# 微信刷脸支付网络环境要求

变更日志

版本	日期	变更
1.0	2021/11/26	删除无效的请求域名/IP
1.1	2021/12/31	更新允许请求的域名与IP的内容
1.2	2022/1/21	更新微信刷脸支付网络环境要求的格式与内容

针对某些特定受限的网络环境，在使用刷脸设备时，需要完成本页面要求的网络配置，方可正常使用；若是开放网络环境，无需本页面的配置。

# 1. 网速要求

上行和下行网络满足网速500kb/s以上，宽带10M以上。

# 2. 网络白名单配置

终端设备网络白名单和后台服务器网络白名单，两者均需配置。

# 终端设备网络白名单配置

微信刷脸支付终端设备所在的网络，既需要配置域名白名单，也需要配置IP白名单。
备注：微信刷脸支付终端设备若使用4G物联网卡，物联网卡服务商需要放行所有的域名白名单和IP白名单。

1、域名白名单

A、按照通配符配置域名白名单（推荐方式）

域名	端口和协议
*.qq.com	80, 443, 5000, 8080, tcp/https
*.iot-tencent.com
*.weixin.com
*.servicewechat.com
*.wechat.com
*.gtimg.com
*.lswld.com
*.tencent-cloud.com
*.qpic.cn
*.qlogo.cn
*.tenpay.com
*.wechatpay.cn

B、按照完整域名配置白名单
若刷脸设备实际使用的网络环境无法按照通配符方式配置，则可按照如下列表配置完整的域名白名单。

服务类型	域名	端口和协议
主域名	log.weixin.qq.com	443端口, tcp/https
	payapp.weixin.qq.com
	wxpay.iot-tencent.com
	wxpay.iot.wechatpay.cn
ilink	longcloud.weixin.com	80, 443, 5000, 8080, tcp/https
	shortcloud.weixin.com	80, tcp/http
	aedns.weixin.qq.com	8080, tcp/http
	ilinklong.pay.weixin.qq.com	80, 443, 5000, 8080, tcp/https
	aeshort.iot-tencent.com	443端口, tcp/https
	aelong.iot-tencent.com	443端口, tcp/https
	aedns.iot-tencent.com	443端口, tcp/https
	aelong.iot.wechatpay.cn	443端口, tcp/https
	aeshort.iot.wechatpay.cn	443端口, tcp/https
	aedns.iot.wechatpay.cn	443端口, tcp/https
小程序	open.weixin.qq.com	443端口, tcp/https
	res.servicewechat.com
	long.open.weixin.qq.com
	lp.open.weixin.qq.com
	servicewechat.com
地图	vectorsdk.map.qq.com	443端口, tcp/https
地图	tencentmap.wechat.com	443端口, tcp/https
定位	lbs.map.qq.com	443端口, tcp/https
	ue.indoorloc.map.qq.com
	apis.map.qq.com
	cc.map.qq.com
	analytics.map.qq.com
	rttgps.map.qq.com
	nlp.map.qq.com
	restlbs.map.qq.com
	lbs.gtimg.com
	indoorroad.map.qq.com
	yun-hl.3g.qq.com
	up-hl.3g.qq.com
	l.lswld.com
	lbs.map.iot.wechatpay.cn
bugly	android.bugly.qq.com	443端口, tcp/https
	android.rqd.qq.com
	androidrqd.iot.wechatpay.cn
	iosrqd.iot.wechatpay.cn
TTS	aiwx.html5.qq.com	443端口, tcp/https
TTS	api.pr.weixin.qq.com	443端口, tcp/https
其他	adsmedium-40038.sh.gfp.tencent-cloud.com	443端口, tcp/https
	publicadsmedium-40038.sh.gfp.tencent-cloud.com
	mmbiz.qpic.cn
	act.weixin.qq.com
	wx.gtimg.com
	wx.qlogo.cn
	wxpay.qpic.cn
	tdid.m.qq.com
	h.trace.qq.com
	posts.tenpay.com
	res.pay.weixin.qq.com
	mmpaypublicbucketlog-40035.sh.gfp.tencent-cloud.com
	mmpaypublicbucketpackage-40035.sh.gfp.tencent-cloud.com
	gtimg.wechatpay.cn

2、IP白名单

微信刷脸设备部分业务连接，无域名访问端口，当前只提供IP访问端口。

业务模块	IP地址	端口和协议
长连接(收敛IP)	109.244.148.15	443端口, tcp/https
长连接(收敛IP)	175.24.208.31	443端口, tcp/https
主域名IP(收敛IP)	121.51.58.140	443端口, tcp/https
	121.51.50.151
	121.51.58.150
图片资源(收敛IP)	175.24.209.113	443端口, tcp/https
长连接	101.91.34.241	80, 443, 5000, 8080, tcp/https
	101.227.162.154
	120.204.0.142
	120.204.10.116
	140.207.119.143
	180.163.15.172
	182.254.78.167
	182.254.92.144
	203.205.234.42
	101.227.162.142
	101.227.162.146
	101.91.5.198
	183.3.224.140
	2402:4e00:8020:101::2:15b
	2402:4e00:8020:101::2:159
	2402:4e00:8020:101::2:15a
	2408:80f1:31:50::61
	2409:8c1e:8fd0:50::45
	240e:e1:a900:50::44
	58.247.204.157
	221.181.97.254
	101.91.34.241
	116.128.171.168
	175.27.6.112
	175.27.0.253
	101.89.47.182
	183.194.238.217
	58.246.163.67
	175.27.0.14
	175.27.0.129
	81.69.54.164
	101.35.76.45
	81.69.216.68
	124.223.121.10
ilink（shortcloud.weixin.com）	183.192.199.140	80, tcp/https
	182.254.92.143
	140.207.119.144
	120.204.0.143
	203.205.234.86
	223.167.104.141
	180.163.25.147
	101.227.162.155
	182.254.78.165
	2409:8c1e:8fd0:50::1f
	2402:4e00:8020:2::89
	240e:e1:a900:50::45
	2408:80f1:31:50::2c
	2402:4e00:8020:2::8a
ilink(aedns.weixin.qq.com)	61.151.165.107	80, tcp/https
	223.166.152.104
	101.89.15.122
	117.184.242.108
	116.128.133.109
	121.51.73.103
	183.192.169.104
	121.51.77.114
	2402:4e00:8020:101::2:178
	2402:4e00:8020:2::8c

# 后台服务器网络白名单配置

商户后台服务器端需要配置如下白名单：

域名	端口和协议
payapp.weixin.qq.com	443端口, tcp/https
api.mch.weixin.qq.com
api2.mch.weixin.qq.com
log.weixin.qq.com

备注：建议优先按照通配符方式配置(*.qq.com)。

# 3. 代理服务器配置

若商户在终端设备中配置使用内部代理的方式接入刷脸业务，则对于内部代理服务器有以下要求。
不使用代理服务，则不需要关注本小节内容。

1、仅支持basic模式

2、需要开放的端口

要求代理服务器设置：开放80,443,5000,8080端口。
如果是apache代理服务，可修改AllowCONNECT（conf/extra/httpd-vhosts.conf文件）。

3、代理协议支持
代理服务器需要支持 HTTP Connect(又名HTTP Tunnel) 类型的代理。
通过代理发送给支付服务器的代理数据既可能是 HTTP 协议的数据，也可能是 TCP 的私有协议数据，所以给支付客户端设置的代理服务器应该允许这两种协议通过。