IP 白名单的工作原理
管理员将可信的公网 IP 地址或 CIDR 地址范围加入访问控制列表。随后，防火墙、反向代理或应用程序会将每个连接的源 IP 与该列表比对。
203.0.113.24/32 这样的规则只允许一个 IPv4 地址，而 203.0.113.0/24 允许包含 256 个地址的整个范围。源 IP 不匹配时，系统可能返回 403 Forbidden、关闭连接或直接丢弃流量而不作提示。
系统检查的是受保护系统能够看到的公网地址，无法看到 NAT 后设备的私有地址。
IP 白名单与用户名和密码
这两种方法都能限制代理的使用者，但验证的信息不同。
| IP 白名单 | 用户名和密码 | |
|---|---|---|
| 检查内容 | 发起连接的公网 IP | 客户端发送的凭据 |
| 适用场景 | 出口 IP 稳定的办公室或服务器 | IP 可能变化的客户端 |
| 常见故障 | 已批准的 IP 发生变化 | 凭据缺失或错误 |
使用用户名和密码的代理认证可以识别不同用户，而一个获准的 IP 可能代表同一路由器后的多台设备。IP 黑名单采用相反的默认规则：除非地址出现在封禁列表中，否则一律允许访问。
应将哪个代理 IP 加入白名单
应将哪个地址加入白名单，取决于白名单在哪一端生效：
- **在代理服务端：**将工具连接代理时使用的公网 IP 加入白名单。只有代理服务支持源 IP 认证时，这种方法才有效。
- **在自己控制的服务器端：**批准代理的出口 IP，因为服务器看到的是这个地址。
- **在 NAT 后：**使用同一公网出口的所有设备，可能都会显示为同一个已批准地址。CGNAT 还可能导致地址由多个用户共享或发生变化。
- **使用轮换出口 IP 时：**严格的允许名单通常不适用，因为可见地址会变化。静态代理更便于批准和维护。
安全配置 IP 白名单
- 确认接收端防火墙或应用程序记录的公网源 IP。
- 尽量批准单个
/32地址，不要批准过大的地址范围。 - 对于敏感系统，应同时使用 IP 检查、凭据和 TLS。IP 地址无法证明具体是哪个人或进程在连接。
- 记录遭拒的连接，定期检查规则，并在服务器、办公室或代理停用后删除相应条目。
常见问题
使用代理时，应该将哪个 IP 加入白名单？
要看白名单设在哪一端。要访问代理，应将工具的公网源 IP 加入白名单。要通过代理访问自己控制的服务器，则应将代理的出口 IP 加入白名单。
可以将轮换代理加入白名单吗？
通常不能只将单个地址加入白名单。轮换代理会更换出口 IP，而允许代理服务商的整个地址范围，也会放行其他客户的流量。需要严格控制访问时，应使用固定出口 IP，或要求通过密码等其他方式进行检查。
仅靠 IP 白名单足够安全吗？
不够。IP 白名单只能限制连接的来源位置，但获准的网络中仍可能存在已被入侵或未经授权的设备。应同时使用认证、加密和访问日志。