Ограничение доступа к административной панели по IP-адресу остается самым дешевым и самым эффективным способом закрыть вход в /admin от брутфорса, credential stuffing и автоматических сканеров. В TrafficVeil это делается через комбинацию GeoIP-фильтрации и белого списка: сначала вы разрешаете доступ только доверенным адресам, а весь остальной трафик по стране отсекаете на периметре. Ниже – рабочая последовательность шагов, которую можно повторить на боевом сайте без риска потерять доступ к панели управления.
Подготовка: почему порядок действий важнее самих правил
Главная ошибка при настройке GeoIP-блокировки – включить запрет раньше, чем добавлен белый список. Логика веб-платформы устроена так, что правило блокировки применяется ко всему входящему трафику, включая ваш собственный запрос к /admin. Если вы сидите в офисе с российского IP и разрешаете доступ только из России, все пройдет штатно. Но как только вы сузите правило до конкретной подсети или решите заблокировать страны целиком, ваш текущий адрес попадет под запрет и вы потеряете доступ к настройкам ровно в тот момент, когда они нужны больше всего.
Поэтому первым делом соберите инвентарь адресов. Вам нужны: статический IP офиса (или диапазон, если провайдер выдает пул), IP домашнего подключения ключевых администраторов, адрес VPN-шлюза, через который ходит команда, и, если используете мониторинг, IP сервиса проверки доступности. Динамические адреса домашних провайдеров в белый список добавлять бессмысленно: они меняются раз в сутки, а иногда и чаще. Для таких случаев правильнее завести VPN с фиксированной точкой выхода и внести в whitelist именно ее.
Отдельно проверьте, какой IP видит веб-платформа. Если перед TrafficVeil стоит еще один прокси или балансировщик, реальный адрес клиента может подменяться адресом промежуточного узла, и тогда любое правило по IP сработает неверно. Убедитесь, что заголовки с исходным адресом пробрасываются корректно, прежде чем строить на них защиту.
Пошаговая настройка правила для /admin с GeoIP-блокировкой
Шаг первый: создайте белый список. В панели TrafficVeil найдите раздел управления доступом и добавьте туда все доверенные адреса из инвентаря. Формулируйте записи максимально узко: /32 для одиночного адреса, /29 или /28 для офисной подсети. Не вносите целые диапазоны провайдера “на всякий случай” – это сводит защиту к нулю, потому что атакующий может арендовать машину у того же хостера. Сохраните список и убедитесь, что он применился, до перехода к следующему шагу.
Шаг второй: настройте GeoIP-фильтрацию. Укажите страны, из которых доступ к сайту разрешен, и оставьте все остальные под блокировкой. Для российского бизнеса логичная база – Россия плюс те страны, где реально есть клиенты или партнеры. Если аудитория только внутренняя, ограничьтесь РФ: тогда весь зарубежный автоматизированный трафик, включая ботнеты и сканеры уязвимостей, отсекается на входе, не доходя до приложения. Это заметно снижает нагрузку на бэкенд и уменьшает число ложных срабатываний WAF.
Правило для /admin: разрешить офис, остальное закрыть
Шаг третий: создайте отдельное правило именно для пути /admin. В нем укажите действие “разрешить” для адресов из белого списка и “заблокировать” для всех остальных, независимо от страны. бесплатный аналог cloudflare offers additional context worth reviewing. Такая связка важнее общей GeoIP-блокировки: даже если злоумышленник зайдет с российского IP через подставной прокси, административная панель для него останется закрытой. Публичная часть сайта при этом работает для всех разрешенных стран, а точка входа в управление доступна только с нескольких конкретных адресов.
Шаг четвертый: проверьте правило перед публикацией. Откройте /admin с офисного адреса – доступ должен сохраниться. Затем попробуйте зайти с мобильного интернета или через публичный VPN: вы должны получить отказ. Если отказ приходит и с офисного адреса, значит белый список не применился или запись указана в неверном формате. Вносите правки до того, как правило станет активным для всех, а не после.
Шаг пятый: заведите резервный путь доступа. Даже при аккуратной настройке остается риск: провайдер сменил адрес, офис переехал, кто-то из администраторов уехал в командировку. Держите один запасной способ входа – например, отдельный служебный поддомен с доступом по VPN или временное правило, которое включается вручную. Это не паранойя, а базовая отказоустойчивость ИТ-инфраструктуры.
Что это дает и как не сломать конверсию
Комбинация GeoIP-фильтрации и белого списка решает две задачи сразу. Первая – защита: административная панель перестает быть доступной из интернета, а значит, пропадает цель для перебора паролей и эксплуатации уязвимостей в плагинах WordPress или компонентах Bitrix. Вторая – снижение шума: боты и сканеры из неразрешенных стран не доходят до приложения, не нагружают PHP и не засоряют аналитику. Владелец сайта видит более чистые данные по источникам трафика и точнее оценивает реальную конверсию.
Риск, о котором стоит помнить, – слишком широкие правила. Если вы заблокируете страны, где есть живые клиенты, или внесете в whitelist целые диапазоны облачных провайдеров, защита станет декоративной. Проверяйте логи отказов раз в несколько дней в первые недели: они покажут, кого вы отсекли и не попали ли туда легитимные пользователи. GeoIP-фильтрация по своей природе грубее, чем WAF, который анализирует поведение запросов, поэтому ее лучше использовать как первый слой, а не как единственный.
Отдельно про тарификацию. В TrafficVeil боты, атаки и WAF-блокировки не тарифицируются, поэтому включение жестких правил не превращается в рост счета: вы платите за платформу, а не за каждый отсеченный запрос. Для сайтов с высокой долей автоматизированного трафика это принципиальная разница по сравнению с облачными сервисами, где защита от ботов часто вынесена в отдельный тариф.
Начните с малого: внесите IP офиса в белый список, создайте правило для /admin, включите GeoIP-блокировку для стран, откуда у вас нет клиентов, и наблюдайте за логами неделю. После этого расширяйте правила – добавляйте новые доверенные адреса, сужайте разрешенные страны, подключайте WAF для публичной части сайта. Такой порядок исключает ситуацию, когда вы блокируете доступ самому себе, и дает предсказуемый результат: административная панель закрыта, а сайт продолжает работать для тех, кому он нужен.
