如何在IBM Cloud上通过IP地址限制Elasticsearch部署的访问？

1. 用IBM Cloud安全组做网络层拦截（最推荐） #

这是最高效的方式，安全组在网络层面直接拦截不符合规则的流量，不会让未授权请求触达Elasticsearch服务，性能开销极小且管理集中。

• 登录IBM Cloud控制台，定位到你的Elasticsearch部署所属资源组
• 进入安全组配置页面，给目标Elasticsearch实例绑定的安全组添加入站规则：协议选择TCP，端口填写Elasticsearch使用的9200（或你自定义的服务端口），来源IP设置为公司办公地点的公网IP段（例如192.168.1.0/24）
• 删除默认的允许所有IP（0.0.0.0/0）的入站规则，确保只有指定IP段能发起访问

2. 配置Elasticsearch自身IP白名单（双重防护） #

作为安全组的补充，在应用层再设置一道过滤，避免安全组配置疏漏带来的风险。

• 通过Kibana后台、Elasticsearch API，或是IBM Cloud控制台的Elasticsearch配置面板修改配置
• 添加http.allowed_hosts参数，填入公司办公IP段，示例：

  http.allowed_hosts: ["192.168.1.0/24", "10.0.0.5/32"]
  

• 重启Elasticsearch服务使配置生效

3. VPC环境下搭配子网ACL（额外防护） #

如果你的Elasticsearch部署在IBM Cloud VPC内，还能在子网层面用访问控制列表（ACLs）做更细粒度的流量管控：

• 进入VPC控制台，找到Elasticsearch实例所在的子网
• 配置子网的入站ACL规则，仅允许指定办公IP段访问服务端口，拒绝其他所有来源的流量
• 注意ACL是无状态规则，需同时配置出站规则，确保正常响应流量能返回至办公IP

优先级建议 #

优先部署IBM Cloud安全组作为核心防护；再补充Elasticsearch自身的IP白名单实现双重保险；若为VPC环境，子网ACL可作为额外的一层网络防护。

内容的提问来源于stack exchange，提问作者Daniel Mermelstein