محدودیت جغرافیایی: دسترسی بر اساس کشور، روی لبه

برای هر دامنه یکی از سه حالت را انتخاب می‌کنید. انتخاب درست به این بستگی دارد که فهرست کوتاه‌تر کدام است: کشورهایی که باید راه داده شوند یا کشورهایی که باید رد شوند.

لبه برای هر درخواست، IP بازدیدکننده را در یک پایگاه‌دادهٔ مکان‌یابی IP در سطح کشور جست‌وجو می‌کند. این پایگاه‌داده روی خود لبه نگه‌داری می‌شود، پس تشخیص کشور به سرویس خارجی وابسته نیست و برای هر درخواست، پرس‌وجوی شبکه‌ای جداگانه‌ای انجام نمی‌شود. پایگاه‌داده به‌طور دوره‌ای به‌روز می‌شود.

مکان‌یابی IP در سطح کشور برای بیشتر آدرس‌ها قابل اعتماد است، اما کامل نیست. رنج‌هایی که اخیراً بین کشورها جابه‌جا شده‌اند، IP‌های بعضی ارائه‌دهندگان ابری و شبکه‌های ماهواره‌ای ممکن است کشور اشتباه نشان دهند. اگر کاربری گزارش داد با وجود حضور در کشور مجاز مسدود شده، IP او را با ابزار IP من بررسی کنید.

محدودیت کشوری پیش از فایروال وب بررسی می‌شود؛ درخواستی که از کشور غیرمجاز بیاید همان ابتدا رد می‌شود و هزینهٔ پردازش بیشتری روی لبه ندارد.

بخش بزرگی از کاربران ایرانی برای دسترسی به سرویس‌های خارجی از VPN استفاده می‌کنند و ممکن است هنگام باز کردن سایت شما، VPN آن‌ها روشن باشد. در حالت «فقط ایران» این کاربران IP خارجی دارند و پاسخ ۴۰۳ می‌گیرند. اگر مخاطب شما عمومی است، این موضوع را در پیام‌های پشتیبانی و راهنمای سایت در نظر بگیرید.

خزنده‌های موتورهای جست‌وجو هم معمولاً از IP‌های خارج از ایران کار می‌کنند. اگر سایت فقط برای ایران باز باشد، ممکن است صفحه‌ها خزش نشوند و از نتایج جست‌وجو حذف شوند. برای سایتی که به ترافیک جست‌وجو وابسته است، حالت «مسدودی کشورهای مشخص» انتخاب امن‌تری است.

یک راه میانه این است که فقط بخش‌های حساس را محدود کنید: سایت عمومی بدون محدودیت و پنل کاربری یا API پرداخت روی زیردامنهٔ جدا با حالت فقط ایران.

چند وضعیت پرتکرار و ترکیب تنظیماتی که برای هر کدام پیشنهاد می‌کنیم:

ابزارهای کنترل دسترسی در لبه و روی سرور هر کدام جایگاه خود را دارند:

اگر امروز محدودیت کشوری را روی خود سرور، مثلاً با ماژول GeoIP وب‌سرور یا قوانین فایروال بر اساس رنج IP کشورها، اجرا می‌کنید، انتقال آن به لبه دو مزیت دارد: درخواست مسدودشده دیگر منبعی از سرور مصرف نمی‌کند و به‌روزرسانی دوره‌ای پایگاه‌دادهٔ کشورها بر عهدهٔ ایران‌کلاد است.

ابتدا قانون معادل را روی لبه فعال و آن را با چند IP داخلی و خارجی تست کنید. پس از اطمینان، قانون سرور را حذف کنید تا دو لایه با پایگاه‌داده‌های متفاوت نتیجهٔ متناقض ندهند. دقت کنید که پس از روشن‌کردن CDN، سرور شما IP بازدیدکننده را از هدر X-Real-IP دریافت می‌کند؛ هر قانون کشوری که روی سرور باقی بماند باید از این هدر استفاده کند، وگرنه همه را با IP لبه می‌بیند.

محدودیت جغرافیایی اشتراک یا هزینهٔ ماهانهٔ جداگانه ندارد. شما فقط مصرف CDN را می‌پردازید: ترافیک خروجی رایگان است و هر ماه ۱ میلیارد درخواست و ۱۰ گیگابایت ترافیک ورودی رایگان دارید. درخواست‌هایی که با محدودیت کشوری رد می‌شوند هم در همین سهمیه شمرده می‌شوند.

بالاتر از سهمیهٔ رایگان، هر ۱۰ هزار درخواست با مبدأ داخل ایران ۱۰۶ تومان (خارج از ایران ۱۵۸ تومان؛ بیش از ۵ میلیارد درخواست در ماه ۵۳ و ۱۰۶ تومان) و ترافیک ورودی مازاد ۱٬۶۵۰ تومان برای هر گیگابایت است. با مسدود کردن ترافیک ناخواسته در لبه، مصرف منابع سرور اصلی شما هم کمتر می‌شود. جدول کامل قیمت‌ها در قیمت‌گذاری آمده است.

دامنه را در DNS ایران‌کلاد اضافه کنید و برای رکورد سایت پروکسی لبه را روشن کنید. در بخش CDN، تنظیمات همان دامنه را باز کنید و در کارت «محدودیت جغرافیایی» حالت را انتخاب کنید. کدهای کشور را با کاما جدا کنید؛ برای فقط ایران کافی است IR بنویسید. اگر فهرست خالی بماند، محدودیت خاموش می‌شود.

پس از ذخیره، تنظیمات لبه چند ثانیه بعد اعمال می‌شود. دسترسی را یک بار از اینترنت داخلی و یک بار با یک IP خارجی امتحان کنید و پاسخ ۴۰۳ را با ابزار بررسی هدرهای HTTP ببینید. پیش از فعال‌سازی روی سایت اصلی، بهتر است تنظیم را روی یک زیردامنهٔ آزمایشی تست کنید.

محدودیت جغرافیایی سطح حمله را کم می‌کند، اما مهاجمی که از سرور یا VPN داخل یک کشور مجاز درخواست بفرستد از آن عبور می‌کند. به همین دلیل آن را کنار لایه‌های دیگر به کار ببرید: فایروال وب و فهرست IP مخرب در محافظ ربات و حمله و محدودیت نرخ هر IP همچنان روی درخواست‌های کشورهای مجاز فعال‌اند.

IP سرور اصلی را هم محافظت کنید. اگر IP قبلاً منتشر شده، مهاجم می‌تواند لبه را دور بزند و مستقیم به سرور برسد؛ دسترسی پورت‌های وب سرور را محدود کنید تا قانون کشوری لبه واقعاً اثر داشته باشد.

قانون کشوری برای کل یک دامنه یا زیردامنه اعمال می‌شود و قانون جدا برای هر مسیر وجود ندارد. پاسخ مسدودی یک ۴۰۳ ساده است و صفحهٔ مسدودی قابل‌طراحی یا پیام دلخواه ارائه نمی‌شود. تشخیص فقط در سطح کشور است، نه استان یا شهر.

گزارش ترافیک به تفکیک کشور وجود ندارد و تعداد درخواست‌های ردشده با قانون کشوری جداگانه نمایش داده نمی‌شود. تغییر تنظیمات کشوری فعلاً فقط از پنل ممکن است و API فقط مقدار فعلی را برمی‌گرداند. ریدایرکت بر اساس کشور هم پشتیبانی نمی‌شود؛ برای ریدایرکت‌های ثابت، توابع لبه را ببینید.