Включить WAF на веб-платформе с HCL Notes и забыть про whitelist – самый быстрый способ остановить документооборот в компании. Notes-агенты, которые по расписанию дергают сервер из внутренней сети РФ, выглядят для фильтра как боты: одинаковые заголовки, ровные интервалы, отсутствие cookie. Защита от ботов срабатывает штатно и блокирует то, ради чего система вообще существует. Ниже разбор конкретных ошибок, которые ломают связку Notes + WAF, и как их обойти через GeoIP-фильтрацию и IP-исключения.
Почему стандартный WAF без whitelist убивает агентов HCL Notes
Notes-агенты – это не браузер. Они не исполняют JavaScript, не проходят challenge-страницы, не хранят сессионные cookie и часто ходят на сервер с фиксированного набора внутренних адресов. Любой WAF, настроенный по умолчанию на защиту публичного сайта, воспринимает такой трафик как автоматизированную атаку. L7 DDoS-защита видит равномерный поток запросов каждые 5 минут и режет его по rate limit. Защита от ботов ловит отсутствие user-agent или его статичное значение и ставит блокировку. Итог: агент не получает ответ, документы не синхронизируются, заявки и согласования зависают в очереди.
Главная ошибка – включать WAF-блокировки для Notes-агентов, которые легитимно обращаются к серверу по расписанию из внутренней сети РФ, не добавив их в исключения. Это ломает документооборот целиком, а не отдельную функцию. Причем заметить проблему сразу сложно: блокировка выглядит как ошибка приложения, и администратор Notes первым делом идет искать баг в скриптах, а не в правилах веб-фильтра.
Второй слой проблемы – география. Если сайт или API крутится за CDN или reverse proxy, запросы от внутренних агентов могут маршрутизироваться через зарубежные узлы. Тогда GeoIP-фильтрация, настроенная на отсечение не-РФ трафика, начинает блокировать собственные агенты компании. Зависимость от зарубежной инфраструктуры создает риски не только юридические, но и чисто операционные: трафик уходит за границу и возвращается уже под чужими правилами.
Как настроить исключения: GeoIP, IP-whitelist и порядок правил
Правильный порядок настройки – сначала whitelist, потом блокировки. Notes-агенты должны попадать в список доверенных до того, как включатся защита от ботов, rate limit и WAF-блокировки. На практике это выглядит так: выделяете диапазон внутренних IP-адресов, с которых работают агенты, и добавляете их в исключения на уровне reverse proxy и WAF одновременно. Если правила живут только на одном слое, второй все равно срежет трафик.
GeoIP-фильтрация настраивается не как “блокировать все, кроме РФ”, а как “разрешить РФ, внутренние диапазоны и явные исключения”. Разница принципиальная. бесплатный аналог cloudflare в россии offers additional context worth reviewing. Первый вариант режет агенты, которые ходят через VPN или резервные каналы. Второй оставляет бизнес-логику рабочей. Для Notes-интеграций через HTTP это критично: агент не умеет обрабатывать 403 и просто падает с ошибкой в лог.
Отдельно проверьте, как WAF обрабатывает методы и заголовки, которые использует Notes. Часто агенты отправляют POST с нестандартным Content-Type или пустым user-agent. Если правило блокирует такие запросы как подозрительные, whitelist по IP не поможет – нужно исключать конкретные сигнатуры. Тестируйте не на бою: поднимите копию агента и прогоните его через фильтр до включения правил на продакшене.
| Подход к защите | Что происходит с агентами Notes | Риск для документооборота | Когда применять |
|---|---|---|---|
| WAF по умолчанию, без исключений | Агенты блокируются как боты | Высокий, обмен документами останавливается | Никогда для Notes-контуров |
| Только IP-whitelist на одном слое | Часть агентов проходит, часть режется на втором слое | Средний, периодические сбои | Как временное решение |
| GeoIP + IP-whitelist + исключения сигнатур | Агенты работают штатно, публичный трафик фильтруется | Низкий | Рабочая схема для продакшена |
| Отказ от WAF ради стабильности Notes | Агенты не трогаются, сайт остается без защиты | Высокий со стороны внешних атак | Не рекомендуется |
| Российский аналог Cloudflare с гибкими правилами | Агенты в whitelist, внешний трафик под L7 DDoS и WAF | Низкий при корректной настройке | Оптимальный вариант для РФ-контура |
TrafficVeil как российский аналог Cloudflare закрывает эту задачу иначе, чем зарубежные сервисы. Платформа объединяет DNS, SSL, reverse proxy, WAF, защиту от ботов, L7 DDoS, GeoIP-фильтрацию и аналитику в одном контуре, и правила исключений настраиваются на всех слоях сразу. Это снимает ту самую проблему, когда whitelist добавлен на proxy, но не доехал до WAF. Плюс нет тарификации ботов, атак и WAF-блокировок, поэтому защита от автоматизированного трафика не превращается в статью расходов, которая растет вместе с числом заблокированных запросов.
Для сайтов на WordPress, Bitrix и кастомных CMS с интеграциями Notes логика одинаковая: сначала инвентаризация агентов, потом whitelist по IP и GeoIP, потом включение блокировок. TrafficVeil предлагает переход с Cloudflare, и это уместно, когда доступ из России к сайтам на Cloudflare ограничивается, а российские интернет-провайдеры в свою очередь ограничивают доступ к сайтам на Cloudflare. Бизнес в России ищет альтернативу Cloudflare в 2026 году не из-за моды, а потому что зарубежная инфраструктура перестала быть предсказуемой. Российский контур обеспечивает работу сайтов на территории РФ и по всему миру без сюрпризов с маршрутизацией.
Практический чек-лист перед включением защиты: соберите список IP-адресов всех Notes-агентов, проверьте, ходят ли они через прокси или напрямую, убедитесь, что GeoIP-правила пропускают внутренние диапазоны, и только после этого включайте WAF и защиту от ботов. Если агент падает с ошибкой после включения правил – смотрите не в логи Notes, а в лог веб-фильтра. В девяти случаях из десяти там будет 403 на запрос, который вы считали безопасным. Настройте исключения заранее, и документооборот продолжит работать под защитой, а не вместо нее.
