IP 許可リスト
ホワイトリストには、アクセスを許可する送信元として、単一の IP、CIDR、定期的に名前解決する CNAME、地域から生成した CIDR グループを保存します。直接接続モードでホストのファイアウォールを開放するために使用するほか、ログイン後の IP 許可や従来のマッピングルールに送信元データを提供します。
3 種類の送信元
| 送信元 | 作成者 | 主な用途 |
|---|---|---|
| 手動の記録 | 管理者が IP ホワイトリスト で追加 | 固定されたオフィスの出口、信頼できる VPN、CIDR、CNAME、地域 CIDR グループ |
| 自動の記録 | ログイン成功後の IP 許可ポリシー | 現在のグローバル IP を一時的に許可 |
| ローカル除外 | ゲートウェイ内蔵の判定で、記録としては表示されない | ループバック、プライベートネットワーク、リンクローカル、CGNAT の送信元 |
ローカル除外は、ホワイトリストとログイン確認より先に判定されます。無効にはできず、インターネットからのアクセスに対する安全性の検証結果として扱うべきものでもありません。
手動ホワイトリスト
IP ホワイトリスト で「許可対象を追加」をクリックし、次の項目を設定します。
| フィールド | 説明 |
|---|---|
| タイプ | 単一の IP、CIDR 範囲、ドメイン／CNAME |
| CIDR ソース | 手動入力、または地域から選択 |
| 確認間隔 | ドメイン名を再解決する間隔。デフォルトは 5 分、最短 1 分 |
| 有効期間 | 1 時間、24 時間、7 日間、または任意の時間数。無期限で保存することも可能 |
| 備考 | 用途、担当者、再確認日などを記録 |
地域から CIDR を選択すると、独立した地域ホワイトリストグループとして保存され、すべてのアドレス範囲が通常のホワイトリスト一覧へ展開されることはありません。地域は China Telecom、China Unicom、China Mobile で絞り込むこともできます。通信事業者による絞り込みには、CIDR データベース 0.1.3 以降が必要です。
手動の記録は、長期間信頼でき、送信元が安定したネットワークに適しています。モバイル回線、一時的な Wi-Fi、送信元が不明な出口を無期限に設定しないでください。地域ホワイトリストは、選択した地域に属する多数のグローバル IP を許可するため、固定 CIDR より明らかにリスクが高くなります。
CNAME はシステムの名前解決結果に応じて、実際に許可する範囲を更新します。自身で管理し、名前解決結果を予測できるドメインだけを使用してください。地域や通信事業者の CIDR グループは、IP 位置情報データに依存します。大まかに範囲を狭める用途には適していますが、高精度な本人確認の唯一の手段には向きません。通信事業者による絞り込みには CIDR データベース 0.1.3 以降が必要です。古いサービスでも、通常の地域やカスタム CIDR は引き続き使用できます。
一覧には、許可対象、解決済み IP、ソース、状態、有効期限、作成日時、備考が表示されます。ドメインの記録では「今すぐ更新」を実行でき、備考は直接変更できます。記録や地域グループを削除し、同じ送信元を対象とする別の有効な記録がなければ、直接接続用ファイアウォールで対応する許可も無効になります。
手動ホワイトリストは、ログインを必須にする Host に対する独立した許可経路でもあります。広範なグローバルネットワークを追加すると、その範囲内のアクセス元が Web ログインを経ずに保護対象サービスへ入れる可能性があるため、追加しないでください。
IP の自動許可
ログイン後の自動記録は、システム設定 → セッション で設定します。セッションに連動させる、完全に無効にする、固定の有効期間を使用する、のいずれかを選択できます。自動記録はログイン後の使い勝手を改善しますが、長期的な権限設計の代わりにはなりません。
ログアウトすると、そのセッションに紐付いた自動許可は削除されます。手動の記録には影響しません。
自動記録には、ログインに使用した認証情報またはセッションの送信元、有効期限、位置情報が表示されるため、アクティブなセッションと照合できます。自動記録を削除すると対応する IP の許可は取り消されますが、ブラウザーセッションは自動的には終了しません。アクセスを完全に取り消す場合は、セッションも同時に削除してください。
アクセスポリシーとの関係
| 現在のマッピング設定 | ホワイトリストの役割 |
|---|---|
| 公開アクセス（現在のログイン優先マッピング） | 認証は不要で、ホワイトリストにも依存しません |
| ログインを必須にする | 手動の送信元許可だけでもアクセスできます。通常、自動 IP 許可でも同じ送信元から継続してアクセスできますが、リクエストに含まれるサービス範囲の拒否を上書きすることはありません。利用できる送信元許可がない場合に、セッションを確認します |
旧バージョンから取り込んだ Host マッピングには、「厳格なホワイトリスト」ポリシーが残っている場合があります。このポリシーでは、ログインを必須にする を無効にしても公開されるとは限らず、有効な送信元許可の記録（手動の記録、またはログイン後に自動作成された記録）だけが確認されます。ブラウザーセッションの Cookie だけでは、送信元の条件を置き換えられません。ログイン後の IP 自動許可が有効な場合、通常はログイン完了時に自動記録が作成され、この従来ルールを通過できます。現在の Host 編集画面には、このポリシーを新規作成する設定はありません。ルールを解除するには、マッピング設定をすべて記録してから、現在の画面で作り直してください。厳格なルールで手動のリストだけを許可する必要がある場合は、ログイン後の IP 自動許可を無効にし、残っている有効な自動記録も確認してください。
直接接続モードでの効果
ネイティブの飛牛 FPK と、ホスト制御機能を備えた OpenWrt デプロイでは、有効なホワイトリストをホストのファイアウォールへ同期できます。Docker はホストのファイアウォールを管理しないため、ホワイトリストを使用して元のポートを開放することはできません。
汎用 Linux、Synology DSM 7 SPK、Windows x86_64 でも、fn-knock によるホストのファイアウォール同期は利用できません。画面上の記録はゲートウェイの許可判定には使用できますが、これらのプラットフォーム自身のファイアウォールに代わるものではありません。
直接接続モードでは、インターネット側の送信元 IP が変わっても、元のポートへのアクセスによってセッションが再接続されることはありません。最初にゲートウェイの入口へ戻って認証を完了し、その後で元のサービスポートへ再接続してください。
トラブルシューティング
追加してもアクセスできない
記録の有効期限が切れていないこと、ドメインが現在の送信元へ名前解決されていること、対象ポートが実際に fn-knock によって管理されていることを確認してください。Docker やホストのファイアウォール管理に対応していないプラットフォームでは、ホスト側のファイアウォールも別途確認する必要があります。
ドメインのホワイトリストアドレスが更新されない
最終チェック日時と名前解決の状態を確認し、「今すぐ更新」を実行してください。DNS、確認間隔、CNAME の A／AAAA レコードを確認します。プライベートアドレスしか返されない場合や、レコードが存在しない場合は、想定するグローバル IP の許可は得られません。
記録を削除してもアクセスできる
重複する CIDR、地域グループ、別のドメインの解決済み記録、アクティブなセッション、ローカル除外が残っていないか、または Host が公開アクセスに設定されていないかを確認してください。