TG咨询很多网站启用CDN后，公网解析看到的是边缘节点地址，但这并不等于源站已经安全。历史DNS记录、邮件服务、对象存储配置、错误页面和应用响应头，都可能泄露真实地址。真正有效的源站IP隐藏方法，应当把“隐藏入口”和“限制回源”作为一组配置同步完成。
先判断源站是否仍能被直接访问
在调整策略前，应从外部网络检查A记录、AAAA记录、旧域名、测试子域名和邮件相关主机名。主站使用Cloudflare、阿里云CDN或Amazon CloudFront时，解析结果通常指向代理网络，但源站若仍允许任意公网地址访问，攻击者拿到旧地址后仍可绕过代理。
检查范围还应包括证书透明度日志中出现的子域名、页面中的图片或下载地址，以及邮件退信信息。不要把数据库、管理后台或监控服务与Web源站共用同一公网地址；即使主站完成代理，其他服务也可能成为定位入口。
源站IP隐藏方法的四层配置
1. DNS只保留必要的公开记录
将面向用户的Web域名接入反向代理，源站域名使用内部解析或不对外提供解析。清理旧A记录、AAAA记录和测试环境记录时，要先确认业务依赖，尤其是邮件、回调和证书自动续期服务。DNS变更受缓存影响，通常需要等待原TTL逐步失效，不能只看本地解析结果。
2. 防火墙只允许代理节点回源
这是最关键的一步。源站安全组或主机防火墙应仅放行代理服务商公布的出口地址，并只开放实际使用的端口，例如HTTPS的443端口。若业务不需要HTTP，关闭80端口或仅用于受控跳转。代理地址列表发生变化时，要建立复核和更新流程，避免长期使用过期规则。
3. 在回源层验证“谁在访问”
仅按来源地址放行仍可能不够。可在源站与反向代理之间启用独立回源域名、专用证书或双向TLS认证，让源站同时校验连接来源和证书身份。回源密钥不应写入前端代码，也不应通过普通页面参数传递。WAF负责识别请求风险，不能替代源站防火墙。
4. 收紧端口、路径与管理面
源站只保留应用所需服务，数据库、缓存、容器管理端口和远程管理入口应放在内网、VPN或堡垒机之后。管理后台可增加独立访问控制，但不要依赖隐藏路径作为主要防护。日志中应区分边缘代理请求、内部健康检查和管理员访问，便于发现绕过代理的连接。
一套可执行的加固顺序
- 盘点暴露面：列出主域名、旧域名、测试域名、IPv4和IPv6记录，以及所有对外开放端口。
- 切换代理入口：确认HTTPS证书、缓存规则、上传限制和回源主机名均已在代理侧配置完成。
- 建立回源白名单：在云安全组和主机防火墙中，仅允许代理节点访问应用端口；临时调试规则应设置失效时间。
- 验证直连失败：从不在白名单内的网络访问旧源站地址，预期应得到超时、拒绝连接或网关层拦截，而不是应用页面。
- 检查功能完整性：分别测试登录、文件上传、支付回调、图片加载和IPv6访问，避免因过度收紧导致正常业务中断。
- 持续监控：关注源站入站连接、DNS变更、证书新增域名和防火墙拒绝日志。若源站地址曾长期公开，必要时更换公网地址，并同步更新所有允许回源的配置。
不同场景的取舍
| 方案 | 适用情况 | 优点 | 注意事项 |
|---|---|---|---|
| 仅使用CDN代理 | 访问以网页和静态资源为主 | 部署快，具备缓存和基础防护 | 源站白名单未收紧时，隐藏效果有限 |
| 代理加安全组白名单 | 需要稳定控制回源来源 | 能明显减少直连和扫描 | 要维护代理出口地址变化 |
| 专用回源通道加证书校验 | 对管理接口或敏感业务要求较高 | 同时验证网络来源和身份 | 证书轮换、故障切换更复杂 |
常见误区与复核重点
把源站地址写在前端资源、开放所有端口、只设置一个自定义请求头，或认为更换一次公网地址就能永久解决问题，都是常见误区。自定义请求头可以作为辅助信号，却不能抵御直接连接者伪造请求。完成源站IP隐藏方法后，还应在变更后的数小时至数天内观察拒绝日志、回源错误率和业务告警，确认策略没有误伤正常流量。
常见问题
源站已经接入CDN，还需要改防火墙吗？
需要。CDN主要改变用户访问路径，防火墙白名单才决定谁能直接连接源站。
可以只允许固定请求头回源吗？
不建议单独依赖。请求头容易被伪造，应与代理出口白名单、专用证书或其他网络控制结合使用。
源站地址已经泄露，必须立刻更换吗？
若旧地址无法可靠限制访问，通常应安排更换；若能先收紧入站策略，也可在业务窗口内完成迁移，但要持续观察异常连接。
IPv6需要单独处理吗？
需要。若只限制IPv4而遗漏AAAA记录或IPv6防火墙规则，攻击者可能通过IPv6绕过原有策略。
因此，源站IP隐藏方法的核心不是让地址永远不可发现，而是即使地址被发现，也无法绕过代理直接获得有效服务。DNS清理、代理回源白名单、端口收敛和身份校验必须同步设计，才能形成可验证、可维护的防护闭环。
