来源 IP 准入
来源 IP 是附加条件，不替代身份认证和访问授权。它适合把入口限制到公司出口、合作方 NAT 或已知代理网段。
Web 应用来源 IP 与认证、访问授权取交集，三者都通过才放行。
TCP/UDP来源 IP 是通用入口侧当前唯一可选准入条件。
代理链只有受信代理提供的真实来源头可以参与判断。
配置
使用最小 CIDR，写清所有者、用途和复核时间。允许列表决定可进入的来源，拒绝列表优先覆盖允许列表；IPv4/IPv6 分别匹配。启用后却没有任何有效 CIDR 时保存应被拒绝。先添加新网段并验证，再删除旧网段，避免切换窗口中断；不要用过宽网段解决临时连通问题。
Web 应用启用来源 IP 后，请求还必须通过认证和访问授权，三者是交集。TCP/UDP 公网端口不使用身份认证或 Edge Auth ACL，来源 IP 是通用 L4 端口当前唯一的可选入口保护；关闭后应假定所有 Internet 来源都能发起连接。
真实来源
如果 NSGW 前还有 CDN、负载均衡或反向代理，只信任明确列入配置的代理，并从可信链提取真实来源。无条件信任客户端提供的 X-Forwarded-For 会绕过 IP 准入。
验证
从允许来源成功、拒绝来源失败、同时命中允许/拒绝时失败、伪造转发头失败。L7 还要验证“IP 允许但身份未授权”仍失败；L4 要验证目标端口和应用协议自己的认证。修改或关闭策略后重新建立连接，不能用旧长连接判断新规则是否生效。