核心概念：網路識別碼與子網路遮罩
- 網路識別碼：子網路的路由器 IP（如 172.16.16.1）
- 子網路遮罩：決定 IP 的網路位與主機位（如 255.255.0.0）
- 同一子網路所有主機共享相同網路識別碼
設定範例：允許 172.16.x.x 網段存取
| 參數 | 值 |
|---|
| 網路識別碼 | 172.16.16.1 |
| 子網路遮罩 | 255.255.0.0 |
| 涵蓋範圍 | 172.16.0.0 - 172.16.255.255 |
IIS 管理介面操作步驟
- IIS 管理器 → 展開本機 → 右鍵網站/目錄/檔案 → 「內容」
- 切換「目錄安全性」或「檔案安全性」分頁
- 「IP 位址和網域名稱限制」區塊 → 「編輯」
- 選擇預設動作：
- 授與存取：預設允許，拒絕名單除外
- 拒絕存取：預設拒絕，允許名單除外
- 點擊「新增」 → 選擇「一組電腦」
- 輸入網路識別碼與子網路遮罩
- 連續點擊三次「確定」生效
實戰配置範例（文中 87 伺服器 book 網站）
策略：預設拒絕，僅允許特定網段
| 網路識別碼 | 子網路遮罩 | 說明 |
|---|
| 145.48.51.1 | 255.255.255.0 | 允許 145.48.51.0/24 |
| 145.48.52.1 | 255.255.255.0 | 允許 145.48.52.0/24 |
| ... | ... | 依此類推 |
進階應用技巧
- 單一 IP 設定：子網路遮罩設為
255.255.255.255
- 多層級控制：網站層級設寬鬆規則，敏感目錄/檔案層級設嚴格規則
- 配合日誌稽核：啟用 IIS 日誌記錄被拒絕的存取嘗試
- 域名限制：支援以網域名稱 (如 *.partner.com) 進行允許/拒絕
遷移至 IIS 7+ 注意事項
IIS 7 以上版本改用「IPv4 位址和網域限制」模組，介面不同但邏輯相同，支援更細粒度的子網路遮罩長度設定 (CIDR 格式如 192.168.1.0/24)。
