访问控制怎么用
七层监听通常支持访问控制：只允许指定 IP 或网段访问（白名单），或拒绝指定来源（黑名单）。白名单适合后台管理、内部 API、合作方接口这类来源明确的入口——把访问范围收窄到几段固定地址，比依赖应用层鉴权更前一步。配置时的关键细节是先放通健康检查、监控拨测与运维通道，否则可能出现服务本身正常、却被自己的健康检查判成异常的情况。
基本信息
| 能力 | IP 与网段维度的允许或拒绝 |
|---|---|
| 典型用法 | 管理后台仅放公司出口 IP、开放平台仅放合作方网段 |
| 先决条件 | 健康检查来源、监控拨测与运维通道先加入放行 |
| 变更风险 | 名单写错会拒掉正常用户，甚至锁死管理入口 |
典型使用场景
- 管理后台只允许公司出口 IP 访问，降低被扫描与爆破的概率
- 开放平台按合作方网段放行，接口层面再做鉴权与限流
- 灰度期间只放开测试网段，验证通过后逐步扩大范围
- 临时封禁异常来源网段，作为应急处置的第一道手段
从办公网验证白名单效果
从办公网验证白名单效果
curl -s -o /dev/null -w '%{http_code}\n' http://admin.example.com/
# 非白名单来源预期被拒绝（具体表现以产品实现为准）
# 同时在白名单来源执行一次，确认正常放行而不是全部拒绝白名单与黑名单对比
| 维度 | 白名单 | 黑名单 |
|---|---|---|
| 默认行为 | 其余全部拒绝 | 其余全部放行 |
| 适合 | 来源固定的入口 | 临时封禁来源 |
| 风险 | 漏加正常来源即不可用 | 漏加攻击源即形同虚设 |
调整白名单前确认还有备用访问通道（控制台、跳板机），避免误配置后无法自管理。
上线时的检查清单
白名单最容易在三个地方出事：健康检查探针来源未放行导致后端被摘除；监控拨测地址未放行导致误报，半夜被叫醒却发现服务一切正常；运维跳板或堡垒机地址未放行导致自己进不去。因此上线前按「探针、拨测、运维、真实用户」四类来源逐一确认，并保留一条不经过该入口的管理通道。名单变更后同样跑一遍这四类检查，比只看服务端返回码更能反映真实影响面。