在IIS服务器上，通过IP地址和域名限制功能可以禁止直接通过IP访问网站，同时借助动态IP限制模块或URL重写规则实现IP限速，从而有效控制访问频率，这是保护网站安全、防止资源滥用的关键手段。
IIS禁止通过IP访问网站的具体操作步骤
很多站长在配置完网站后，发现直接输入服务器IP也能访问，这不仅带来安全隐患，还可能影响GEO，禁止通过IP访问网站的核心思路是让服务器只响应域名请求，忽略IP请求，下面直接给出几种成熟方案,你可以根据自己IIS版本和运维习惯选择。
为什么需要关闭IP直接访问
IP直接访问意味着任何人都可以直接通过IP地址浏览你的网站内容，这会导致几个问题：一是IP地址可能被搜索引擎索引，造成重复内容；二是攻击者可以绕过域名限制直接访问管理后台；三是IP暴露会增加被DDoS攻击的风险，行业共识认为，绝大多数网站安全事件都与IP地址未被妥善保护有关。IIS禁止通过IP访问网站是一项基础安全配置，尤其对于企业级站点,这一步不可跳过。
具体配置步骤（基于IIS 8+）
使用IP地址和域名限制功能
- 打开IIS管理器,选择对应网站。
- 双击中间区域的“IP地址和域名限制”功能。
- 点击右侧“编辑功能设置”，在“未指定的客户端”中选择“拒绝”。
- 点击“添加允许条目”，输入你的域名（如
.example.com），并勾选“启用域名限制”，注意，域名限制依赖反向DNS查询，可能影响首次请求响应速度,因此更推荐方法二。
使用URL重写模块（推荐,操作简单）
- 确保已安装URL重写模块（可从微软官网免费下载）。
- 在网站根目录的web.config中添加以下规则：
<configuration>
<system.webServer>
<rewrite>
<rules>
<rule name="Block IP Access" stopProcessing="true">
<match url="(.)" />
<conditions>
<add input="{HTTP_HOST}" pattern="^(www.)?example.com$" negate="true" />
</conditions>
<action type="AbortRequest" />
</rule>
</rules>
</rewrite>
</system.webServer>
</configuration>
- 将
example.com替换为你的实际域名，这样，任何非域名请求都会被立即中止（返回空白响应）,效果直观。
通过绑定设置（适合单站点环境）
在网站绑定中，只绑定域名，不绑定IP地址，右键网站选择“编辑绑定”，删除所有默认绑定，新建类型为“http”，主机名为你的域名，IP地址选择“全部未分配”，这种方法简单，但如果服务器存在多个站点，需注意端口冲突，通常建议配合URL重写使用,确保万无一失。
验证配置效果
配置完成后，在浏览器中输入服务器IP地址，如果显示无法访问或空白页，说明配置成功，如果仍然可以访问，请检查是否有其他绑定或规则冲突，使用curl -v http://你的服务器IP命令查看返回状态,更准确。
通过IP限速限制网站访问频率的配置指南
IP限速是防止恶意爬虫、减轻CC攻击的有效手段，IIS中可以通过动态IP限制模块（DIPR）来实现，也可以结合URL重写规则进行更精细的控制，下面重点介绍通过IP限速限制网站访问频率的两种主流方法。
动态IP限制模块的安装与设置
动态IP限制模块是IIS的官方扩展，适用IIS 7.0及以上版本，它可以根据请求频率和并发连接数自动限制IP，配置简单,效果显著。
安装步骤：
- 在Windows Server上，通过“添加角色和功能”找到并安装“动态IP限制”功能，如果列表中没有，请从微软官网下载
DIPR.msi安装包，或使用Web Platform Installer部署。
配置步骤：
- 安装完成后，打开IIS管理器,选择需要限速的网站。
- 双击“动态IP限制”功能。
- 勾选“启用根据请求数量的限制”，设置最大请求数为100，时间窗口为60秒。
- 勾选“启用根据并发请求数量的限制”，设置
最大并发连接数
为20。 - 在“拒绝行为”中，选择“将请求拒绝并返回403禁止”或“返回421 Misdirected Request”。
- 点击“应用”保存。
参数调整建议
- 请求数量限制：根据网站正常流量设定，多数情况下，普通用户每分钟请求数不超过10次，你可以将阈值设定为30-60次，如果网站有大量静态资源加载,可适当放宽。
- 并发连接限制：普通用户通常不会超过5个并发连接，建议设定为10-20，对于API接口,可适当降低。
- 时间窗口：通常为60秒,可根据攻击频率调整为30秒或120秒。
使用URL重写模块实现限速（适合复杂场景）
对于需要动态调整限速策略的情况，可以使用URL重写模块配合IP Security规则，但需要编程能力，且依赖外部存储，对于大多数网站，使用动态IP限制模块即可满足需求,配置更直观。
监控限速效果
配置后，查看IIS日志中是否有大量403错误，动态IP限制模块会在事件查看器记录被限制的IP信息，定期检查这些日志，可以帮助你调整策略,避免误伤正常用户。
IIS禁止IP访问与IP限速的结合应用场景
在实际运维中，单独使用禁止IP访问或IP限速都不够全面，通常需要两者结合,才能构建完整的访问控制体系。
保护网站后台管理目录
对于后台目录（如/admin），可以设置IP白名单，只允许公司办公IP访问，同时设置IP限速，防止暴力破解,具体操作：
- 在IIS中为
/admin目录单独配置IP地址和域名限制,只允许特定IP。 - 同时为整个网站启用动态IP限制,限制所有IP的请求频率。
- 这样，即使某个IP通过后台登录页面尝试暴力破解,也会被限速机制阻止。
应对突发流量攻击
当发现某个IP段发起大量请求时，可以快速将其加入禁止IP访问列表，并调整全局IP限速参数，降低阈值，在IP地址和域名限制中添加拒绝条目，输入攻击IP段，并启用动态IP限制的“根据请求数量限制”，将阈值降到20次/分钟,快速控制局面。
防止爬虫对数据接口的滥用
对于API接口，可以设置严格的IP限速，比如每分钟请求不超过10次，对于已知的恶意爬虫IP，可以永久禁止访问，通过结合IIS IP限速设置和IIS IP访问控制，既能保护数据,又不影响正常用户。
Q&A：IIS禁止通过IP访问网站与IP限速常见问题解答
问：配置禁止IP访问后，为什么本地IP访问仍然成功？
答：可能因为浏览器缓存或使用了代理，建议使用命令行工具如curl -v http://你的服务器IP进行测试，排除缓存,同时检查是否在IP地址和域名限制中设置了允许本地规则。
问：动态IP限制模块与IP地址和域名限制功能有什么区别？
答：IP地址和域名限制用于静态的允许/拒绝规则，而动态IP限制用于限速，是根据请求频率动态封禁，两者可以同时使用，互不冲突,搭配使用效果更佳。
问：我使用的是IIS 6，能否实现IP限速？
答：IIS 6没有动态IP限制模块，但可以通过第三方工具或Windows网络策略实现，建议升级到IIS 8+以获得更好的功能和安全性，直接支持IIS禁止通过IP访问网站和通过IP限速限制网站访问频率的集成配置。
问：IP限速对搜索引擎爬虫有影响吗？
答：搜索引擎爬虫通常有固定IP段，且请求频率合理，如果限速阈值设置过低，可能会误伤爬虫，建议将爬虫IP加入白名单，或者设置较高的限速阈值（如每分钟200次），动态IP限制模块支持排除白名单IP,可在配置中指定。
问：配置后如何解除被误封的IP？
答：动态IP限制模块会自动解除封禁（时间窗口结束后），如果永久封禁，可以在IP地址和域名限制中删除该IP条目，对于误封，可以临时调整阈值或重启IIS服务，但建议先排查误封原因,优化规则。
通过以上配置，你可以在IIS中有效禁止通过IP直接访问网站，并通过IP限速控制访问频率，提升网站的安全性和稳定性，这些方法经过大量实践验证,是Windows服务器运维的必备技能。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/574425.html
