配置宝塔面板的CC防御规则的黑白名单时，如何结合动态规则联动？
美国、香港服务器
配置宝塔面板的CC防御规则的黑白名单时，如何结合动态规则联动？
02-05 来源:
配置宝塔面板 CC 防御规则的黑白名单与动态规则联动，核心是通过 “静态黑白名单打底 + 动态规则自动封禁 / 放行 + 日志闭环” 实现分层防御，同时遵循规则优先级与 CDN 真实 IP 获取，以下是全流程可落地配置方案。
一、核心联动逻辑与优先级
联动逻辑：静态黑白名单（IP/UA/URL）定义基础信任与拦截边界，动态规则（CC 频率阈值、自动封禁、Fail2ban 联动）处理实时攻击，二者通过日志与规则重载形成闭环，白名单永久放行，黑名单直接拦截，动态规则只作用于非黑白名单流量。
优先级顺序（从高到低）：IP 白名单 > IP 黑名单 > UA 白名单 > UA 黑名单 > URL 黑白名单 > CC 动态防御规则 > 其他防护规则。
CDN 适配：开启 “获取真实 IP”，确保动态规则与黑白名单匹配源 IP 而非 CDN 节点 IP，避免误封。
二、面板可视化联动配置（快速生效）
1. 静态黑白名单基础配置
全局 IP 黑白名单：安全 → 防火墙 → IP 黑白名单，添加 IP/CIDR/IP 段，设置封锁周期与应用范围，重载规则。
站点级 IP/UA 黑白名单：网站 → 目标站点 → 设置 → 配置文件，Nginx 添加allow/deny，Apache 添加Require ip/not ip；CC 防御高级设置中添加 UA 黑白名单。
URL 黑白名单：安全 → Web 防火墙 → URL 黑白名单，白名单用于核心接口（如/api/*），避免进入 CC 检测。
2. CC 动态防御规则配置
路径：安全 → Web 防火墙 → CC 防御（全局 / 站点）
开启 “IP+UA 模式”，设置周期、频率、封锁时间（如周期 60 秒、频率 50 次、封锁 3600 秒），启用 “自动模式”。
配置动态联动：
勾选 “攻击 IP 自动加入黑名单”，设置自动封禁时长（如 1 小时），攻击停止后自动解封。
开启 “人机校验”（增强模式），对疑似攻击流量触发验证码，降低误封。
从 CC 攻击日志（安全 → 攻击日志 → CC 防御）一键将高频攻击 IP/UA 加入黑名单，反向将误拦 IP/UA 加入白名单。
3. Fail2ban 联动（动态封禁 SSH/HTTP 异常 IP）
安装 Fail2ban：软件商店搜索 “Fail2ban” 安装，开启服务。
配置规则：
服务保护：SSH 端口设置错误次数（如 3 次）与封禁时长（如 3600 秒）。
站点保护：添加 CC 防御规则，设置周期（如 60 秒）、频率（如 50 次）与封禁时长（如 3600 秒）。
联动黑白名单：将 Fail2ban 封禁 IP 同步至宝塔 IP 黑名单，白名单 IP 排除 Fail2ban 检测。
三、命令行底层联动配置（批量 / 自动化）
1. 编辑 WAF 配置文件（Lua）实现动态规则
打开配置文件：
bash
运行
vi /www/server/panel/vhost/wafconf/config.lua
配置静态黑白名单与动态 CC 规则：
lua
ipWhitelist = {"127.0.0.1", "192.168.1.0/24"}, -- 静态白名单
ipBlocklist = {"1.2.3.4", "5.6.7.0/24"}, -- 静态黑名单
uaWhitelist = {"Baiduspider", "Googlebot"}, -- 静态UA白名单
uaBlocklist = {"python-requests", "curl"}, -- 静态UA黑名单
CCDeny = "on", -- 开启CC防御
CCrate = "50/60", -- 60秒50次请求
CCDenyTime = 3600, -- 封禁3600秒
autoBlackIP = "on", -- 攻击IP自动加入黑名单
保存后重启服务：
bash
运行
nginx -s reload && bt reload firewall
2. 动态同步脚本（Fail2ban ↔ 宝塔黑白名单）
bash
运行
#!/bin/bash
# Fail2ban封禁IP同步至宝塔黑名单
fail2ban-client status sshd | grep -Eo "([0-9]+\.){3}[0-9]+" | while read ip; do
bt firewall add blacklist --ip=$ip --expire=3600 --scope=global
done
# 宝塔白名单IP排除Fail2ban检测
bt firewall list whitelist | grep -Eo "([0-9]+\.){3}[0-9]+" | while read ip; do
echo "ignoreip = $ip" >> /etc/fail2ban/jail.local
done
systemctl restart fail2ban && bt reload firewall
四、联动生效验证与故障排除
验证方法
面板查看：安全 → 防火墙 → 黑白名单，确认静态规则；安全 → 攻击日志 → CC 防御，查看动态封禁记录。
命令行验证：
bash
运行
grep "ipWhitelist" /www/server/panel/vhost/wafconf/config.lua
fail2ban-client status sshd
模拟测试：用非黑白名单 IP 高频访问，检查是否触发动态封禁并加入黑名单。
常见故障排除
动态规则失效：检查 CDN 真实 IP 获取是否开启，未开启会导致误封 CDN 节点 IP。
误封正常用户：调大 CC 频率阈值，将误拦 IP/UA 加入白名单，限制动态封禁范围（如仅站点级）。
规则不同步：重启 Nginx、WAF 与 Fail2ban 服务，确保规则重载生效。
五、最佳实践与安全建议
分层防御：全局黑白名单用于通用规则，站点级用于业务特定规则，URL 白名单保护核心接口，动态规则处理实时攻击。
日志闭环：定期审计攻击日志，优化静态黑白名单与动态规则阈值，清理过期动态封禁 IP。
性能优化：静态黑白名单优先拦截高频攻击 IP，减少动态规则计算压力，避免性能损耗。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
