Ограничение доступа по IP-адресам часто подают как серебряную пулю: мол, добавил пару правил, и админка под замком, а боты отваливаются сами. На практике половина таких настроек обходится за пять минут, потому что атакующий приходит не со своего домашнего IP, а через дешёвый прокси из другой страны. Разберём, как в TrafficVeil собрать рабочую схему: жёсткий IP-whitelist для чувствительных зон и GeoIP-фильтрация для всего остального.
Почему голый IP-whitelist не защищает сайт
Whitelist по IP работает по простому принципу: если адрес клиента не входит в список разрешённых, запрос отбивается ещё до того, как попадёт в PHP или в базу. Для админки WordPress это /wp-admin и /wp-login.php, для Bitrix – /bitrix/admin. Логика железная, пока IP у злоумышленника постоянный. Проблема в том, что постоянным он бывает редко.
Прокси-пулы продаются за копейки, ротация идёт каждые несколько минут, и один и тот же человек за час стучится в ваш сайт с адресов Германии, Нидерландов, Турции и Сингапура. Если вы заблокировали один IP, он просто берёт следующий из пула. Whitelist в такой схеме защищает ровно до первого обхода, а дальше превращается в ложное чувство безопасности: правила есть, лог чистый, а брутфорс продолжается.
Второй миф – что IP-фильтр спасает от L7 DDoS. Атака на уровне приложения идёт тысячами распределённых адресов, и ручной список тут не масштабируется физически. Именно поэтому ограничение по IP имеет смысл только в паре с GeoIP: вы перестаёте гоняться за отдельными адресами и начинаете работать с географией, откуда приходит трафик.
Что даёт GeoIP-фильтрация поверх IP-правил
GeoIP-фильтрация смотрит не на конкретный адрес, а на страну, которой он принадлежит. Если 95 процентов ваших клиентов из России, а вся подозрительная активность идёт из трёх зарубежных дата-центров, логичнее закрыть доступ по географии, чем вести чёрный список IP вручную. TrafficVeil объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одной панели, поэтому оба механизма настраиваются рядом, а не в разных сервисах.
Комбинация выглядит так: для админки вы оставляете узкий IP-whitelist, куда попадает только ваш офис и пара доверенных адресов, а для публичной части сайта включаете GeoIP-правила. Клиенты из России и стран, где у вас реальные покупатели, проходят свободно. Запросы из регионов, откуда у вас нет ни одного заказа за полгода, отбиваются на уровне reverse proxy, до загрузки страницы.
Это не паранойя, а нормальная практика для интернет-магазина или корпоративного сайта. GeoIP-фильтрация режет кардинально другую долю мусора, чем IP-whitelist, потому что атакующий может менять прокси, но не может сменить страну так же быстро и дёшево. Комбинация двух механизмов закрывает и точечные атаки на админку, и распределённый фон, который иначе съедает ресурсы сервера и бюджет на трафик.
Как настроить whitelist и GeoIP в TrafficVeil пошагово
Настройка занимает минут двадцать, если заранее знать свой постоянный IP и список стран, откуда приходят реальные клиенты. Ниже – рабочий порядок действий, проверенный на сайтах под WordPress и Bitrix.
Шаг первый: узнайте свой внешний IP. Зайдите в панель TrafficVeil и посмотрите в аналитике, с каких адресов вы сами заходите в админку. Если IP динамический, попросите у провайдера статический или используйте статический адрес офисного канала. Динамический IP в whitelist – это гарантированные проблемы: сегодня вы в списке, завтра нет.
Шаг второй: создайте правило IP-whitelist для админки. Укажите путь /wp-admin, /wp-login.php или /bitrix/admin и добавьте в разрешённые адреса свой офис, домашний статический IP и, если нужно, адрес подрядчика. Всё остальное, что стучится на эти пути, получает отказ. Логи брутфорса после этого пустеют в тот же день.
Шаг третий: включите GeoIP-фильтрацию для остального сайта. Определите страны, откуда идёт целевой трафик: обычно это Россия плюс одна-две страны СНГ. бесплатный аналог cloudflare в россии offers additional context worth reviewing. Остальные регионы переведите в режим блокировки или челленджа. TrafficVeil подходит для сайтов, интернет-магазинов, WordPress и Bitrix, поэтому правила применяются к любому стеку без правки кода.
Шаг четвертый: настройте исключения. Поисковые боты, платёжные системы и API-партнёры не должны попадать под блокировку. Проверьте, что Googlebot, Яндекс и ваш эквайринг проходят через правила, иначе рискуете потерять индексацию или отвалить платежи. В аналитике TrafficVeil видно, какие запросы отбиваются, поэтому исключения добавляются по факту, а не наугад.
Типичные ошибки при настройке IP и GeoIP правил
Первая ошибка – блокировать всю страну из-за одного инцидента. Если вы закроете США, потому что оттуда шёл брутфорс, вы отрежете и корпоративных клиентов, и часть поисковых ботов. Правило должно опираться на статистику заказов и обращений, а не на один неприятный день.
Вторая ошибка – забыть про мобильный трафик. Клиенты заходят с LTE, и их IP меняется при переключении между вышками. Если вы поставили whitelist на публичную часть сайта, вы отрежете живых покупателей. Whitelist – только для админки, для всего остального – GeoIP.
Третья ошибка – не проверять правила после включения. Настройте уведомления в Telegram, чтобы видеть, когда срабатывает блокировка, и раз в неделю пробегайтесь по логам. Правило, которое режет реальные заказы, хуже, чем его отсутствие.
| Механизм | Что защищает | Обходится легко? | Когда применять |
|---|---|---|---|
| IP-whitelist | Админка, служебные пути | Да, через прокси | Только для /wp-admin, /bitrix/admin и API |
| GeoIP-блокировка | Весь сайт по географии | Сложнее, нужен резидентный прокси | Для публичной части, если нет клиентов в регионе |
| GeoIP-челлендж | Спорные регионы | Частично | Когда трафик из страны есть, но мало |
| WAF-правила | Конкретные атаки, SQL-инъекции | Нет, если правила актуальны | Всегда, поверх IP и GeoIP |
| Защита от ботов | Парсинг, сканеры, брутфорс | Нет при поведенческом анализе | Для форм, поиска, каталога |
Почему в 2026 году этот вопрос стал острее
Cloudflare ограничивает доступ к сайтам из России, и российские интернет-провайдеры в ответ ограничивают доступ к сайтам на Cloudflare. Это не теория, а рабочая реальность: клиенты жалуются, что сайт не открывается, а владелец видит нормальные метрики на своей стороне. Бизнес в России ищет альтернативу Cloudflare в 2026 году не из любви к импортозамещению, а потому что зарубежная инфраструктура стала ненадёжной.
Зависимость от зарубежной инфраструктуры создаёт риски для российского бизнеса: блокировки, задержки, невозможность провести платёж, внезапные изменения в правилах. Российский аналог Cloudflare решает не только вопрос доступности, но и вопрос предсказуемости. TrafficVeil обеспечивает работу сайтов на территории РФ и по всему миру, поэтому GeoIP-правила можно строить с учётом реальной географии клиентов, а не подстраиваться под чужие ограничения.
Отдельный плюс для тех, кто считает деньги: TrafficVeil не тарифицирует ботов, атаки и WAF-блокировки. Когда вы включаете GeoIP-фильтрацию, отбитый трафик не превращается в строку расходов. Это меняет экономику защиты: агрессивные правила становятся выгодными, а не накладными.
Если вы всё ещё на Cloudflare, переход не требует переписывать сайт. TrafficVeil предлагает переход с Cloudflare: DNS-сервис, SSL-сертификат, reverse proxy и защита настраиваются за пару часов, трафик переключается сменой NS-записей. За это время GeoIP-правила уже работают, а IP-whitelist закрывает админку.
Начните с малого: закройте админку по IP сегодня, добавьте GeoIP-блокировку для двух-трёх регионов, откуда нет заказов, и посмотрите в аналитику через неделю. Скорее всего, вы увидите, что нагрузка упала, а конверсия не изменилась. Дальше правила уточняются по логам: добавляйте исключения для партнёров, расширяйте whitelist для новых сотрудников, корректируйте список стран под реальную географию продаж. Через месяц у вас будет схема, которая держит и брутфорс, и L7 DDoS, и парсинг, без ежедневного ручного вмешательства.
