TG咨询看到异常请求后直接封禁一个IP，往往是最容易执行的动作，却不是完整的攻击源IP封禁策略。攻击者可能使用代理池、云主机轮换地址，多个用户也可能通过同一个出口访问服务。因此，IP封禁适合用于快速止损，但需要与账号、设备、请求路径、访问频率和网络段等信息结合。
真正有效的目标不是让封禁列表变长，而是在控制攻击影响的同时，保留正常访问、及时解除误封，并能应对攻击来源变化。
先判断：IP是线索，不是完整身份
同一个公网地址可能对应企业出口、校园网络、移动运营商共享地址或家庭路由器。若对该地址实施全站封禁，可能同时影响大量无关用户。反过来，攻击者也可能通过代理节点快速更换地址，使单IP封禁很快失效。
需要同时观察的信号
- 请求行为：关注访问路径、方法、参数结构、失败比例和请求间隔，而不只看来源地址。
- 身份关联：将账号、会话、设备标识和认证失败记录进行关联，识别同一行为是否从多个地址出现。
- 网络范围：对连续地址、自治系统或已知代理出口保持谨慎，范围越大，误伤概率通常越高。
- 业务影响：区分登录、支付、搜索、文件上传等关键路径，避免用同一强度处理所有请求。
分层设计攻击源IP封禁策略
建议把处置动作分为观察、限制、临时封禁和升级隔离四级，而不是发现异常后直接永久拒绝。
- 观察：记录来源地址、时间、请求路径、响应状态和关联账号，先确认异常是否集中在单一接口。
- 限制：对风险较低或证据不足的来源，优先采用验证码、二次认证、连接数上限或接口级限流，保留正常页面访问。
- 临时封禁：当同一地址持续触发明确规则时，封禁具体端口、路径或服务，并设置到期时间。短时攻击可使用几十分钟到数小时的期限，长期异常则需要复核后续延长。
- 升级隔离：若多个地址呈现相同指纹，或攻击影响持续扩大，再考虑网段、账号组、设备标识或上游安全设备的联合处置。
- 恢复与复盘：封禁到期前检查失败率、业务成功率和投诉情况；解除后继续观察，避免攻击者刚恢复访问就重复造成影响。
临时封禁与永久封禁的差异
临时封禁适合证据有限、共享出口较多或业务容错较低的环境，优点是误伤可控，缺点是需要自动复核。永久封禁适合经过确认的恶意基础设施或明确违规来源，但维护成本高，也可能因地址重新分配而误伤新用户。实际配置中，应保留管理员、支付服务、日志采集和健康检查等必要来源的例外规则，并对例外规则设置负责人和复审周期。
怎样避免“封了一个，放过一群”
仅按IP匹配的规则很容易被轮换地址绕过。可以把封禁对象从单一地址扩展为“来源加行为”的组合，例如同一设备在多个地址上连续尝试相同账号，或多个地址以近似节奏访问同一敏感接口。对IPv6环境，还要明确记录完整地址与前缀范围，不能简单套用IPv4的地址判断方式。
在Linux服务器上，iptables或nftables适合执行主机级网络规则；Fail2ban适合根据日志触发短期封禁。但这类工具主要解决执行问题，不能替代日志质量、身份关联和误封复核。对于应用层异常，应在应用网关或认证服务中保留更细的路径和账号维度。
上线前的检查清单
- 是否明确封禁对象是单个地址、地址段、账号、设备还是接口？
- 是否设置了开始时间、到期时间、解除条件和操作记录？
- 是否验证企业出口、运维地址、监控探针和第三方回调不会被误拦？
- 是否能区分攻击流量下降与正常业务被一并阻断？
- 是否准备了人工解封、规则回滚和紧急白名单流程？
衡量攻击源IP封禁策略时，不要只看封禁数量。更有价值的指标包括异常请求是否减少、正常请求成功率是否稳定、误封是否能在较短时间内发现，以及攻击者更换来源后能否被新的关联规则识别。这样，IP封禁才是整体访问控制的一环，而不是唯一防线。
常见问题
单IP封禁什么时候最合适？
适合处理来源明确、行为持续且需要立即止损的短期事件，尤其是单一接口受到集中请求时。
发现多个IP攻击，是否应直接封禁整个网段？
不应默认这样做。先比较行为特征和业务归属；共享网络或云服务地址较多时，网段封禁可能造成明显误伤。
封禁期限应该固定吗？
不建议固定。根据攻击持续时间、地址是否共享、业务重要性和复核能力设置，并为长期规则安排定期审查。
只使用IP黑名单有什么问题？
它难以识别代理轮换、共享出口和同一攻击者的多地址行为，也无法解释账号或接口层面的风险，因此需要与身份、设备和请求行为信号结合。
