如何限制指向我网站IP地址的未授权域

我发现某个域（即bajajra.com）指向我网站的IP地址。我正在使用IIS 10托管我的网站。如何限制对所有此类未授权域的访问？

这个问题与此类似，但是我正在寻找基于IIS的解决方案。如何才能使我的网站只能通过域名（例如example.com）访问？

domain-name-system .net iis

— 维卡斯·沙玛（Vikas Sharma）
source

虽然它不会“限制”访问，但是如果您使用HTTPS，则其他域将导致用户在访问证书时看到证书错误，从而使他们知道出了问题。

— 斯科特·史蒂文斯（Stevens），

您不能阻止他们将其地址指向您的服务器。您可以做的是确保在请求服务器提供无规范的主机时，服务器提供的默认页面完全没有帮助。

— Shadur

Answers:

您可能在这里描述两个问题。首先是有人简单地将DNS绑定到您的IP地址。在IIS中防止这种情况非常简单。您只需更改IIS中的主机名绑定，以便仅在请求特定主机名时才提供您的内容。当前很有可能还需要删除通配符绑定，以便仅可以解析您想要的绑定。（这也是将多个网站托管在单个IIS Web服务器上的方式。）

通过IIS连接，您可以右键单击特定站点以访问“编辑绑定...”对话框。

此对话框将显示该站点应响应的请求的所有绑定设置。主机名是绑定应解析到此站点的有效主机名。一个站点可以具有许多不同的绑定，如此处所示。

通过特定绑定上的设置，您可以设置应解析到该站点的主机名。您还可以在此处设置类似SSL证书配置的设置。

第二个可能的问题是热链接。使用热链接，它不是直接调用您的IP地址，而是在其他域上设置内容以引用您域中的内容。可以通过几种不同的方法来完成此操作，但是大多数方法都需要至少一台服务器才能提供访问网站之前的说明。防止热链接有点困难，但是您可以设置有关引荐来源网址的测试以请求资产，并且仅在引荐来源网址匹配时才提供资产。由于客户端浏览器提供了此信息，因此第三方将很难使浏览器向您的服务器提供不正确的信息，因此筛选通常应有效。

— AJ亨德森
source

感谢您查看我的问题，这似乎是我遇到的第一种可能性（我尝试查找nslookup网站和ip地址与我的相同）。为了解决该问题，我尝试了1.在IIS上启用域限制。2.然后仅添加一个允许项，即为我的域添加一个权限，并为所有未列出的客户端拒绝该权限，但是，它无法正常工作。请帮我找出您刚才提到的删除通配符绑定的确切位置，或者限制我所拥有的所有域名以外的所有域名的访问权限的步骤是什么。

— 维卡斯·夏尔玛

@VikasSharma看看我的编辑。我已经从IIS服务器添加了屏幕截图。我的服务器的配置比听起来像您需要的配置要复杂一些，但它应该使您大致了解它的外观。您可能不会像我那样拥有许多不同的站点，IP地址或主机名，但是您可能最终会使用多个绑定或仅使用部分通配符（例如“ * .yourdomain.com”）。特定的子域来解决，我有一些具有不同站点或路由规则的子域（或者根本没有由IIS处理。）

— AJ Henderson

谢谢！它为我工作。如您所述，在我的情况下，添加部分通配符“ * .yourdomain.com”就足够了。但是，我还有一个疑问，是否有必要提供IP地址或（““所有未分配的IP”会造成什么危害？）

— Vikas Sharma

@VikasSharma-您可以使用所有IP地址。我必须使用特定的IP，因为我的服务无法通过IIS进行路由，因此我无法绑定它们，并且有一些IPv6 IP，当我使用服务特定的IPv6地址时，我不想解析某些站点。我的服务器响应30多个IP地址（大多数情况下为IPv6，尽管我在一个点上有多个IPv4地址，在某个时候我需要防止反向查找一段时间），而在另一个点上，我有一个流媒体服务器需要它拥有独立的IP绑定。

— AJ亨德森

听起来比这更糟……更可能是Google搜索排名攻击。有时，竞争对手或幕后经营者会建立一个看起来像您的真实网站的“假”网站，或另一个虚假的竞争对手。他们甚至可能从您的真实站点中提取图像和CSS资源。然后，他们将破坏该网站在Google中的声誉。最后，他们会通过DNS条目（我认为操作人员正在查看该域名）将您的网站定向到您，并使用来自类似黑幕网站的链接网络让Google将该网站与您的真实业务相关联，从而损害您的业务Google排名。

— 乔尔·科尔

-1

要阻止其他域的管理员在其A记录中使用您的IP，您几乎无能为力。

如果您认为他们这样做是在试图违反某些法律或损害您的业务，则可以提请其DNS提供商或注册商注意此问题。

此处有关过滤HTTP服务器名的另一个答案可以帮助您忽略它们的操作，并限制它们可能对您造成的损害。但是，对于任何不支持http主机名的浏览器，它都会破坏您的网站。

还请考虑bajajra.com简单地操作针对您站点的转发Web代理会多么容易。限制您允许的服务器名称（如其他答案中所述）不会阻止这种情况，实际上，这会使您的客户面临更大的风险，因为攻击者将能够使用代理来监视它们并篡改您的内容。

— 比利·C。
source

主机是HTTP / 1.0和HTTP / 1.1中唯一的强制性请求标头，如果忽略它，几乎所有服务器都会给您400错误的请求响应。

— 努拉诺

真正。并非所有的互联网流量都是http。仅A记录并不意味着网络。谁知道坏人在干什么。

— 比利C.

But it will break your site for any browser that doesn't support http hostnames.HTTP / 1.1已经存在20年了，如果您是使用不支持它的浏览器的极少数人之一，那不是网站管理员的问题。

— ub3rst4r

@Nulano Host不是HTTP / 1.0的一部分，尽管大多数浏览器都提供了它，但服务器还是接受它。它是在HTTP / 1.1中添加/要求的。

— 鲍勃（Bob）

我不能同意您几乎无能为力。如果他们将域引导到您的服务器，则可以做很多事情。您可以更改显示给所有访问该域的用户的显示，以使其与众不同，甚至可以使用“让我们加密”的基于文件的域验证来获取该站点的有效SSL证书。没有远程现代浏览器不支持主机名，这只是愚蠢的，子域也不起作用，并且已经阻塞了网络的很大一部分。

— AJ亨德森