源站 IP 暴露风险及隐藏方法，关键不在于“藏掉一条地址”，而在于让公网请求只能经过代理或边缘节点，再由源站防火墙拒绝其他入口。只改 DNS 而不限制源站入站流量，别人仍可能绕过代理，直接访问真实服务器。
先盘点所有能暴露源站的入口
操作前列出域名、子域名、服务器地址和对外开放端口。检查 DNS 中的 A、AAAA 记录及未经过代理的记录；还要留意测试、旧版和管理子域名。邮件的 MX 记录通常指向邮件服务，不能为了隐藏网站源站而随意改动，但若邮件服务器与网站共用地址，这个地址也可能暴露。
查询 DNS 历史记录或检查旧配置，有助于发现曾公开过的 IP。历史数据不一定完整，但只要旧 IP 仍在线且接受网站请求，就可能成为绕过入口。不要把主机名、证书或一次 DNS 查询当作“绝对没有泄露”的证明。
按顺序配置：从 DNS 到防火墙
- 选定代理入口。使用支持反向代理的边缘服务，让访客连接边缘节点，由其转发 HTTP、HTTPS 请求到源站。以 Amazon CloudFront 为例，需正确设置源站地址、协议和主机头；采用其他服务时也要确认其源站回源方式及地址范围。
- 调整公开 DNS。将网站域名指向代理服务要求的目标，并确认相关记录确实处于代理状态。检查所有可访问网站的子域名；若某条记录仍直接解析到源站，应改为经过代理或删除不再使用的记录。DNS 变更的生效时间受记录 TTL 和递归解析缓存影响，切换后应从不同网络复查解析结果。
- 设置源站 HTTPS。配置边缘到源站的加密连接，并验证源站证书与主机名匹配。不要为了排错长期改成明文回源或关闭证书校验。用户到边缘、边缘到源站是两段连接，两段都应按实际部署配置加密。
- 收紧防火墙。在云平台安全组或主机防火墙中，只允许代理服务公布的回源地址访问网站端口，其他公网来源一律拒绝。AWS 用户可检查所在区域是否支持 CloudFront 的源站专用托管前缀列表；若使用其他平台，应从服务商官方文档取得并维护最新地址范围，不要抄用过期列表。
- 隔离管理入口。SSH、远程桌面、数据库等端口不应对所有公网地址开放。优先通过 VPN 或受控的固定出口地址访问；网站代理地址范围不应被误当成管理员白名单。
- 处理已泄露的旧地址。若旧 IP 曾公开且仍可访问，应评估更换源站地址，更新代理回源配置和 DNS，确认业务正常后停止旧主机或关闭其公网访问。仅删除 DNS 记录不能让已被记录的旧地址失效。
验证是否真的只能经代理访问
从不在管理员白名单内的外部网络测试：域名应能正常打开，直接访问源站 IP 则应被防火墙拒绝或无法建立连接。再检查 IPv6 是否存在未设防的监听地址，避免只限制 IPv4；核对网站相关子域名和旧记录是否仍解析到源站。验证时不要只看首页，也要确认实际承载网站的其他端口和后台入口。
防火墙只允许代理地址，仍不等于请求一定来自你自己的代理配置：部分边缘网络地址可能由多个客户共用。可在源站进一步验证专用回源凭据或客户端证书，并用 WAF 过滤常见恶意请求。保护效果取决于代理服务能力、规则更新和源站配置，需持续检查访问日志与规则变更。
常见问题
只把 DNS 改成代理记录够吗？
不够。只要源站仍接受任意公网连接，攻击者知道 IP 后仍可绕过代理。DNS 和防火墙必须配套。
开启 WAF 就能隐藏源站吗？
不能。WAF 可过滤部分请求，但若源站 IP 可直接访问，WAF 未必能拦截绕过边缘服务的流量。隐藏地址要靠代理配置和源站访问控制共同完成。
邮件服务器也要走网站代理吗？
通常不应把邮件协议简单接入只代理网站流量的服务。应单独评估邮件服务的 DNS 记录和防火墙规则，避免改坏收发邮件配置。
源站 IP 暴露风险及隐藏方法最容易漏哪一步？
常见遗漏是遗留子域名、旧 IP 或 IPv6 入口，以及管理端口仍向全网开放。完成配置后，应定期复核 DNS、入站规则和旧主机状态。
