接入 CDN 后，用户请求通常先到 CDN 节点，再由节点向源站取回内容；但只要源站仍接受公网直连，或真实地址能从其他记录中查到，攻击者就可能绕过 CDN。处理源站IP暴露风险及隐藏方法，关键不只是隐藏一条 DNS 记录，还要同时限制访问、排查泄露渠道并验证结果。
以下五种做法可以组合使用。对电商站点而言，商品页面经 CDN 加速，并不意味着后台、接口或其他子域名也自动受到同样保护。
方法一：确认所有面向访客的记录都经过 CDN
先检查域名解析配置，确保网站主域名、常用的 www 子域名，以及实际承载图片或 API 的记录，按 CDN 服务商要求设置为代理回源。若某条记录只做 DNS 解析、直接返回源站地址，它就可能成为旁路入口。
- 在 DNS 管理页面逐条核对 A、AAAA 和 CNAME 记录，标记每条记录对应的业务。
- 将公开网站所需的记录配置为 CDN 代理模式；不需要对公网开放的服务，不要为了方便随意添加公开子域名。
- 从外部网络查询域名解析，并检查页面请求实际连接的主机名；留意 IPv6 记录是否仍指向源站。
DNS 记录用于邮件、验证或其他服务时，配置方式可能不同，不要未经核对就全部接入代理。目标是避免公开网站流量绕过 CDN，而非破坏其他域名功能。
方法二：在源站防火墙限制入站来源
这是防止绕过 CDN 直连的关键措施。将源站 Web 端口的入站规则限制为 CDN 服务商公布的回源地址范围，并单独保留管理所需的受控访问通道。规则要覆盖 IPv4、IPv6 及实际启用的服务端口；只屏蔽常见的 80、443，却让其他 Web 端口对公网开放，仍可能留下入口。
- 整理源站实际监听的公网端口和管理端口，关闭没有业务需要的端口。
- 依据服务商官方文档配置回源地址白名单；若地址范围会调整，安排定期复核或自动更新。
- 从非 CDN 网络尝试访问源站地址，确认请求被防火墙拒绝；同时确认正常 CDN 页面和健康检查仍可用。
不要只依赖源站应用程序判断请求是否来自 CDN。若服务商提供的源地址范围维护不当，合法回源也可能中断；需要设置变更流程和监控。
方法三：条件允许时改用私网或出站隧道回源
部分 CDN 或云服务支持通过专用网络、私有连接或由源站主动建立的隧道访问后端。这样可以减少源站暴露公网地址的必要性，适合已有云网络、且服务商支持对应回源方式的站点。
- 确认 CDN、云平台与源站部署环境是否支持私网回源或隧道，并核实带宽、故障切换及健康检查要求。
- 按服务商文档建立连接，将回源目标改为私网地址或隧道指定的目标。
- 验证连接中断时的告警与恢复方式，再逐步关闭不再需要的公网入站规则。
这类方案依赖网络架构和服务商能力，配置复杂度通常高于公网回源白名单；不支持时，不要把普通代理连接误当成私网隔离。
方法四：排查域名、页面与配置中的地址泄露
即使网站主域名已经代理，历史 DNS 记录、未代理的测试子域名、旧页面资源或对外公开的配置，也可能暴露源站线索。还要检查 AAAA 记录、邮件相关主机名和其他服务是否意外指向同一台服务器。
- 核对当前 DNS 区域及可获得的历史解析记录，逐项确认旧地址是否仍可访问。
- 检查网站源码、公开文件、接口响应和部署配置，移除不必要的源站地址及直连链接。
- 确认站点证书没有被误当成隐藏措施：证书本身不能阻止直连，相关域名信息也可能帮助发现资产。
若前端资源直接引用源站 IP、或某个子域名仍解析到源站，单独保护主域名并不足够。排查时应以实际对外可访问的域名和端口为范围。
方法五：地址已经暴露时更换源站 IP 并复核
如果源站地址已被公开，继续隐藏旧地址通常不能消除风险。先准备新的源站地址、服务配置和回滚方案，再更换地址；随后更新 CDN 回源目标及允许访问的规则，并关闭旧地址上的服务入口。具体切换顺序取决于云平台、DNS 缓存和业务部署方式。
- 检查访问日志与防火墙日志，判断旧地址是否存在绕过 CDN 的请求；不要仅凭日志下结论说已遭入侵。
- 在维护窗口完成地址切换，确认 CDN 回源、结账流程和后台功能正常。
- 撤销旧地址或阻断其公网访问，再从外网复测旧地址、新地址和相关子域名。
换 IP 不能替代前四项措施；若泄露源头未处理，新地址仍可能再次暴露。有效的源站IP暴露风险及隐藏方法，应以“即使地址被发现，也无法直接访问源站”为重要目标。
常见问题
只开启 CDN 代理，够不够？
不够。若源站端口仍对任意公网地址开放，知道源站 IP 的人仍可能尝试绕过 CDN。应配合防火墙白名单或私网回源。
源站 IP 被发现就一定会被攻击吗？
不一定，但暴露会增加被扫描或尝试直连的机会。应优先限制入站访问，并依据日志和安全告警评估是否需要更换地址。
怎样判断隐藏是否有效？
从外部检查公开 DNS 记录、IPv4 与 IPv6 入口，并测试源站直连是否被拒绝；再确认经 CDN 访问仍正常。不要只看 DNS 查询结果就认定源站已受保护。
总结来说，源站IP暴露风险及隐藏方法不是单一开关：代理公开记录、收紧源站入口、评估私网回源、清理泄露线索，并在必要时轮换地址，才能形成更完整的防护。
