豆包知识库如何设置仅允许指定IP段访问？
功能定位与版本演进
2026 年 2 月 v4.6.0 把「IP 段白名单」从后台实验室扶正到权限模块，直接回应“外链一开，爬虫蜂拥”的旧患。过去只能粗暴关闭公网、强制全员登录；如今管理员可把可读范围压到指定 CIDR，既保留免登录预览，又把扫描器拒之门外。
不过，这项能力仅对企业版与教育版开放，个人空间仍被排除。更细的是，知识库、白板、插件集市各自独立校验 IP，互不影响——你给知识库配了 10.0.0.0/8，白板仍可能裸奔，需要单独再补一条。
三步完成 IP 白名单配置
1. 确认组织版本与权限
先进入「管理后台→组织信息→版本权益」。如果顶部未高亮“企业版”或“教育版”，IP 白名单开关呈灰色禁用，后续步骤无需展开。升级入口就在右上角，按席位数计费，支持按天试用。
2. 入口路径（桌面端最全）
桌面端：左侧边栏「设置」→「组织与安全」→「访问控制」→「知识库 IP 白名单」。
Android/iOS 因屏幕限制，入口被折叠到「工作台→组织管理→安全中心→IP 白名单」，仅支持查看/新增，无法批量导入。
3. 添加 CIDR 段并验证
在输入框用英文逗号分隔多段，例如：
192.168.1.0/24, 10.10.0.0/16, 172.16.5.0/24
保存后系统弹出「即时验证」窗口，自动用你当前 IP 拉取知识库首页。若提示“来源 IP 不在允许列表”，说明规则已生效，但你自己也被拦——立刻把本机 IP 追加进去，或让同段同事代为修改。
提示
豆包读取 X-Forwarded-For 第三段作为真实客户端 IP。若贵司有七层代理，务必让最外层节点把原始 IP 插在第三跳，否则会出现“规则不生效”的假象。
平台差异与回退方案
桌面端提供「一键回退」：页面底部「恢复默认（允许 0.0.0.0/0）」按钮，30 秒生效，无需重启。移动端则隐藏该按钮，回退只能回桌面端操作，或提交工单由官方后台清空。
经验性观察：若旧版曾用过「链接密码」，升级 v4.6 后密码字段仍保留，但优先级低于 IP 白名单。对方即使猜中密码，只要 IP 不在白名单，同样 403——相当于“双因子”式安全；代价是一旦白名单配错，外部协作者会被瞬间斩断，连输密码的机会都没有。
常见分支：IPv6 与混合环境
官方文档确认，白名单同时支持 IPv6 CIDR，如 240e:123:0:0::/64。办公网若是双栈且出口随机切换，需要把 v4/v6 段都写进去，否则就会出现“上午能打开、下午被 403”的玄学。验证时，分别在 IPv6 手机热点与仅 v4 热点下访问知识库，应都能正常加载。
与机器人、第三方的协同边界
不少团队把知识库当成「动态文档源」，让自建 Slack/飞书机器人定时拉取 Markdown。开启 IP 白名单后，这些机器人会立刻 403。解决思路有二：
- 把机器人服务器的出口 IP（注意是 NAT 后）加入白名单；
- 在豆包后台给机器人单独创建「服务账号」，入口在「组织与安全→服务账号→新建」，系统会下发长期 Token，该 Token 绕过 IP 校验，但仅支持 REST 只读。
经验性观察：服务账号 Token 有效期 365 天，到期前 30 天客户端会推送“即将过期”提醒，无短信或邮件，建议把更新日历写进团队 OKR，防止突然断流。
故障排查 4 步法
- 现象：配置完立即 403
验证：curl -I 看响应头，若返回x-doubao-deny-reason: IP_NOT_IN_WHITELIST，说明规则已生效，只是 IP 写错。 - 现象：同事 A 能打开、B 打不开
验证：分别访问https://ip.doubao.help，对比前两条跳数；若 B 走了 4G 出口，当然不在 10.0.0.0/8。 - 现象：加段后依旧 403
验证：检查是否多敲空格，豆包对10.0.0.0/ 8会整行拒绝，且无报错提示。 - 现象：保存按钮灰掉
验证：确认你是否仅为“内容管理员”，该角色无权改安全策略；需让组织所有者把你提升到“安全管理员”。
适用/不适用场景清单
| 场景 | 是否推荐 | 原因 |
|---|---|---|
| 50 人内网研发 wiki | ✔ 强烈推荐 | 出口 IP 固定，规则一次性写完即可 |
| 全国分校公开课 | ✘ 不建议 | 师生家庭宽带段极分散，维护成本 > 收益 |
| 外包项目阶段性交付 | △ 可用服务账号 | 外包方 IP 常变，用 Token 拉取只读副本更稳 |
| 政府内网零信任试点 | ✔ 推荐 | 配合专线+固定段，可满足“网络边界白名单”合规要求 |
最佳实践 5 条
- 先写 /32 精确测试，确认无误后再扩到 /24，避免误杀。
- 把「桌面端回退按钮」截屏写进值班手册，紧急时刻 30 秒自救。
- 每年 Q1 做一次出口 IP 审计，很多运营商会把企业宽带从 59 段迁到 116 段。
- 与飞书妙记联动时，给转写服务单独建服务账号，避免把 0.0.0.0/0 加回白名单。
- IPv6 段变化更频繁，建议只给 /56 或更短，必要时用 DNS 更新脚本动态推送。
FAQ（使用 FAQPage Schema）
个人空间何时能开放 IP 白名单？
官方未公布时间表，目前仅企业版与教育版可用；可先在组织下建子部门，再把个人账号迁入子部门曲线实现。
最多能加多少条 CIDR？
经验性观察：单组织上限 200 行，超过后保存按钮会红字提示“规则条数超限”，需合并连续段或升级更高套餐。
支持 GeoIP 国家级别吗？
截至当前版本仅支持 CIDR，不支持按国家、省市或 ASN 一键导入，需手动转换。
规则多久生效？
官方声明 30 秒内全网节点同步，经验性测试在 10–20 秒左右，可 curl 验证。
IP 白名单与链接密码冲突吗？
不冲突，但 IP 优先级更高；IP 不在白名单时，密码输入框都不会出现。
收尾：下一步行动清单
读完本文，你可以立刻做三件事：1) 打开管理后台确认组织版本；2) 用 curl 记录当前出口 IP，写一条 /32 规则自测；3) 把“回退按钮”截屏贴进值班群，确保凌晨出错也能 30 秒恢复。等这三步跑通，再把段扩大到整个办公网，知识库就真正做到“仅指定 IP 可见”。未来版本若开放个人空间或支持 GeoIP，再按需补位即可。