IP制限とは、アクセス元のIPアドレスを使って「このIPは許可する」「このIPは拒否する」と決めるアクセス制御です。
たとえば、WordPressの管理画面を社内の固定IPからだけ開けるようにしたり、特定ネットワークからのアクセスだけ許可したりできます。
初心者は、「どこから接続してきたかをIPアドレスで判定する入場制限」と考えると分かりやすいです。
30秒でわかる結論
30秒でわかる結論
- IP制限は、接続元IPアドレスでアクセスを許可・拒否する仕組み
- 管理画面、開発環境、社内向けページなどの保護に向く
- 固定IPなら運用しやすいが、動的IPでは自分まで締め出すことがある
- IPv4だけでなくIPv6も確認する
- CDN・リバースプロキシ経由では、サーバーから見える送信元IPが変わる場合がある
- IP制限だけで認証を置き換えるのではなく、パスワードや多要素認証と組み合わせる
- 共用レンタルサーバーでは、管理画面のアクセス制限機能を使うのが簡単
IP制限とは？
IP制限は、Webサーバーやファイアウォールなどが、アクセス元のIPアドレスを確認して通信を許可・拒否する仕組みです。
Webサイト全体に設定することも、管理画面や特定ディレクトリだけに設定することもできます。
初心者向けに一言でいうと
IP制限＝「決めた場所から来た通信だけ通す」仕組みです。
IP制限は何に使う？
| 用途 | 例 |
|---|---|
| WordPress管理画面 | 社内固定IPだけ許可 |
| 開発環境 | 制作会社と社内からだけ閲覧 |
| 社内システム | VPN経由のIPだけ許可 |
| VPS管理 | SSHなどを特定IPだけに制限 |
| 特定地域・ネットワーク | 必要なネットワーク範囲だけ許可 |
公開ページより管理系に向く
一般ユーザーへ広く公開するページより、管理画面・検証ページ・社内専用ページのような「利用者を限定したい場所」に向いています。
許可リストと拒否リストの違い
IP制限には、大きく2つの考え方があります。
| 方式 | 意味 |
|---|---|
| 許可リスト方式 | 指定IPだけ許可し、それ以外を拒否 |
| 拒否リスト方式 | 指定IPだけ拒否し、それ以外を許可 |
管理画面なら許可リストが分かりやすい
「社内固定IPだけ管理画面へ入れる」という用途なら、許可IPを限定し、それ以外を拒否する構成が明確です。
IP制限とBasic認証の違い
| 項目 | IP制限 | Basic認証 |
|---|---|---|
| 判定基準 | 接続元IP | ユーザー名・パスワード |
| 操作 | 許可IPなら入力不要 | 認証情報を入力 |
| 固定IPとの相性 | 良い | 固定IP不要 |
| 外出先利用 | IP変動で困ることがある | 認証情報があれば利用しやすい |
| 主な用途 | 接続元の限定 | 利用者認証 |
Basic認証の仕組みは「Basic認証とは？仕組み・設定用途・注意点」で詳しく扱います。
IP制限とファイアウォールの関係
ファイアウォールでも送信元IPを条件に通信を許可・拒否できます。
WebサーバーのIP制限は「特定URL・ディレクトリへのアクセス制御」に使いやすく、OSやクラウド側のファイアウォールは「ポート・ネットワーク単位」で制御する場面に向きます。
設定する場所が違う
同じ「IPで制限する」でも、Webサーバー、WAF、CDN、クラウドのセキュリティグループ、OSファイアウォールなど、設定場所によって守れる範囲が変わります。
固定IPなら使いやすい
会社や拠点で固定グローバルIPを契約している場合、IP制限は運用しやすくなります。
例
会社の固定IP：203.0.113.10
↓
このIPだけ管理画面を許可
↓
その他の接続元は拒否
IPが変わらなければ、設定を頻繁に変更する必要がありません。
動的IPでは注意が必要
家庭用回線、スマートフォン回線、テザリングなどでは、接続するたびにグローバルIPが変わる場合があります。
その状態で「現在のIPだけ許可」と設定すると、後日IPが変わったとき自分自身もアクセスできなくなる可能性があります。
自分を締め出す事故に注意
管理画面へIP制限を設定する前に、利用中回線が固定IPか動的IPかを確認してください。外出先・自宅・社内など複数場所から管理する場合は、特に注意が必要です。
VPNと組み合わせる方法
担当者が複数拠点・外出先からアクセスする場合、VPN経由の出口IPを固定し、そのIPだけ許可する方法があります。
自宅・外出先
ただし、VPNサービスの仕様や固定IPオプションは別途確認が必要です。
IPv4だけ設定すればよい？
IPv6を利用している環境では、IPv4だけでなくIPv6も確認します。
Apache 2.4やNginxのアクセス制御は、IPv4だけでなくIPv6アドレス・CIDRにも対応しています。
考え方
IPv4だけ許可したつもりでも、別経路でIPv6接続が有効なら想定どおりの制御にならない場合があります。
確認すること
- 利用者側がIPv4・IPv6のどちらで接続しているか
- サーバーがIPv6で待ち受けているか
- CDN・WAFがIPv6アクセスを受け付けているか
- 両方のルールが意図どおりか
CIDRとは？
複数のIPアドレスをまとめて指定するときに、CIDR表記を使うことがあります。
例
192.0.2.0/24
これは1つのIPだけでなく、一定範囲のネットワークをまとめて指定する表記です。
範囲を広げすぎない
CIDRを理解せず広い範囲を許可すると、本来許可したくない接続元まで通す可能性があります。初心者は単一IPまたはサーバー会社が案内する範囲から始める方が安全です。
ApacheでIP制限する仕組み
Apache 2.4では、mod_authz_host の Require ip を使ってIPアドレスやCIDR単位でアクセスを許可できます。
考え方の例
Require ip 203.0.113.10
Apache公式では、IPv4・IPv6・CIDRなどを指定できます。
古いAllow / Deny記事に注意
Apache 2.4では、旧来の Order、Allow、Deny は互換モジュール側の古い方式で、公式は新しい Require 系ディレクティブへの移行を案内しています。古い解説記事をそのまま使わないでください。
NginxでIP制限する仕組み
Nginxでは、ngx_http_access_module の allow と deny を使ってアクセス元IPを制御できます。
考え方の例
allow 203.0.113.10;
deny all;
Nginxではルールが順番に評価され、最初に一致したルールが使われます。IPv4・IPv6・CIDRを指定できます。
CDNやリバースプロキシ利用時の注意
CloudflareなどのCDNやリバースプロキシを使うと、オリジンサーバーから見える接続元IPが、実ユーザーではなくCDNのIPになる場合があります。
Cloudflare公式でも、プロキシを有効にした場合、オリジンサーバーにはCloudflareのIPが接続元として見え、実ユーザーIPは CF-Connecting-IP や X-Forwarded-For などのヘッダーで渡されると説明されています。
ヘッダーを無条件に信用しない
実ユーザーIPを復元する設定では、信頼できるプロキシから届いたヘッダーだけを利用する必要があります。インターネットから直接送られた任意のヘッダーをそのまま信頼すると、IP判定を誤る可能性があります。
WordPress管理画面にIP制限をかけるメリット
WordPress管理画面はログイン試行や不正アクセスの対象になりやすいため、管理者の接続元が限定できる場合はIP制限が追加防御になります。
メリット
- ログイン画面へ到達できる接続元を限定できる
- 大量の不要ログイン試行を減らせる場合がある
- パスワード漏えい時にも追加の壁になる
- 社内利用だけの管理ページを外部から見えにくくできる
IP制限だけで十分？
十分ではありません。
IP制限は「どこから来たか」を見る仕組みで、「誰が操作しているか」を確認する認証とは役割が違います。
組み合わせたい対策
- 強いパスワード
- 多要素認証
- WordPress本体・テーマ・プラグイン更新
- ログイン試行回数制限
- WAF
- 権限の最小化
IP制限は追加防御
IP制限を設定したからパスワードを簡単にしてよい、ということではありません。複数の防御を重ねるのが基本です。
IP制限のデメリット
IP変更でアクセスできなくなる
動的IPでは、許可IPが変わるたびに設定更新が必要です。
外出先から管理しにくい
社内IPだけ許可すると、自宅や出張先からアクセスできなくなります。
設定ミスで自分を締め出す
許可IPを間違えると、管理画面へ入れなくなる場合があります。
CDN・プロキシでIP判定が複雑になる
実ユーザーIPを正しく復元しないと、全員が同じプロキシIPに見える場合があります。
共用レンタルサーバーではどう設定する？
共用レンタルサーバーでは、サーバー管理画面に「アクセス制限」「IPアクセス制限」「国外IP制限」などの機能が用意されている場合があります。
初心者は管理画面を優先
サーバー会社が専用機能を提供しているなら、.htaccessやサーバー設定を直接編集するより管理画面を使う方がトラブルを減らしやすくなります。
IP制限を使うべきケース
管理者の固定IPがあるなら追加防御として有効です。
公開前サイトを制作会社・社内だけに見せる用途に向きます。
不特定多数へ公開するページには通常不要です。
IP変更で締め出されやすいため、別の防御策も検討します。
設定前に確認すること
設定前チェック
- 利用中IPは固定か動的か
- IPv4・IPv6のどちらで接続しているか
- 外出先から管理する必要があるか
- CDN・WAF・リバースプロキシを使っているか
- 設定を戻す手段があるか
- サーバー管理画面から解除できるか
- 複数担当者の接続元IPを把握しているか
よくある設定ミス
- 現在のIPを固定IPだと思い込む
- IPv4だけ登録してIPv6を見落とす
- 自宅・社内・外出先のすべてを想定していない
- CDN経由なのにオリジンサーバーで実ユーザーIPを誤認する
- CIDRを広く指定しすぎる
- IP制限だけで十分と思い、認証を弱くする
- 解除方法を確認せず本番管理画面へ設定する
教科書判定
固定IPがある管理画面なら有効。動的IPなら無理に使わず別対策も検討
IP制限は、管理者の接続元を限定できる環境では分かりやすい追加防御です。特に会社の固定IPやVPNの固定出口IPがある場合は、管理画面・検証環境の保護に向いています。
一方で、家庭回線・モバイル回線などIPが変わりやすい環境では、自分を締め出すリスクがあります。IP制限は認証の代わりではなく、パスワード、多要素認証、更新、WAFなどと組み合わせる追加対策と考えてください。
よくある質問
Q．IP制限とは何ですか？
接続元のIPアドレスを確認し、特定IPだけ許可したり、特定IPを拒否したりするアクセス制御です。
Q．IP制限とBasic認証はどちらが安全ですか？
役割が違います。IP制限は接続元を限定し、Basic認証はユーザー名・パスワードで利用者を確認します。必要に応じて組み合わせる方法があります。
Q．スマホ回線でもIP制限できますか？
可能な場合はありますが、モバイル回線はIPが変わることがあるため運用しにくいことがあります。固定IPのVPNなどを使う方法もあります。
Q．WordPress管理画面へIP制限をかければ2段階認証は不要ですか？
不要にはなりません。IP制限は接続元を絞る追加防御です。パスワード、多要素認証、更新なども併用してください。
Q．Cloudflareを使っているとIP制限できませんか？
できますが、オリジンサーバーにはCloudflareのIPが見える場合があります。実ユーザーIPを使うなら、Cloudflareの公式手順に沿って信頼できるプロキシからのヘッダーを正しく扱う必要があります。
まとめ
IP制限の要点
- IP制限は接続元IPでアクセスを許可・拒否する仕組み
- 管理画面・開発環境・社内システムに向く
- 固定IPなら運用しやすい
- 動的IPでは自分を締め出す可能性がある
- IPv4だけでなくIPv6も確認する
- Apache・Nginx・ファイアウォールなど複数の設定場所がある
- CDN・リバースプロキシ経由では実ユーザーIPの扱いに注意する
- IP制限だけで認証を置き換えない
- 共用レンタルサーバー初心者は管理画面のアクセス制限機能を優先する
「Basic認証とは？仕組み・設定用途・注意点」「ログイン試行回数制限とは？不正ログイン対策を解説」「セキュリティヘッダーとは？Webサイトで設定する意味」もあわせて確認してください。