访问统计与黑白名单
查看谁在请求你的网站、发现扫描器，并用服务器自己的防火墙拉黑或加白 IP、网段和国家。
访问统计
访问统计 页面显示最近 1 小时、24 小时、7 天或 30 天内：
- 请求最多的国家和 IP，以及各自的占比；
- 有多少 4xx 和 5xx 响应；
- 每个 IP 最常访问的路径和 User-Agent，以及它访问过的服务器；
- 最近 7 天每小时的请求数。
数据来自被控读取的 Web 服务器访问日志。见请求来源怎么来的。
请求 .env、wp-login.php、phpunit 这类路径、User-Agent 是已知扫描工具，或者大部分请求都是 4xx（在猜路径）的 IP 会被标记为疑似扫描。勾选 只看疑似扫描 可以只看这些 IP。
黑名单与白名单
每一行都可以一键拉黑（1 小时、24 小时、7 天、30 天或永久）或加白。在 访问统计 → 黑白名单 → 添加规则 中还可以手动添加规则：一个 IP、一个网段（1.2.3.0/24）或一个国家代码（CN），作用于所有服务器或某一台，并可填写备注。规则列在 规则 下。
规则只由开启了拦截的服务器执行：
打开这台服务器的 服务器 → 设置，勾选 在这台服务器上用防火墙执行黑白名单。
保存。被控每次上报时都会检查规则版本，所以变更几秒内就会生效。访问统计 → 黑白名单 → 执行情况 会显示每台服务器是否已执行规则，以及拦截了多少数据包。
如何执行
- 被控的 root 助手使用 nftables（独立的表
inet threermonitor）；没有 nft 时使用 ipset + iptables（独立的链3RM-INPUT）。 - 不改动系统已有的防火墙规则：ufw 和 firewalld 照常工作。
- 白名单优先于黑名单，包括国家规则。
防止把自己锁在外面
- 已建立的连接永远放行：正在使用的 SSH 会话不会断开。
- 最近 7 天登录过面板的 IP 会自动放行（设置 → 访问统计与黑白名单）。
- 内网地址、你当前的 IP 和 Cloudflare 的网段都不能被拉黑。
- 永远不会被拉黑，管理员也不行：白名单里的地址、设置 → 访问统计与黑白名单 中的 受保护的地址（VPN 出口、办公室 IP、监控服务……）、管理员登录时用的 IP、你的服务器和主控。手动拉黑白名单里的 IP 会被拒绝。在每台服务器上，root 助手也永远不会拉黑主控，以及它
agent.conf中protected_ips里的地址。 - 国家规则和大网段永远不拦 SSH。 每台服务器上的 SSH 端口（22，以及
sshd监听的其他端口）只会被单个 IP 和小网段拦：IPv4 /24 及以内，IPv6 /48 及以内。国家规则或更大的网段只拦其他端口，你总能用 SSH 连上来。 - 大到几乎会拦掉所有人的规则（大于 /6 的 IPv4 网段，或大于 /10 的 IPv6 网段），就算主控发下来，服务器自己也会拒绝执行。
- 想让 SSH 完全不受影响、只拦网站访问，把 设置 → 访问统计与黑白名单 → 黑名单只拦截这些端口 设为
80,443。留空 = 所有端口。
AI 与黑名单
- 使用 AI 分析时，访问分析员会在报告里建议要拉黑的 IP 和网段。在你点 拉黑 之前，什么都不会被拉黑。
- AI 值守可以自己拉黑单个公网 IP，前提是访问日志里有证据并且审查员同意：默认 1 小时，最长 7 天，每小时最多 10 个、每天最多 50 个。网段总是需要你用通行密钥批准。
- AI 做的每次拉黑都会记录证据和批准人。
如果被锁在外面
如果真的被锁在外面，在那台服务器上执行（必要时通过服务器控制台）：
sudo 3rmonitor firewall off拦截规则立即清除，被控不再在这台服务器上执行面板里的黑白名单。sudo 3rmonitor firewall on 恢复由面板管理规则；sudo 3rmonitor firewall status 查看当前规则。
网站在 Cloudflare 后面时
网站经过 Cloudflare 代理时，源站看到的是 Cloudflare 的 IP 而不是访客的 IP，所以在服务器防火墙上拉黑访客没有效果。为了让统计准确，请在源站配置访客真实 IP（Apache mod_remoteip 或 Nginx real_ip），拦截则在 Cloudflare 上做。见 Cloudflare 使用提示。