建设网站不显示添加白名单
兄弟们，最近后台被问爆了。好家伙，网站刚做完，或者刚换个服务器，结果死活打不开。后台日志翻了一遍，IP都在白名单里了，为啥还不让进？这问题确实坑人，搞不好能把人急出火来。
先说个扎心的大实话：90%的情况，不是白名单没加对，而是你压根没搞懂“加在哪里”以及“加的是谁”。别急着骂服务器垃圾，先看看下面这几个细节。
首先，你得搞清楚你的白名单到底管的是啥。很多小白分不清Web应用层和防火墙层。你在ThinkPHP或者Django后台加了IP，那只是代码逻辑放行，如果你服务器端的iptables或者云防火墙（比如阿里云安全组）没放通，数据包根本进不到你的应用层就被扔了。这就好比你给保安（应用代码）开了通行证，但小区大门（服务器防火墙）还是锁着的，你照样进不去。
我昨天刚帮一个做电商的朋友解决这麻烦。他的现象就是典型的建设网站不显示添加白名单。其实不是不显示，是生效了但被更高优先级的规则拦截了。云厂商的控制台里，安全组规则是有优先级的。他加了一条“允许1.1.1.1访问”，但上面还有一条默认拒绝所有入站流量的规则，且优先级更高。结果就是，白名单形同虚设。
还有一个特别隐蔽的坑，就是内网IP和公网IP的混淆。现在不少公司办公网是内网IP，出网经过NAT转换。你在白名单里填的如果是内网IP（比如192.168.x.x），那服务器根本认不出来，因为它看到的是你办公网出口的那个公网IP。这时候你去查实时IP，把你看到的公网出口IP填进去，立马就通了。别笑，这错我见过太多次，有人还在那儿纠结代码是不是有Bug。
再说说本地测试的情况。很多开发者喜欢localhost或者127.0.0.1，这时候白名单检查往往是被绕过或者无效的，因为本地回环接口不走标准的路由逻辑。一旦部署到测试服，问题就暴露了。这时候如果你发现建设网站白名单失效，别急着改代码，先抓包。用Wireshark抓一下请求，看看TCP握手阶段是不是直接被RST包给拒了。如果是SYN被丢，那是网络层的事；如果是TCP通了但HTTP返回403，那才是应用层白名单的问题。这俩解决思路完全是两码事，搞混了能折腾你一下午。
另外，别忽视DNS缓存和浏览器缓存。有时候你改了白名单，过了五分钟又改回原来的IP，或者改了没生效，这时候浏览器还拿着旧的Session Cookie或者本地缓存去请求。你会发现明明IP对了，还是报错。这时候强刷页面，或者换个无痕窗口试一下，如果好了，恭喜你，不用找服务器运维吵架了，是你自己的客户端在捣乱。
最后给个建议，如果是高并发场景，别只依赖简单的IP白名单列表。一旦IP列表过长，内核层面的匹配性能会有下降。可以考虑用ipset，把IP段扔进去，效率会比一条条match高得多。但这属于进阶操作，普通的小站没必要搞这么复杂，保持简单就是最大的稳定。
总之，遇到这类问题，冷静下来，分层排查：先网络层，后应用层；先查公网出口，再查服务器配置。别在那儿干着急，日志不会骗人。只要思路对，这种建设网站不显示添加白名单的情况，基本都能在半小时内搞定。技术这事儿，急不得，也骗不得。
