IIS如何配置动态IP限制？防止异常IP频繁访问网站

什么是IIS动态IP限制？

网站运行一段时间后，经常会遇到一些异常访问，例如某个IP在几秒钟内连续请求大量页面、频繁扫描网站目录，或者不断请求登录接口。这些请求可能来自恶意爬虫、自动化脚本，也可能是攻击程序。

如果仅依靠手动添加IP黑名单，需要管理员不断查看日志、分析IP并更新规则，维护起来比较麻烦。IIS提供了一个实用的安全功能：Dynamic IP Restrictions（动态IP限制）。它可以根据客户端IP的访问行为自动实施限制，主要支持两种方式：

• 并发请求限制： 同一个IP同时发起的HTTP请求超过指定数量时，自动拒绝后续请求。
• 请求频率限制： 同一个IP在指定时间内发出的请求超过阈值时，自动拦截。

这项功能适用于防止恶意爬虫、异常频繁访问和部分简单的拒绝服务攻击。

安装IIS动态IP限制模块

如果IIS管理器中没有动态IP限制相关功能，需要先安装IP和域限制组件。

在Windows Server中打开服务器管理器，依次进入：服务器管理器 → 添加角色和功能 → Web服务器（IIS）→ Web服务器 → 安全性。

勾选 IP和域限制（IP and Domain Restrictions），然后完成安装。

安装完成后，打开IIS管理器，选中需要配置的网站，在功能视图中找到IP地址和域限制相关功能。

配置动态IP限制

选中网站，双击IP地址和域限制，点击右侧的编辑动态限制设置。这里主要配置两个参数。

限制并发请求数量

勾选根据并发请求数拒绝IP地址，可以设置最大并发请求数量。例如，将最大并发请求数设置为20。当同一个IP同时发起的请求超过20个时，IIS就会拒绝超出限制的请求。

限制单位时间内的请求数量

勾选根据一段时间内的请求数拒绝IP地址，可以设置两个参数：

• 最大请求数：允许的请求数量。
• 时间段（毫秒）：统计请求数量的时间范围。

例如，设置最大请求数为100，时间段为10000毫秒，表示同一个IP在10秒内超过100次请求时，将触发动态限制。

对于普通内容型网站，可以先从这组参数开始测试，再根据实际访问情况调整。

使用AppCmd命令配置

除了通过IIS管理器操作，也可以使用AppCmd命令快速配置动态IP限制。

以管理员身份打开CMD，执行以下命令：

%WINDIR%\system32\inetsrv\appcmd.exe set config -section:system.webServer/security/dynamicIpSecurity /denyByRequestRate.enabled:"True" /denyByRequestRate.maxRequests:"100" /denyByRequestRate.requestIntervalInMilliseconds:"10000" /commit:apphost

这条命令开启了请求频率限制，规则为10秒内超过100次请求时触发限制。

如果还需要限制并发请求，可以执行：

%WINDIR%\system32\inetsrv\appcmd.exe set config -section:system.webServer/security/dynamicIpSecurity /denyByConcurrentRequests.enabled:"True" /denyByConcurrentRequests.maxConcurrentRequests:"20" /commit:apphost

需要注意，以上命令默认修改服务器级配置。如果只想针对某个网站设置，可以使用站点级配置，避免影响服务器上的其他网站。

配置时需要注意什么？

避免误封正常用户

搜索引擎爬虫、浏览器同时加载图片、CSS和JS资源时，都可能产生较多请求。如果限制设置过低，可能导致正常用户访问失败，甚至影响搜索引擎抓取。

注意反向代理环境

如果网站使用了CDN、反向代理或负载均衡，IIS可能获取到的是代理服务器IP。此时需要正确配置代理模式和客户端IP识别，确保限制针对真实访问者生效。不要直接信任来源不明的X-Forwarded-For请求头。

观察日志和访问情况

建议先观察网站访问日志，了解正常用户的请求频率，再逐步调整阈值。也可以先开启仅记录模式，观察哪些IP会触发限制，确认规则合理后再正式拦截。

总结

对于使用Windows Server和IIS搭建的网站，动态IP限制是一项比较实用的安全功能。通过限制单个IP的并发请求数量和单位时间内的访问次数，可以减少异常流量对服务器资源的消耗。

如果网站经常遭遇恶意爬虫或某些IP频繁请求页面，可以先启用这项功能，再结合IIS访问日志、IP黑名单和WAF等措施进行防护。