是的，通过 IP 锁定您的服务将防止您的服务被普通互联网用户发现，并且如果管理得当，将大大减少攻击面。这将使您的网站更安全，而不仅仅是暴力攻击 - 您的整个应用程序将是“不可见的”。

尽管如此，锁定 IP 不应代替其他措施，例如确保您的 Web 应用程序和服务器免受其他漏洞的影响——如果您的一个“好 IP”被泄露，攻击者可以将其用作一个支点为了攻击您的网站。另请注意，任何受信任用户运行的任何恶意软件都可能被攻击者用来绕过 IP 限制。

因此，将其用作额外的安全层，但不要让这欺骗您进入一种错误的安全感，从而放松警惕。将您的 Web 应用程序和平台视为完全在互联网上可见 - 定期扫描和测试漏洞，并通过定期删除和更新和验证来确保正确完成允许的 IP 地址管理。

假设满足以下（相当明显的）条件，防火墙上的 IP 地址白名单肯定会非常有效地防止对您的登录表单进行暴力攻击：

• 您是唯一需要访问此登录表单的人。
• 您有来自 ISP 的静态（非动态）IP 地址 - 换句话说，您的 ISP 不会定期更改您的 IP 地址。
• 您不希望从不熟悉的位置访问登录表单，或者如果您这样做，您可以将 IP 地址添加到“允许”列表中。（当然，有一种方法可以将 IP 地址从不在允许列表中的地址添加到允许列表中，这会显着降低系统的安全性。）

如果满足这些条件，那么我会说继续添加 IP 白名单。如果没有，您可能会将自己（或其他人）锁定在登录表单之外。

就实现而言，最简单的方法可能是从 Web 服务器本身（例如，使用 apache .htaccess 文件）。如果您决定从防火墙执行此操作，则必须找到一种方法让防火墙知道有人正在请求登录表单而不是网站上的其他页面，假设除了登录表单之外还有其他页面服务器。由于您使用的是 HTTPS，因此您可能必须在防火墙处终止 SSL。

IP 限制的另一个好处是它可以帮助缓解恶意内部人员。

考虑一个为其客户托管业务关键数据的云服务。每个客户都有许多拥有帐户的员工，其目的是员工只能从公司工作站访问这些关键数据。在最基本的安排中，没有技术控制来阻止员工从他们的家庭计算机登录。添加客户端可配置的 IP 限制允许特定客户端的管理员强制其所有用户从属于组织的 IP 范围登录 - 阻止人们从家里登录。

在相当新的“联合身份”领域有更先进的技术——但 IP 限制是一种简单而有效的控制方法。

这取决于您要保护自己免受什么侵害。

如果您只是试图阻止随机攻击者浏览您的网站并尝试暴力破解您的登录，那么您的方法将降低您网站的可见性并在某些情况下阻止一些攻击者。

但是，如果攻击者知道您的设置和特定漏洞，他和/她可能不需要读取服务器响应，并且可能能够发送带有欺骗性发件人 IP 的精心设计的包来破坏您的服务。如果没有测试，我想像这样结构的炮击攻击会起作用。我承认这是一种不太可能发生的情况，并且需要攻击者对系统、设置和漏洞有很多了解。但是，如果您所保护的东西是有价值的，您可能需要考虑它。