豆包知识库如何开启IP白名单实现仅内网访问？
功能定位：为什么需要 IP 白名单
豆包知识库默认走公网 CDN，任何拿到链接的人都能查看，这在企业内部极易造成数据外泄。IP 白名单把访问入口锁死在指定地址段，只有公司内网或办公 privacy tool 的出口 IP 能被放行，公网直接返回 403，从源头切断“随手转发”风险。
该功能并非“权限系统”的替代品，而是网络层的第一道闸门；后续仍可叠加“成员可见范围”“密码”“水印”等细粒度控制，形成多层防护。
版本与权限前提
截至当前的最新版本，IP 白名单仅对“组织版”账号开放，个人免费版无入口。组织版需完成企业认证，且账号角色为“管理员”或“安全负责人”。如果界面没有“安全策略”Tab，请先在“组织设置-角色权限”里给自己勾选“安全策略管理”。
操作路径（分平台最短入口）
桌面 Web 端
- 登录 doubao.com，右上角切换至“组织版”
- 左侧导航“知识库”→ 选中目标知识库 → 右侧“设置”齿轮
- 进入“安全策略”子页 → 开启“IP 白名单”开关
- 在输入框内逐行填写内网段，如 10.0.0.0/8、192.168.0.0/16，最多 30 条
- 点击“保存”后，系统提示“30 秒左右生效”，点“确定”
Android / iOS App
移动端暂不支持直接配置，但可触发“快捷通知”：在 App 内打开知识库 → 右上角“···”→ “安全策略”→ 系统会推送一条 DeepLink 到默认浏览器，自动跳转到 Web 端并携带登录 Cookie，后续步骤与桌面一致。
如何拿到“正确”的 IP 段
错误填写会导致全员 403，建议按以下顺序收集：
- 公司出口 NAT：在办公网打开 ip.skk.moe 或 ip138，连续记录 3 天早中晚各一次，取最大公约 CIDR
- 居家 privacy tool：若使用飞书 privacy tool，登录后同样记录，通常是一段 100.64.x.x/10
- IDC 爬虫：若知识库需被服务器回调，把服务器弹性公网 EIP 也写进去，/32 即可
提示：填写完毕后，先在“仅自己可见”测试子目录下用流量（关闭 Wi-Fi）访问，确认被拦截后再全量开放，避免一次性锁死全员。
例外与回退方案
IP 白名单一旦保存，系统不再提供“一键清空”按钮，只能逐条删除。若出现大面积误封，可让组织 Owner 账号在“组织设置-安全日志”里点击“紧急回退”，系统会临时（15 分钟）放行全部 IP，并给管理员发邮件提醒，用于救火。
与机器人、第三方的协同边界
官方“豆包助手”机器人默认走公网回调，若知识库开启白名单，机器人将无法读取内容，表现为“知识库查询超时”。经验性观察：把机器人服务器段 42.187.0.0/16 加入白名单可恢复，但需评估是否违背“仅内网”初衷。若对安全要求极高，建议关闭机器人集成，改用内部 API 网关做反向代理。
性能与成本影响
启用白名单后，CDN 边缘节点会多跑一次 GeoIP 匹配，经验性观察：首次命中延迟增加约 30~50 ms，后续缓存无差异；对 4K 图、视频等大文件下载速率无影响。组织版按流量计费单价不变，但误配置导致反复 403 时，客户端会重试，可能带来 5% 左右额外流量，需留意账单。
故障排查速查表
| 现象 | 最可能原因 | 验证动作 | 处置 |
|---|---|---|---|
| 403 Forbidden | 出口 IP 不在名单 | 访问 icanhazip.com 对比名单 |
补录 CIDR，30 秒生效 |
| 名单保存失败 | 超过 30 条或格式错误 | 检查是否混入空格、中文逗号 | 拆分成更大段，如 /24→/16 |
| 机器人不回答 | 机器人出口被拦 | 查看安全日志来源 IP | 加机器人段或改用内网 API |
适用 / 不适用场景清单
- 适用：企业内部 SOP、客户资料、薪酬文档、源码片段库，且员工固定办公位或 privacy tool 统一出口。
- 不适用：需要外部顾问、客户、投资人随时查阅的公开资料；频繁出差、出口 IP 不固定的销售团队；与抖音达人共享的选题库。
最佳实践 5 条
- 先建“测试知识库”演练，全公司推广前跑一周无 403 再迁移正式库。
- 把“紧急回退”权限只给 Owner 与 IT 主管，防止普通管理员误触。
- 每季度复核一次 IP 段，出口 NAT 随带宽扩容常变更。
- 对超大段如 10.0.0.0/8 拆成 /16，方便定位哪一段被滥用。
- 同步打开“操作日志”投递到飞书群，实时看到异常 IP 访问记录。
FAQ（结构化数据）
个人免费版能否开启 IP 白名单？
不能，必须升级至组织版并完成企业认证。
白名单最多支持多少条？
目前上限 30 条 CIDR，超出需合并网段。
是否支持 IPv6？
截至当前的最新版本仅支持 IPv4，IPv6 地址会被提示格式错误。
总结与下一步
IP 白名单是豆包知识库网络层最廉价也最有效的“门锁”，5 分钟配置即可让敏感文档脱离公网扫描器视线。配置前用测试库演练、配置后每季度复盘，就能把误封概率压到最低。若你的团队已用飞书 privacy tool 统一出口，现在就能动手，把“随手转发”风险直接降到近零。