代理 IP 白名单填哪个地址？分清本机 IP、来源公网 IP 与代理出口 IP

代理 IP 知识

代理白名单需要填写哪个 IP，取决于哪一端在做来源校验。本文区分本机私网地址、连接代理时的来源公网地址和访问目标服务时的代理出口，提供本地、云服务器与多出口环境的核对步骤。

配置代理白名单时，最容易出现的错误不是少填了一位数字，而是填入了网络链路上另一个位置的 IP。电脑上显示的地址、服务器绑定的地址和代理后的出口，可能各不相同。

快速回答：如果配置的是代理服务的来源 IP 白名单，应填写代理服务实际看到的客户端来源地址，公网接入场景通常是客户端连接代理时使用的公网出口 IP；如果配置的是自有目标服务的访问白名单，则需要核对目标服务看到的来源，使用代理时通常是代理出口 IP。两种白名单不能混用。

本文讨论来源 IP 白名单，不涉及域名白名单。具体产品是否支持该认证方式、允许哪些地址格式及变更规则，以产品文档为准。

一、先认清链路上的三种地址

理解地址位置，可以按请求经过的顺序来看：业务程序从本机发起连接，经当前网络出口连接代理，再由代理向目标服务发起请求。

以云服务器为例，实例经过公共 NAT 网关访问互联网时，外部服务看到的来源地址可以是网关对应的公网地址，而不是实例的私网地址。AWS 的 NAT 网关文档明确描述了这种地址转换过程。[1]

二、先问“谁在校验我”，再决定填什么

同样叫 IP 白名单，设置位置不同，允许的对象就不同。

如果目标服务前面还有负载均衡、CDN 或其他网关，应由技术人员确认真正执行校验的组件及其取值方式。不能仅凭应用显示的一项“客户端 IP”就确定白名单应填什么。

三、按四步核对来源地址

第一步：定位真正发起请求的程序

先确认任务运行在办公电脑、远程服务器还是容器中。浏览器可以正常访问，不代表云端脚本使用同一网络出口；在自己电脑上查到的公网 IP，也不能直接用于远程任务。

记录运行节点、进程或容器、网络接口及当前路由，避免在错误的设备上反复修改配置。

第二步：取得连接代理时的来源证据

优先使用代理服务提供的来源地址记录或诊断信息。若没有此能力，可请技术人员结合出口网关和网络日志核对。

在同一运行环境中、不经过待配置代理的公网地址检测，可以作为辅助线索。但在多出口、策略路由或双栈网络下，检测站点与代理入口可能走不同路径，检测结果不应被当作最终证据。

第三步：核对地址类型与产品规则

确认实际连接使用 IPv4 还是 IPv6，并核对产品支持的白名单格式。不要把主机名、私网地址或未经确认的整段网段填入只接受单个公网 IP 的字段。

保存后，按产品说明确认生效状态。不能假设所有产品立即生效，也不要为了排障临时放开任意来源。

第四步：在原运行环境中做最小验证

保持相同程序、节点与路由，仅验证一次代理连接；再用自有或获授权的接口确认访问结果。若仍失败，保留时间与错误摘要，继续检查协议、端口和认证方式，不要把所有失败都归为白名单问题。

四、三个容易填错的场景

以下为说明性场景，不是客户案例或性能测试结果。

场景一：办公电脑可以使用，云服务器不能使用。 先检查白名单是否只登记了办公室公网出口。云任务可能通过另一公网出口连接代理，需要单独核对，不能直接复制本机配置中的来源地址。

场景二：昨天正常，切换网络后失败。 如果从公司网络切换到家庭网络或其他接入网络，客户端来源可能变化。先确认新的实际来源，再按产品流程更新；旧地址不再使用时，应及时移除。

场景三：多个任务中只有部分节点失败。 检查失败是否集中在特定服务器、可用区、出口或地址族。建立节点与出口对应表，比对所有节点重复更换代理更容易定位问题。

五、用一张表管理来源变更

这张表用于内部维护，无需公开。任务迁移、出口切换或节点下线时，同步复核白名单。共享公网出口可能同时承载多台设备，因此来源 IP 认证不能替代内部账号权限和操作管理。

常见问题

我买的是静态代理，为什么白名单还可能变化？ 静态代理描述的是代理出口的地址属性；来源白名单关注的是客户端连接代理时的来源。办公室或服务器出口变化，仍可能影响来源校验。

用了代理之后，检测页面显示的 IP 能填到代理白名单吗？ 如果检测请求已经经过代理，显示的通常是代理出口。这不能直接代表客户端连接该代理时的来源地址。

白名单正确就一定能访问所有页面吗？ 不能。来源认证只是一个环节，后续仍可能涉及协议配置、服务状态和目标资源权限。

如何向火云代理反馈这类问题？ 先确认已购产品采用的认证方式，再提供运行环境、实际网络路径、验证时间和脱敏错误信息。不要在公开帖子或截图中暴露密码、令牌等认证资料。

参考资料

1. Amazon VPC 官方文档：NAT gateways。该资料用于解释 NAT 地址转换，不代表火云代理采用相同基础设施。