封禁

概念复制链接

封禁地址复制链接

1. 打开 封禁，点击「新建封禁」。

2. 选择「范围」：「网站」或「全局」。

3. 范围为「网站」时，在「网站」中选择网站；网站较多时先在「搜索网站」中输入名称或域名。

4. 填写「IP 或 CIDR」，例如 203.0.113.7 或 198.51.100.0/24。

5. 选择「原因」与「时长」（1 小时、6 小时、1 天、3 天、7 天），点击「封禁」。

6. 验证：从被封禁的地址请求该网站：

   复制

   curl -sI -H 'Host: www.example.com' http://<节点 IP>/

   返回 403，响应头含 X-Edgeweir-Error: ip-banned。网站封禁不影响同一地址访问其他网站。

解封：点击该行的「解封」并确认。节点在数秒内移除该封禁。手动与自动封禁都可解封。

不必重新输入：访问日志、统计中的热门 IP、网站「安全」页签的 Top IP 与自动封禁事件，在行右侧的「⋯」中提供「封禁 IP」，对话框已填好网站与地址（「范围」可改为「全局」），按 ⌘K / Ctrl+K 选择「封禁 IP…」打开同一对话框（在网站页面时预填该网站）。封禁后提示中的「查看封禁」打开列表。链接 /bans?site=<网站 ID>&ip=<地址> 打开同样预填的对话框，列表只显示与该地址重叠的封禁（地址旁的 × 清除）。

列表只显示有效的封禁（未到期、未解封），按创建时间倒序，可按范围、网站与来源筛选：

规则复制链接

数量上限复制链接

自动封禁不计入手动封禁上限。达到上限时新建封禁返回 BAN_PLATFORM_LIMIT（「手动封禁已达上限（N 条）」）；再次封禁仍有效的地址不受上限限制。

自动封禁复制链接

节点按触发条件（CC 防护的「单 IP QPS」，见挑战与 CC 防护）自行封禁：IPv4 封单个地址，IPv6 封所在的 /64（一个客户端通常持有整个 /64）；回环地址从不封禁。封禁立即在该节点生效，并每 5 秒批量上报控制台。

节点复制链接

内核封禁复制链接

全局封禁同时由节点 agent 写入 nftables，在内核丢弃被封地址的入站数据包，被封客户端连 TCP 与 TLS 握手都无法完成。网站封禁只在 HTTP 层执行。L4 应用 只受内核封禁约束：网站封禁与 HTTP 层的封禁不作用于四层流量。

默认的 systemd 单元与节点镜像不授予 CAP_NET_ADMIN，需要时按下列步骤启用。

systemd 节点复制链接

1. 安装 nftables：

   复制

   sudo apt-get install -y nftables    # Debian、Ubuntu
   sudo dnf install -y nftables        # RHEL 系

2. 创建 drop-in，在已有的 CAP_NET_BIND_SERVICE 之外增加 CAP_NET_ADMIN：

   复制

   [Service]
   AmbientCapabilities=CAP_NET_BIND_SERVICE CAP_NET_ADMIN
   CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_NET_ADMIN

3. 重新加载并重启：

   复制

   sudo systemctl daemon-reload
   sudo systemctl restart edgeweir-node

4. 验证：sudo nft list table inet edgeweir 列出集合 ban4 与 ban6；GET /api/v1/nodes/{id} 的 supportedFeatures 含 kernel-ban-v1。

容器节点复制链接

1. 以构建参数 NFT_CAPABILITY=true 构建节点镜像。镜像为 nft 设置文件能力，agent 仍以非 root 用户运行：

   复制

   docker build --build-arg NFT_CAPABILITY=true -t edgeweir-node:nft .

2. 运行容器时加 --cap-add NET_ADMIN（Compose：cap_add: [NET_ADMIN]）。

3. 验证：docker exec <容器> nft list table inet edgeweir 列出集合 ban4 与 ban6；GET /api/v1/nodes/{id} 的 supportedFeatures 含 kernel-ban-v1。

节点前的负载均衡复制链接

集群的访客 IP 设置决定 HTTP / HTTPS 监听的访客地址（ip.src）：

后两种模式下，「封禁」页顶部显示「集群 {clusters} 的访客 IP 来自代理：内核封禁只匹配 TCP 对端」。直连模式下节点前仍有负载均衡时，把负载均衡器的地址加入放行名单：它们不会被封禁，也不会在内核被丢包。

L4 应用在自己的监听上接受 PROXY 协议，与 HTTP / HTTPS 监听的访客 IP 设置无关。

API复制链接

路径位于 /api/v1 下。

只读 AccessKey 只能调用 bans.list；服务账号不能调用封禁接口（403 SERVICE_ACCOUNT_FORBIDDEN）。字段与示例见 API 与端点。

故障排查复制链接