرحله‌ای را هم حفظ کنید.
پیکربندی‌های رایج
- IP ثابت دفتر + VPN برای کارکنان دورکار: دورکاران به VPN شرکت وصل می‌شوند که IP خروجی آن در فهرست مجاز است.
- VPN با IP اختصاصی: برخی ارائه‌دهندگان VPN برای همین منظور یک آدرس خروجی ثابت می‌فروشند. آن را با بررسی VPN و پراکسی ما بررسی کنید.
- دسترسی zero-trust: پراکسی‌های آگاه از هویت (identity-aware) به‌جای IP، کاربر و دستگاه را بررسی می‌کنند که مقیاس‌پذیری بهتری دارد.
فهرست مجاز در برابر فهرست مسدود
فهرست مجاز همه چیز را به‌جز آدرس‌های تأییدشده رد می‌کند. فهرست مسدود (blocklist)، مانند فهرست‌های سیاه اسپم، همه چیز را به‌جز آدرس‌های بد شناخته‌شده مجاز می‌داند. فهرست‌های مجاز بسیار سخت‌گیرانه‌ترند.
سوالات متداول
چرا شرکت‌ها به‌جای «whitelist» می‌گویند «allowlist»؟
بسیاری از راهنماهای نگارشی به «allowlist» و «blocklist» روی آورده‌اند، چون کار فهرست را روشن‌تر توصیف می‌کنند.
دسترسی من از طریق فهرست مجاز دیگر کار نمیکند. چرا؟
احتمالاً IP عمومی شما تغییر کرده است. آدرس نمایشدادهشده در صفحهٔ اصلی ما را با آدرس موجود در فهرست مقایسه کنید.
آیا کسی میتواند یک IP موجود در فهرست مجاز را جعل کند؟
نه برای اتصالهای دوطرفهٔ معمولی. جعل IP چیست را ببینید.