Cloudflare Firewall IP白名单规则未100%生效 段内IP偶发被拦截

问题诱因 #

• Cloudflare 安全产品的执行优先级逻辑问题。你配置的自定义防火墙allow规则优先级低于Validation（HTTP协议合规校验）、Browser Integrity Check（浏览器完整性校验）等基础安全模块。allow动作仅代表当前防火墙规则层不拦截请求，不会主动跳过后续/前置的基础安全校验逻辑。
• Validation是Cloudflare边缘节点的底层默认逻辑，优先级高于所有用户自定义规则，只要请求存在协议格式错误、缺失必要字段、报文畸形等问题，会直接被拦截，不会走到你的自定义防火墙规则判断环节，这是偶发拦截的核心诱因之一。
• Browser Integrity Check的触发逻辑独立于自定义防火墙，会校验请求的User-Agent合法性、是否携带恶意头、有无爬虫特征，就算IP匹配到你配置的防火墙白名单，只要触发Browser Integrity Check规则就会被拦截，除非你特意配置跳过该校验。
• 极小概率下，部分请求的源IP识别异常，比如请求携带了多个X-Forwarded-For头，导致ip.src字段识别和预期不一致，没有匹配到你配置的64.39.96.0/20等网段规则。

配置调整方案 #

• 新增最高优先级的跳过规则代替单纯的allow规则。在Cloudflare防火墙规则中新建规则，匹配条件保持(ip.src in {91.209.196.32/28 199.66.200.32/28 178.255.82.64/27 64.39.96.0/20})，动作选择跳过，勾选所有需要放行的安全模块：浏览器完整性检查、WAF、速率限制、Bot管理、托管规则集、HTTP 协议验证等，将这条规则的优先级调到所有规则的最顶部。
• 补充IP访问规则白名单。在Cloudflare「安全」-「WAF」-「工具」-「IP访问规则」中，把上述四个网段全部添加为白名单，动作选允许，该模块的优先级高于自定义防火墙规则，可以覆盖更多前置校验场景。
• 针对被拦截的少量请求，在Cloudflare日志中筛选对应记录，查看源IP、请求头、拦截原因字段，确认是否存在X-Forwarded-For头异常、请求本身不符合HTTP规范的情况，如果是业务侧请求本身的问题，同步优化请求格式即可。
• 如果对应网段的请求均为API业务请求，无普通浏览器访问需求，可以针对对应请求路径单独关闭Browser Integrity Check校验，进一步降低误拦概率。

内容的提问来源于stack exchange，提问作者Ajouve