SiteGround托管WordPress站点Imperva WAF IP白名单配置问题求助

一、当前.htaccess配置的问题 #

你当前的配置无法访问的核心原因可能有两个：

1. Imperva IP列表不全：只添加了部分Imperva出口IP，导致真实的WAF转发请求被拒绝。
2. 未考虑自身测试IP：如果直接访问站点（未经过Imperva），会被deny from all拦截，锁死自己。

二、SiteGround环境下的正确Imperva IP白名单配置 #

1. 获取完整的Imperva WAF出口IP列表 #

Imperva官方会提供所有用于转发请求的出口IP段（优先用段而非单个IP），确保全部获取并替换到配置中。

2. 正确的.htaccess规则（放在WordPress默认规则外） #

# BEGIN Imperva WAF IP Whitelist
Order deny,allow
# 禁止所有未授权IP访问
Deny from all
# 添加所有Imperva出口IP段（示例，替换为真实IP段）
Allow from 192.0.2.0/24
Allow from 203.0.113.0/24
Allow from 172.16.0.0/12
# 临时添加自身测试IP，配置验证完成后可移除
Allow from 198.51.100.1
# END Imperva WAF IP Whitelist

# BEGIN WordPress
# 保留WordPress默认的Rewrite规则，不要修改此区域内的内容
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

• 规则必须放在# BEGIN WordPress之前，避免被WordPress版本更新覆盖。
• 使用IP段而非单个IP，减少.htaccess体积，规避SiteGround的配置大小限制。

3. 验证配置有效性 #

1. 保存.htaccess后，通过Imperva代理访问站点（模拟正常用户的访问路径）。
2. 查看SiteGround的服务器访问日志（cPanel的「访问日志」工具中），确认请求来源IP属于Imperva的IP段，且返回状态码为200。

三、白名单Imperva转发的原始客户端IP最佳实践 #

如果需要在服务器层面允许特定原始客户端IP（比如内部团队IP），必须先验证请求确实来自Imperva，再读取转发的原始IP，防止伪造头攻击：

方案：用mod_rewrite链式验证 #

# BEGIN Imperva + Original IP Whitelist
RewriteEngine On

# 第一步：仅允许Imperva IP段的请求，拦截非WAF来源的请求
RewriteCond %{REMOTE_ADDR} !^(192\.0\.2\.|203\.0\.113\.|172\.16\.) [NC]
RewriteRule ^ - [F,L]

# 第二步：允许指定的原始客户端IP（替换为你的目标IP）
# 优先用Imperva标准的True-Client-IP头，比X-Forwarded-For更可靠
RewriteCond %{HTTP:True-Client-IP} !^198\.51\.100\.1$ [NC]
#  fallback到X-Forwarded-For头（兼容部分旧配置）
RewriteCond %{HTTP:X-Forwarded-For} !^198\.51\.100\.1$ [NC]
# 若需限制其他IP，启用下方规则；仅放行目标IP时使用
# RewriteRule ^ - [F,L]
# END Imperva + Original IP Whitelist

• 必须先校验REMOTE_ADDR是Imperva的IP，再检查原始IP，否则攻击者可以伪造True-Client-IP头绕过限制。
• 优先使用True-Client-IP：这是Imperva专门用于传递原始客户端IP的标准头，伪造难度更高。

四、SiteGround环境下的注意事项 #

1. 避免规则被覆盖：所有自定义IP规则必须放在# BEGIN WordPress和# END WordPress之外的区域。
2. 混合环境适配：SiteGround部分服务器使用Nginx作为前端反向代理，若需要让Apache日志显示原始客户端IP而非Imperva的IP，可添加：

   <IfModule mod_remoteip.c>
   RemoteIPHeader True-Client-IP
   RemoteIPTrustedProxy 192.0.2.0/24  # 添加所有Imperva IP段
   </IfModule>
   

3. 测试留后门：配置初期务必添加自身公网IP到允许列表，防止误操作锁死站点。
4. IP段精简：尽量合并连续的IP段，减少.htaccess行数，避免触发SiteGround的配置限制。

内容的提问来源于stack exchange，提问作者mohan