WordPress 被 JetPack 封锁 IP 登入帐号

WordPress 外挂程序（Plugins）中有一个官方套件叫做「JetPack」，Jetpack 在几个月以前的一次更新中，新加了一项「Protect（保护）」服务。

Protect服务是一种资安保护工具，可以透过辨识用户的行为来加以封锁恶意入侵者电脑的网络位址 （Internet Protocol Address, IP Address），避免被该电脑强行破解密码。不过越是严谨的资安保护，有时候封锁到的说不定会是自己。

今天笔者要藉这篇文章，跟同样不小心被封锁的网站主解说几种解除 IP 封锁的方式，避免连自己都没办法进入后台的窘境，只要一被封锁 IP，WP 就不会管你是一般作者还是管理者，通通视为恶意用户。

在 JetPack 的官方说明书中为了让大家快速了解它的功能，已经写有 Protect 的功能包括：「Protect 是能够抵抗暴力破解攻击的云端式防护工具。我们透过数百万个 WordPress 网站来辨识并封锁恶意 IP。 Protect 利用 Protect 模组追踪已连接 Jetpack 的所有网站之失败登入尝试。如果单一 IP 在短时间内的尝试登入失败次数过多，该 IP 便会遭到封锁，无法登入已安装此外挂程序的任何网站…」

换言之，WordPress 会透过云端网络取得一份 IP 黑名单，当名单上的 IP 尝试登入你网站后台时会就会进行封锁，例如俄罗斯 IP 网段就经常被当作入侵网站的跳板，往往也是容易被封锁的对象。不过除此之外，Protect 还有另一种简单而且算是有效的验证机制。

请参见下图一，当一般用户打算登入 WordPress 时，Protect 程序会强制询问一道数学问题，借以判断你是不是骇客执行的破解机。如果答错问题，或是无视问题打算强行暴力破解帐号密码，Protect 就会封锁该电脑端的 IP 位址。

图一，登入问题验证。

Protect 的设计也是一板一眼，因此像我在图一中故意回答正确，但不是他想要的答案，也会被当成错误答案（馒头：哈哈哈，你看看你，爱玩嘛！），结局就是变成像图二所示那样，维德被自己的网站给封锁了（无限Orz）。

图二，IP 以标帜为可能违反安全性规范。

一旦被封锁，从原本的电脑就再也无法登入自己的网站后台。但是不需要惊慌，接下来维德将告诉你如何解决这个麻烦。

解除 Jetpack Protect 的 IP 封锁

在发现自己被 Protect 封锁后，先开启 WordPress.com 官方网站并登入帐号，找到如下图三所示的网站管理页面。其中在「设定」选项中，有一个「安全性」分页。只要开启安全性分页，我们就能发现 Jetpack Protect 的延伸服务「IP 位址允许清单」。

只要将已被封锁的电脑端 IP 位址填入文字框中（网页会自动侦测电脑 IP，但需要自己填入），就算完成解除封锁（Unblock IP）。我们就能立刻使用原本被封锁的电脑与 IP，正常登入网站系统的后台。

图三，WordPress 网站管理界面。

另外，除了上面提到的解除封锁的正规办法外，我们还能透过更换电脑 IP 的简单程序（例如重置数据机或找虚拟私人网络（Virtual Private Network, VPN）当跳板），借以达到回避 IP 被封锁的困扰。

甚至可以开启服务器供应商（例如 Bluehost）提供的文件管理界面，并在「外挂资料夹」中移除整份 JetPack 资料夹，等同一起移除 Protect 服务。如此一来，我们就能立刻正常登入系统后台（由于麻烦，一般都是最后手段）。

既然提到最后手段，其实这招也适用其他不同的资安保护工具外挂产品。只要哪天一个不小心又被莫名其妙封锁，却不知道该如何解决时，最直接且不用花脑筋的办法，就是移除该外挂工具的资料夹。不过记得，等到能正常登入系统后台后，记得要再重新安装外挂啊。