限制IP访问工程

部分工程为提升安全性，希望限制 IP 访问工程或禁止通过部分高危接口访问工程。

本文列举三种场景下的解决方案。建议优先考虑禁用/限制使用channel接口，再考虑限制IP访问工程。

• 方案一：限制任何用户均无法通过相关接口连接工程（支持禁用远程设计channel接口、单点登录/login/cross/domain接口、老引擎/view/ReportServer接口）

• 方案二：限制黑名单内/白名单外的IP无法通过远程设计（channel接口）连接工程

• 方案三：限制黑名单内/白名单外的IP无法通过任何方式访问工程，包括但不限于：远程设计连接工程、登录平台查看模板、单点登录查看模板等。

场景说明

解决方案

1）安装插件

点击下载「web防火墙」插件，服务器安装插件方法参照 服务器插件管理

2）安装配置文件

• 点击下载并解压，获取配置文件 url.properties：url.zip

• 文件中包含三种接口，如只需禁用部分接口，可删除其他规则（建议全部禁用）

• 将配置文件 url.properties 上传到工程 /webapps/webroot/WEB-INF/config/security 目录下。

注：对于容器化部署的工程，需要上传配置文件到工程外挂目录/config/security 目录下，可参考：运维平台部署的项目如何上传web防火墙配置文件。

3）生效配置

• FineReport11.0/FineBI6.0/FineBI5.1.19及以上版本：配置好文件后，无需重启工程。但管理员需要登录数据决策系统，在「管理系统>插件管理」中先禁用「web防火墙」插件，再启用插件，配置方可生效。

• FineReport10.0/FineBI5.1.18.x系列/FineBI5.1.17及以下版本：配置完成后，请参考「关闭或重启FineReport工程」文档，重启工程，配置方可生效。

插件生效，关闭远程设计channel接口、单点登录/login/cross/domain接口、老引擎/view/ReportServer接口

方案生效后，任何用户均无法通过远程设计/单点登录/老引擎连接工程，但不影响用户登录平台查看模板等操作。

验证生效

请使用浏览器访问接口地址，三种接口验证地址分别为（请自行更换为你自己工程的ip和端口号）：

• http://ip:ports/webroot/decision/remote/design/channel

• http://ip:ports/webroot/decision/login/cross/domain

• http://ip:ports/webroot/decision/view/ReportServer

如报错403，提示「访问xxx的请求遭到拒绝，您未获授权，无法查看此网页」（如下图），说明配置生效。

如提示「非常抱歉，您无法查看该页面，Request method GET' not supported」，说明配置未生效，请检查操作步骤。

场景说明

配置步骤

不同版本的配置步骤不相同，请根据自身情况选择。

FR11.0/BI6.0/BI5.1.19+

需通过修改finedb配置库中fine_conf_entity表字段的方式进行设置。操作方法请参考：填报修改fine_conf_entity 。

查询并修改 fine_conf_entity 表中的以下配置项，如不存在以下配置项，新增记录，输入参数和相应参数值即可。

修改成功后，参考「关闭或重启FineReport工程」文档，重启工程。重启成功后，白名单外的IP无法通过远程设计（channel接口）连接工程。

FR10.0/BI5.1.18.x/BI5.1.17-

支持通过代理服务器或防火墙，限制channel接口的访问，限制后只允许受信任的IP进行报表远程设计，查看不受影响。

例如 nginx 设置参考如下，其中 allow 填写允许进行访问的 IP 或 IP段：

server {
                   listen 443;
                   server_name your_domain;  #IP或者域名
                   location ~ .*\/channel {
                          allow XX.XX.XX.XX;
                          deny all;
                         }
          }

验证生效

使用白名单以外的IP地址的设备打开设计器，远程设计连接该工程。弹窗提示「远程设计连接发生未知错误」，堆栈显示「com.fr.workspace.engine.exception.RemoteDesigenUnknownException:java.lang.reflect.UndeclaredThrowableException」，即代表配置成功。

注：若成功访问了工程，说明配置未生效，请检查操作步骤。

场景说明

配置步骤

1）安装插件

点击下载「web防火墙」插件，服务器安装插件方法参照 服务器插件管理

2）上传配置文件

• 点击下载并解压，获取配置文件 ip.properties ：ip.zip 。使用文本编辑器打开文件，设置 IP 白名单和黑名单。

• 将修改后的配置文件 ip.properties 上传到工程 /webapps/webroot/WEB-INF/config/security 目录下。

注：对于容器化部署的工程，需要上传配置文件到工程外挂目录/config/security 目录下，可参考：运维平台部署的项目如何上传web防火墙配置文件。

3）生效配置

• FineReport11.0/FineBI6.0/FineBI5.1.19及以上版本：配置好文件后，无需重启工程。但管理员需要登录数据决策系统，在「管理系统>插件管理」中先禁用「web防火墙」插件，再启用插件，配置方可生效。

• FineReport10.0/FineBI5.1.18.x系列/FineBI5.1.17及以下版本：配置完成后，请参考「关闭或重启FineReport工程」文档，重启工程，配置方可生效。

验证生效

使用禁止放行的 IP 的设备访问工程，提示「访问xxx的请求遭到拒绝，您未获授权，无法查看此网页」。如下图所示：

注：若成功访问了工程，说明配置未生效，请检查操作步骤。