必须通过IP白名单机制限制外部访问，具体包括：Docker环境变量配置、Nginx反向代理层规则、Workspace控制面板图形化设置、操作系统防火墙规则、以及OA集成平台前置校验五种方式。
如果您部署了OnlyOffice服务，但希望仅允许特定网络范围内的用户访问，则必须通过IP白名单机制限制外部访问。以下是实现OnlyOffice白名单访问的多种配置方法：
一、通过Docker环境变量启用IP白名单
在使用Docker部署OnlyOffice文档服务器时，可直接通过启动参数注入白名单规则，该方式适用于私有化部署且不依赖Nginx前置代理的场景。
1、停止当前运行的onlyoffice/documentserver容器。
2、执行带WHITELIST_NETWORKS参数的新容器启动命令：
docker run -d --name onlyoffice \
-e "WHITELIST_NETWORKS=192.168.10.0/24,10.0.5.100,2001:db8::/32" \
-p 8080:80 \
onlyoffice/documentserver
3、确认容器正常运行后，尝试从非白名单IP访问，将返回HTTP 403 Forbidden响应。
二、在Nginx反向代理层配置IP白名单
当OnlyOffice服务部署在Nginx后端时，应在Nginx配置中添加allow/deny指令，由Web服务器完成访问控制，此方式更灵活且支持复杂匹配逻辑。
1、编辑Nginx站点配置文件（如/etc/nginx/sites-available/onlyoffice）。
2、在server块的location / {}内插入以下规则：
allow 192.168.20.0/24;
allow 2001:db8:abcd::/48;
deny all;
3、执行nginx -t验证语法正确性。
4、重载配置：nginx -s reload。
5、所有未在allow列表中的请求将被Nginx直接拒绝，不转发至OnlyOffice服务。
三、在OnlyOffice Workspace控制面板中设置全局白名单
OnlyOffice Workspace企业版提供图形化白名单管理界面，适用于已启用SSO和集中身份认证的组织，白名单策略作用于整个门户入口。
1、使用管理员账户登录Workspace控制面板。
2、进入左侧导航栏“安全设置”→“访问控制”→“IP白名单”。
3、点击“添加地址”，输入单个IP（如10.1.1.5）或CIDR网段（如172.16.0.0/12）。
4、为每条记录填写不超过50字符的备注，例如“总部办公网”。
5、点击“确定”保存后，非白名单IP访问登录页时将显示“访问被拒绝”提示，且不显示用户名输入框。
四、通过防火墙规则限制OnlyOffice服务端口访问
在操作系统层面使用iptables或firewalld对OnlyOffice监听端口（默认80/443/9000）实施访问控制，该方式最底层、最可靠，但需谨慎操作以免锁死远程管理通道。
1、检查当前OnlyOffice服务绑定的端口（如netstat -tuln | grep :80）。
2、添加允许规则（以CentOS 7 firewalld为例）：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.30.0/24" port port="80" protocol="tcp" accept'
3、添加拒绝规则并设为最后执行：
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" port port="80" protocol="tcp" reject'
4、重新加载防火墙：firewall-cmd --reload。
5、系统级拦截会在TCP连接建立阶段即终止，无法绕过应用层白名单。
五、在OA或集成平台侧实施前置白名单校验
当OnlyOffice作为第三方组件嵌入到OA、ERP等系统时，可在集成调用前由主系统完成IP合法性判断，避免无效请求抵达OnlyOffice服务。
1、在OA系统中定位OnlyOffice集成配置页面（如/o2server/config/onlyofficeSetting.json）。
2、确认其中docserviceApi字段指向的OnlyOffice地址为内部可达地址。
3、在OA的网关或接口层编写中间件，读取请求头X-Real-IP字段。
4、比对预设白名单列表，若不匹配则直接返回HTTP 401状态码。
5、该方式确保OnlyOffice服务仅接收经OA系统授权的合法会话请求。
