网络层拦截是防御SSRF的关键补充，需封禁169.254.0.0/16等私有地址段、阻断敏感协议及关键词请求、精细化控制出站HTTP流量，并结合日志审计与动态告警机制。
单纯靠应用层过滤 URL 很难防住 SSRF，网络层拦截是关键补充。防火墙不是替代白名单的方案，而是兜底防线——即使代码有疏漏，恶意请求也发不出去。
重点封禁云元数据服务地址
169.254.169.254 是 SSRF 最高频攻击目标，几乎所有云平台（AWS、阿里云、腾讯云、华为云）都用这个 IP 提供实例元数据。必须在出站规则中直接拒绝所有发往该地址段（169.254.0.0/16）的 HTTP/HTTPS 请求。不要只拦 80/443 端口，要覆盖全端口，因为部分云厂商元数据服务会监听非标端口。
阻断常见 SSRF 协议和内网地址段
防火墙策略应默认拒绝以下流量：
- 目的地址为私有 IP 段：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、127.0.0.0/8、::1
- 协议类型含 file://、dict://、gopher://、sftp://、tftp:// 的出站连接（可通过深度包检测 DPI 或代理日志识别）
- HTTP User-Agent 或 Host 头含 localhost、127.0.0.1、internal、metadata 等敏感关键词的请求
限制出站 HTTP 客户端行为
对业务必需的出站 HTTP 流量做精细化控制：
- 只允许访问预定义的第三方域名（如 api.pay.example.com），禁止通配符或子域名泛匹配
- 强制要求 TLS 1.2+，拒绝不带 SNI 的明文连接
- 关闭自动重定向（301/302 跳转），或对每次跳转目标重新校验 IP 和域名
- 若使用反向代理或 API 网关，统一在网关层注入 X-Forwarded-For 校验与 DNS 解析缓存，避免后端重复解析绕过
结合日志与动态响应机制
仅拦截不够，还要可观测：
- 开启出站请求审计日志，记录源服务、目标 IP、协议、URL 路径、响应状态码
- 配置告警规则：5 分钟内同一服务发起超 10 次不同内网 IP 的请求，立即触发告警
- 将 WAF 或云防火墙的 SSRF 相关拦截日志接入 SIEM，与漏洞扫描工具（如 Nuclei SSRF 模板）指纹联动，识别批量探测行为
