Что такое белый список IP-адресов (allowlist)?

Белый список IP-адресов (allowlist, раньше чаще называли whitelist) — это правило, которое разрешает доступ к сервису только определённым IP-адресам или диапазонам. Все остальные получают отказ. Компании используют его для защиты админ-панелей, баз данных, SSH-серверов, API и удалённого доступа.

Как это работает

Межсетевой экран, сервер или облачный сервис хранит список, например такой:

Любое подключение с адреса, которого нет в списке, отбрасывается ещё до того, как дойдёт до страницы входа. Диапазоны записываются в нотации CIDR.

Где вы с этим столкнётесь

• Облачные межсетевые экраны и группы безопасности (AWS, Google Cloud, Azure)
• Админ-панели WordPress и других систем (/wp-admin доступна только из офиса)
• Сервисы баз данных, которые принимают подключения только от ваших серверов приложений
• API, которые принимают запросы только от серверов партнёра
• Банки и платёжные шлюзы для серверов продавцов

Чтобы вас добавили в список, у вас попросят ваш публичный IP — его показывает наша главная страница.

Преимущества

• Защищает от подбора паролей и попыток эксплуатации уязвимостей со всего остального интернета.
• Простой в понимании и проверке.
• Работает, даже если у самого защищаемого ПО слабая собственная защита.

Ограничения

• Динамические IP меняются. Если у вас дома или в офисе динамический адрес, доступ пропадёт, как только он сменится. Для доступа по белому списку используйте статический IP.
• Общие адреса: за CGNAT или в общественной сети Wi-Fi ваш адрес делят с вами другие люди, и у них тоже будет доступ.
• Командировки и удалённая работа: сотрудники вне офиса не смогут подключиться без VPN.
• IPv6: не забудьте добавить IPv6-диапазоны, иначе трафик по IPv6 будет отклоняться.
• Это не аутентификация. Обязательно сохраняйте пароли и двухфакторную аутентификацию.

Типичные схемы

• Статический IP офиса + VPN для удалённых сотрудников: удалённые сотрудники подключаются к корпоративному VPN, выходной IP которого внесён в белый список.
• VPN с выделенным IP: некоторые VPN-провайдеры продают фиксированный выходной адрес как раз для этой цели. Проверить его можно с помощью нашей проверки VPN и прокси.
• Доступ по модели нулевого доверия (Zero Trust): прокси с учётом личности проверяют пользователя и устройство, а не IP, и такая схема лучше масштабируется.

Белый список и чёрный список

Белый список запрещает всё, кроме одобренных адресов. Чёрный список — например, спам-чёрные списки — разрешает всё, кроме известных вредоносных адресов. Белые списки гораздо строже.

Часто задаваемые вопросы

Почему компании говорят «allowlist» вместо «whitelist»?

Многие руководства по стилю перешли на термины «allowlist» и «blocklist», потому что они точнее описывают, что делает список.

Мой доступ по белому списку перестал работать. Почему?

Скорее всего, сменился ваш публичный IP. Сравните адрес на нашей главной странице с тем, что внесён в список.

Можно ли подделать IP-адрес из белого списка?

Для обычных двусторонних соединений — нет. Подробнее в статье что такое IP-спуфинг.