如何为API网关的AWS WAF速率限制排除特定内部IP？

核心逻辑 #

给内部IP单独配置一条允许规则，并把它的优先级设得比速率限制规则高——WAF会按规则从上到下执行，只要内部IP匹配到这条允许规则，就直接放行，不会触发后面的速率限制检查。

具体操作步骤 #

• 登录AWS控制台，进入WAF服务，找到你绑定API网关的Web ACL。
• 在Web ACL的规则列表里点「添加规则」，选「添加自定义规则和规则组」。
• 配置IP匹配规则：
  • 规则名随便取，比如Allow-Internal-IPs
  • 规则类型选「IP匹配」
  • 在IP地址栏输入你的内部IP或IP段，比如10.0.0.0/8或者单个IP192.168.1.10
  • 动作选「允许」
• 调整规则顺序：把这条新的允许规则拖到速率限制规则的上方，确保它先被执行。
• 保存Web ACL的修改，等个几分钟让配置生效。

额外提示 #

• 要是内部IP经常变动，建议用WAF的「IP集」（IP Set）来管理，后续改IP直接更新IP集就行，不用动规则本身。
• 配置完一定要测试：用内部IP刷请求，确认不会被拦截；用外部IP测试，确保原来的速率限制还在生效，别把安全规则搞坏了。

内容的提问来源于stack exchange，提问作者Wosabi