高防CDN的防护能力有一个前提：所有流量都必须经过清洗中心。 如果攻击者知道了源站的真实IP，直接向源站发起攻击，那么无论清洗中心的防护能力有多强，都起不到任何作用——攻击流量根本不会经过清洗中心。
源站IP暴露是高防CDN防护体系中最致命的单点故障。本文拆解源站IP隐藏的机制，以及选型时如何评估源站保护能力。
一、源站暴露为什么等于防护失效
高防CDN的防护逻辑可以用一个简单模型理解：用户请求先到达清洗中心，清洗中心检测并过滤恶意流量，只把合法流量回源到源站。攻击流量在清洗中心被拦截，源站始终处于保护状态。
但这个模型有一个隐含假设：攻击者不知道源站的真实IP。 一旦这个假设被打破，攻击者可以直接向源站IP发起DDoS或CC攻击，流量完全绕过清洗中心。源站此时处于“裸奔”状态，其自身的防火墙和带宽容量完全无法抵御T级攻击，业务会迅速被打瘫。
更棘手的是，源站IP一旦暴露，攻击者可以持续利用。即使你后续更换了源站IP，如果暴露路径没有被彻底封堵，新IP很快会被再次发现。
二、源站IP暴露的常见路径
源站IP暴露的路径比大多数人想象的多。
DNS历史记录泄露。 在接入CDN之前，域名解析记录可能指向源站IP。攻击者通过DNS历史查询工具可以找到这些记录。如果在接入CDN时没有更换源站IP，历史记录中的IP就是源站的真实地址。
子域名未接入CDN。 主域名接入CDN后，一些子域名（如mail、ftp、test、dev）可能仍然直接解析到源站IP，没有经过CDN。攻击者通过子域名枚举工具可以发现这些未接入的入口。
源站主动外连泄露。 源站服务器在主动发起外部请求时（如调用第三方API、发送邮件、更新软件），其出口IP可能被第三方服务记录或公开。
SSL证书信息泄露。 如果源站使用了与CDN不同的SSL证书，攻击者可以通过证书透明度日志查询到源站IP。
API接口返回真实IP。 部分应用在错误页面、调试接口、HTTP响应头中会返回服务器的真实IP信息，攻击者可以通过构造特定请求获取。
三、三层隐藏机制
源站保护是一个系统工程，通常由三层机制协同工作。
第一层：回源白名单。 源站的防火墙只允许清洗中心的回源IP段访问源站服务端口，拒绝其他所有来源的连接请求。这意味着即使攻击者知道了源站IP，也无法直接向源站发起攻击——连接在第一层就被拒绝。
第二层：端口非标化。 源站服务不使用默认端口（如HTTP的80、HTTPS的443），改用非标准端口，且该端口仅对清洗中心开放。攻击者即使知道源站IP，也需要先扫描端口才能发起攻击，这增加了攻击成本。
第三层：虚拟源站指纹。 源站对外暴露的响应特征（如HTTP响应头中的Server字段、TLS握手时的证书信息）可以与CDN节点保持一致的指纹，使攻击者无法通过指纹识别判断哪个IP是真实源站。
| 机制 | 作用 | 边界 |
|---|---|---|
| 回源白名单 | 只允许清洗中心回源IP段访问源站 | 需要清洗中心IP段完整、及时更新 |
| 端口非标化 | 增加攻击者的扫描成本 | 端口信息仍可能通过其他路径泄露 |
| 虚拟源站指纹 | 使源站响应特征与CDN节点一致 | 需要源站和CDN协同配置 |
四、坚果盾高防CDN的源站保护能力
坚果盾高防CDN的源站保护方案覆盖了回源白名单和端口配置两个层面，配合高防CDN的流量牵引机制，让攻击流量在到达源站之前就被清洗中心拦截。
对于需要独立IP和端口转发、隐藏源站、支持非HTTP协议的业务，坚果盾还提供高防IP产品作为补充方案——高防IP直接绑定源站，所有流量经过高防IP清洗后再回源，源站IP完全不暴露在公网。对于业务架构特殊、不适用CDN回源模式的场景，高防IP提供了另一种源站保护路径。
选型时，建议在测试阶段主动尝试子域名扫描和DNS历史查询，验证源站IP是否真的被完整隐藏。如果扫描结果中出现了源站的真实IP，说明隐藏机制存在漏洞。
五、源站保护的持续运维
源站保护不是一次性的配置，而是需要持续维护的过程。
定期检查子域名解析。 确保所有对外提供服务的子域名都接入了CDN，没有遗漏的直连入口。
监控源站入站流量。 在源站防火墙上记录所有入站连接，识别非清洗中心IP段的访问尝试。如果出现大量非白名单IP的连接尝试，说明源站IP可能已经暴露。
定期更换源站IP。 在高安全要求的场景中，可以定期更换源站IP，降低长期暴露的风险。更换时需要同步更新回源白名单和CDN配置，避免业务中断。
审计源站主动外连。 检查源站服务器的外连行为，确认没有向不可信的第三方服务暴露真实IP。对必要的第三方API调用，可以通过代理网关统一出口。
六、源站保护能力评估清单
| 评估维度 | 关键问题 | 合格标准参考 |
|---|---|---|
| 回源白名单 | 是否支持回源IP白名单？白名单是否随清洗中心自动更新？ | 支持白名单，IP段更新自动化 |
| 端口非标化 | 是否支持源站使用非标准端口？端口是否仅对清洗中心开放？ | 支持非标端口，端口访问受白名单控制 |
| 虚拟源站指纹 | 源站响应特征是否与CDN节点一致？是否支持指纹伪装？ | 支持指纹伪装，源站特征不可识别 |
| 持续运维 | 是否提供源站暴露检测？是否有暴露后的应急方案？ | 提供定期检测，有应急响应流程 |
七、结语
源站IP隐藏是高防CDN防护体系中最容易被忽视的环节，也是最致命的单点故障。回源白名单、端口非标化、虚拟源站指纹三层机制协同工作，才能构建完整的源站保护边界。坚果盾高防CDN的源站保护覆盖了回源白名单和端口配置，高防IP产品为特殊架构业务提供了补充方案。选型时不要只问“清洗带宽是多少T”，更要问“源站IP如何隐藏？暴露了怎么办？”这些细节，比防御峰值更能说明防护体系的真实可靠性。
