> For the complete documentation index, see [llms.txt](https://docs.iexexchanger.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/kontrol-izmeneniya-ip-adresa.md).
# Контроль изменения IP-адреса
Функция «Контроль изменения IP-адреса» защищает активные сессии административной панели iEXExchanger.
После авторизации система запоминает IP-адрес администратора и проверяет его во время дальнейшей работы. Если адрес изменится, текущая административная сессия будет завершена.
Функция применяется только к пользователям, имеющим доступ к панели управления. На клиентские аккаунты и публичную часть обменника она не распространяется.
### Где находится настройка
В панели управления откройте: **«Настройки» — «Общие настройки»**
Затем перейдите в раздел: **«Основное» — «Безопасность»**
Откройте вкладку **«Общее»** и найдите параметр: **«Контроль изменения IP-адреса»**
### Для чего нужен контроль IP
Функция позволяет:
* привязать административную сессию к IP-адресу входа;
* завершить сессию при неожиданной смене сети;
* отозвать персональный адрес текущего входа;
* закрыть временные доступы к защищённым операциям;
* завершить связанную мультиавторизацию;
* записать событие в журнал аудита;
* отправить уведомления о смене IP;
* снизить риск использования перехваченной административной сессии.
Контроль выполняется не только во время входа, но и при дальнейшей работе с панелью.
***
## Доступные режимы
| Режим | Что происходит |
| ----------------------------- | ---------------------------------------------------------------------------------------- |
| «Не проверять IP» | Административная сессия не привязывается к IP-адресу |
| «Завершать вход при смене IP» | При изменении IP текущая сессия полностью завершается |
| «Завершать вход и уведомлять» | Сессия завершается, событие записывается в аудит и отправляются уведомления безопасности |
{% stepper %}
{% step %}
### Не проверять IP
В этом режиме изменение IP-адреса не влияет на активную административную сессию.
Режим может потребоваться, если IP регулярно изменяется без участия пользователя:
* используется мобильный интернет;
* провайдер выдаёт нестабильный адрес;
* корпоративная сеть использует несколько внешних шлюзов;
* VPN автоматически меняет сервер;
* балансировщик настроен неправильно;
* устройство переключается между IPv4 и IPv6;
* инфраструктура доверенных прокси ещё не настроена.
Отключение контроля уменьшает защиту административной панели. Перед выбором этого режима проверьте настройки Cloudflare, DDoS-защиты, балансировщика и других прокси-сервисов.
{% endstep %}
{% step %}
### Завершать вход при смене IP
После успешного входа система сохраняет исходный IP текущей браузерной сессии.
Если во время работы обнаружен другой адрес, система:
1. прекращает выполнение текущего действия;
2. завершает административную сессию;
3. отзывает персональную ссылку админки;
4. закрывает временные доступы к защищённым операциям;
5. сбрасывает подтверждение Google 2FA для текущей сессии;
6. завершает связанную мультиавторизацию;
7. записывает событие смены IP в журнал аудита;
8. возвращает пользователя на страницу входа.
В этом режиме уведомления безопасности не отправляются.
{% endstep %}
{% step %}
### Завершать вход и уведомлять
Это рекомендуемый высокий уровень защиты.
Система выполняет все действия предыдущего режима и дополнительно отправляет:
* Telegram-уведомление административной аудитории;
* почтовое уведомление владельцу затронутого аккаунта.
Уведомление может содержать:
* предыдущий IP-адрес;
* новый IP-адрес;
* время события;
* данные администратора;
* браузер или устройство.
Доставка зависит от настроек SmartNotifier, почты, Telegram и очередей.
Если отправить уведомление не удалось, завершённая сессия не восстанавливается. Защитное действие выполняется независимо от результата доставки.
{% endstep %}
{% endstepper %}
## Как работает проверка
Общий порядок работы:
1. Администратор выполняет вход.
2. Система определяет IP успешной авторизации.
3. Для текущей браузерной сессии создаётся защищённое состояние.
4. При следующих действиях система определяет текущий IP.
5. Текущий адрес сравнивается с исходным.
6. Если адреса совпадают, работа продолжается.
7. Если адрес изменился, административная сессия завершается.
Если при включённой защите система не может получить корректный IP или состояние проверки недоступно, сессия также завершается. Ошибка прокси, сессии или хранилища не должна незаметно отключать контроль.
### Пример
Администратор выполнил вход с адреса:
```
192.0.2.10
```
Во время работы VPN переключился на другой сервер, и система увидела:
```
198.51.100.25
```
При следующем действии в панели система обнаружит изменение IP, завершит сессию и потребует повторную авторизацию.
Если выбран режим «Завершать вход и уведомлять», событие также будет отправлено через настроенные каналы безопасности.
## Что происходит после завершения сессии
Администратор увидит сообщение: **Изменение IP-адреса. Авторизация сброшена.**
После этого необходимо открыть постоянный адрес административной панели и заново пройти авторизацию.
Новый IP не блокируется навсегда. После успешного повторного входа он становится исходным адресом новой сессии.
Если дополнительно включено ограничение входа по списку разрешённых IP, новый адрес должен присутствовать в этом списке. В противном случае повторный вход будет запрещён.
## Связь с другими механизмами безопасности
{% stepper %}
{% step %}
### Персональная ссылка админки
Если включена функция **«Персональная ссылка админки после входа»**, при смене IP персональный адрес текущей сессии отзывается.
{% content-ref url="/pages/uHKEWAv7eV47thogO94I" %}
[Защита адреса административной панели](/guide/nachalo-raboty/centr-bezopasnosti/zashita-adresa-administrativnoi-paneli.md)
{% endcontent-ref %}
После повторной авторизации система создаст новую ссылку. Её потребуется снова получить через E-mail и открыть в том же браузере.
Старый персональный URL больше не работает.
{% endstep %}
{% step %}
### Защищённые операции
При завершении сессии закрываются временные доступы, полученные для:
* управления мерчантами;
* управления автовыплатами;
* работы с платёжными реквизитами;
* других защищённых операций.
После нового входа необходимые подтверждения и коды потребуется ввести повторно.
{% endstep %}
{% step %}
### Мультиавторизация
Смена IP завершает всю текущую группу мультиавторизации, а не только выбранный аккаунт.
Подключённые административные аккаунты потребуется авторизовать заново. Это предотвращает сохранение дополнительных аккаунтов внутри сессии, состояние которой больше нельзя считать доверенным.
{% endstep %}
{% endstepper %}
## Отличие от ограничения входа по IP
Контроль изменения IP и ограничение входа по IP выполняют разные задачи.
| Настройка | Назначение |
| -------------------------------------- | ------------------------------------------------------------------- |
| «Контроль изменения IP-адреса» | Завершает уже активную сессию, если IP изменился |
| «Ограничить вход в админ-панель по IP» | Разрешает авторизацию только с заранее указанных адресов и подсетей |
Пример:
1. Администратор может войти с любого IP.
2. После авторизации сессия привязывается к текущему адресу.
3. При изменении адреса сессия завершается.
4. Повторный вход с нового IP разрешён, если глобальное ограничение по списку адресов не включено.
Для максимальной защиты обе настройки можно использовать одновременно.
В таком случае:
* войти можно только с разрешённого адреса;
* после входа сессия привязывается к этому адресу;
* при его изменении текущая авторизация завершается;
* повторный вход разрешается только с адреса из списка.
## Настройка доверенных прокси
Перед включением контроля убедитесь, что Backend правильно определяет реальный IP администратора.
В настройках безопасности находится параметр: **«Выберите установленную защиту от DDOS»**
{% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/o1W2vTku0rN6lZNvs6VR" %}
[Защита от DDoS-атак](/help-center/administrirovanie/seti-i-bezopasnost/zashita-ot-ddos-atak.md)
{% endcontent-ref %}
Он определяет, каким прокси-серверам система может доверять при получении реального IP посетителя.
### Если прокси не используется
Если Backend доступен напрямую и перед ним нет Cloudflare, StormWall, балансировщика или reverse proxy, оставьте поле пустым.
### Если используется Cloudflare или другая защита
Выберите файл с IP-подсетями используемого провайдера и обновите список доверенных адресов.
После этого система будет принимать заголовки с реальным IP только от выбранных доверенных прокси.
### Доверие всем прокси
Используйте доверие всем прокси только в том случае, если origin-сервер полностью закрыт от прямого доступа и весь трафик гарантированно проходит через защитный сервис или балансировщик.
Если Backend доступен напрямую, доверие любому прокси может позволить подменять заголовки с IP-адресом.
{% hint style="info" %}
**Важно.** Не включайте общий режим доверия всем прокси без проверки сетевой схемы и ограничения прямого доступа к серверу.
{% endhint %}
## Почему неправильная настройка прокси вызывает выходы
Если доверенные прокси настроены неправильно, Backend может видеть:
* IP Cloudflare вместо IP администратора;
* разные адреса балансировщика;
* внутренний адрес reverse proxy;
* поддельный заголовок клиента;
* чередующиеся IPv4 и IPv6.
В результате система может считать, что IP изменился, хотя администратор не переключал сеть.
Если выход происходит сразу после авторизации, IP входа и IP первого запроса панели, скорее всего, определяются по-разному. Обычно это указывает на неправильную настройку доверенных прокси.
Сначала настройте прокси и определение реального IP, а затем включайте высокий уровень контроля.
## Как включить защиту
1. Проверьте настройки Cloudflare, DDoS-защиты и доверенных прокси.
2. Откройте настройки безопасности.
3. Найдите параметр **«Контроль изменения IP-адреса»**.
4. Выберите **«Завершать вход и уведомлять»**.
5. Нажмите **«Сохранить»**.
6. Выйдите из административной панели.
7. Выполните новый вход.
8. Проверьте работу уведомлений.
Изменение применяется сразу после сохранения. Повторный вход рекомендуется для создания нового согласованного состояния IP.
## Настройка уведомлений
Для режима «Завершать вход и уведомлять» проверьте:
* SmartNotifier включён;
* почтовая доставка настроена;
* у администратора указан действующий E-mail;
* Telegram-уведомления для администраторов настроены;
* включён тип уведомления **«Изменение IP администратора»**;
* очереди Laravel работают;
* Horizon работает, если он используется для управления очередями.
Telegram-уведомление отправляется административной аудитории. Почтовое уведомление направляется владельцу аккаунта, IP которого изменился.
## Как проверить работу
Проверку рекомендуется выполнять через вторую административную учётную запись, чтобы случайно не потерять основной доступ.
1. Войдите в панель через обычное подключение.
2. Убедитесь, что работа продолжается без ошибок.
3. Запомните исходный IP.
4. Смените IP, например подключив проверенный VPN.
5. Выполните любое действие в панели.
6. Убедитесь, что система завершила сессию.
7. Проверьте запись в журнале аудита.
8. При высоком режиме проверьте Telegram и E-mail.
9. Откройте постоянный адрес панели.
10. Выполните новый вход с нового IP.
Если включён список разрешённых адресов, заранее добавьте IP, с которого будет выполняться повторная авторизация.
{% hint style="info" %}
**Важно.** Не проверяйте функцию на главном аккаунте без резервного способа доступа.
{% endhint %}
## Журналирование
При обнаружении смены IP система создаёт событие аудита:
```
Смена IP, авторизация сброшена
```
В записи могут отображаться:
* администратор;
* дата и время;
* предыдущий IP;
* новый IP;
* браузер или устройство;
* результат завершения сессии;
* страница, на которой обнаружено изменение;
* выбранный уровень контроля.
Внутреннее состояние проверки хранит защищённые отпечатки IP и сессии. Открытые адреса используются в журнале и уведомлениях, где они необходимы для проверки события.
## Когда контроль можно отключить
Режим «Не проверять IP» может потребоваться, если:
* мобильный оператор меняет адрес несколько раз за одну сессию;
* VPN автоматически переключает выходной сервер;
* корпоративная сеть использует несколько внешних шлюзов;
* устройство постоянно переключается между IPv4 и IPv6;
* инфраструктура прокси ещё не настроена;
* определить стабильный IP для текущей сети невозможно.
Перед отключением убедитесь, что проблема вызвана сетью, а не попыткой постороннего доступа.
Если контроль невозможно использовать, усилите другие механизмы защиты:
* Google 2FA;
* персональные ссылки;
* подтверждение входа;
* доверенные устройства;
* короткий срок административной сессии;
* защищённые операции;
* контроль активных сессий.
## Частые ошибки
Администратора постоянно выбрасывает из панели
Проверьте по порядку:
1. меняется ли внешний IP;
2. включён ли VPN;
3. использует ли VPN автоматическую ротацию;
4. переключается ли устройство между Wi-Fi и мобильной сетью;
5. чередуются ли IPv4 и IPv6;
6. правильно ли настроен Cloudflare;
7. выбран ли правильный файл доверенных прокси;
8. видит ли Backend адрес клиента или балансировщика;
9. доступен ли origin-сервер напрямую;
10. работает ли хранилище сессий;
11. доступна ли база данных.
Если выход происходит сразу после входа, сравните IP авторизации и IP первого запроса панели.
Уведомление не приходит
Проверьте:
* выбран ли режим «Завершать вход и уведомлять»;
* включён ли SmartNotifier;
* активен ли тип «Изменение IP администратора»;
* настроены ли Telegram и SMTP;
* указан ли E-mail пользователя;
* работают ли очереди;
* нет ли ошибок в журнале уведомлений.
В режиме «Завершать вход при смене IP» отсутствие уведомления является нормальным поведением.
После смены IP не удаётся войти повторно
Проверьте, включено ли ограничение входа по списку IP.
Если новый адрес отсутствует в списке разрешённых, система завершит старую сессию, но не разрешит создать новую.
Подключитесь с разрешённого адреса или добавьте новый IP через резервный административный доступ.
Персональная ссылка больше не работает
При завершении сессии персональная ссылка автоматически отзывается.
Откройте постоянный адрес, выполните новый вход и подтвердите новую ссылку через E-mail.
Сессия завершается при включении VPN
VPN изменяет внешний IP. Это считается сменой адреса даже на том же устройстве и в том же браузере.
Включайте VPN до авторизации и не меняйте сервер во время работы.
## Аварийный сброс состояния IP
Если после исправления прокси необходимо удалить сохранённые состояния контроля, технический специалист может выполнить:
{% content-ref url="/spaces/uyjsNtEAtO6Sby8CHWyD/pages/cCEoFDjTDIufy3NUEakd" %}
[Подключение к серверу по SSH](/help-center/upravlenie-serverom/podklyuchenie-k-serveru-po-ssh.md)
{% endcontent-ref %}
```bash
php artisan admin:security-reset --ip-security
```
Для выполнения без интерактивного подтверждения:
```bash
php artisan admin:security-reset --ip-security --force
```
Команда:
* удаляет сохранённые состояния IP административных сессий;
* не отключает выбранный режим контроля;
* не изменяет список разрешённых IP;
* не отключает другие механизмы безопасности.
При следующем входе или запросе система создаст новое состояние.
Перед сбросом исправьте причину неправильного определения IP. Иначе новая сессия будет завершена повторно.
***
## Рекомендуемая конфигурация
Для большинства проектов рекомендуется:
| Параметр | Значение |
| -------------------------- | --------------------------------------------------------------- |
| Контроль изменения IP | Завершать вход и уведомлять |
| Доверенные прокси | Файл используемого провайдера |
| Доверять всем прокси | Только при полностью закрытом origin-сервере |
| Ограничение входа по IP | Включить для главного администратора при наличии постоянного IP |
| Персональная ссылка | Включить |
| Google Authenticator | Включить |
| Блокировка атаки на пароль | Включить |
## Коротко
Контроль изменения IP привязывает административную сессию к адресу, с которого был выполнен вход.
При смене IP система завершает авторизацию, отзывает персональную ссылку, закрывает временные доступы и требует повторного входа. В высоком режиме дополнительно отправляются уведомления безопасности.
Перед включением функции особенно важно настроить Cloudflare, DDoS-защиту, балансировщики и другие доверенные прокси.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.iexexchanger.com/guide/nachalo-raboty/centr-bezopasnosti/kontrol-izmeneniya-ip-adresa.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.