网站接入代理或 CDN 后，访客请求可以先到边缘节点，再由边缘节点转发至服务器。要做好源站IP隐藏与回源链路配置，关键不只是打开代理开关，还要限制谁能直连源站，并确认转发过程中的域名、协议和证书设置正确。
先理解请求经过哪里
常见链路是“访客—CDN 或反向代理—源站”。访客访问公开域名，代理服务接收请求，再按配置连接源站。若源站的 80、443 端口仍对所有地址开放，攻击者一旦从旧 DNS 记录、邮件配置或历史信息中发现 IP，便可能绕过代理直接访问。
隐藏并不等于 IP 永远不可发现。目标是减少公开线索，并让发现 IP 的人也无法轻易绕过代理。源站IP隐藏与回源链路配置还要兼顾正常运维，例如健康检查、证书续期和管理连接。
按顺序搭建回源链路
- 确认代理模式。在 CDN 或反向代理控制台添加站点，检查 DNS 是否指向代理提供的目标。确认代理已启用；仅把域名解析到代理但未开启代理功能，可能仍会暴露源站地址。
- 设置回源地址。填写源站 IP 或专用回源域名，并核对回源端口、HTTP 或 HTTPS 协议，以及请求中的 Host 域名。源站依赖域名匹配站点时，Host 配错可能返回错误页面。
- 配置加密与证书。访客到代理、代理到源站是两段连接，应分别确认是否使用 HTTPS。若源站证书按域名签发，回源时需使用与证书匹配的主机名和 SNI；不要为了临时排错长期关闭证书校验。
- 限制源站入站访问。在云防火墙或主机防火墙中，将网站端口的来源限制为代理服务公布的回源地址范围；SSH 等管理端口只允许必要的管理网络访问。地址范围应以服务商当前文档为准，并在其变更时同步更新。
- 增加回源校验。如服务支持，可使用专用请求头密钥或双向 TLS 等方式验证回源请求。密钥不要放进前端代码、公开仓库或普通页面日志；更换密钥时要协调代理与源站配置。
- 检查残留记录。查看 DNS 中的 A、AAAA 记录及旧子域名，确认测试站、管理站等是否意外暴露同一源站。邮件服务可能需要独立 DNS 记录，不能为了隐藏网站 IP 而随意删除 MX 等必要配置。
配置后怎么验收
分别测试代理访问和直连
先通过正式域名访问页面，并检查证书、跳转、图片和登录等关键功能。再从外部网络尝试访问源站 IP：如果防火墙规则已生效，网站端口通常应拒绝连接或无法获得站点内容。不要只看首页，动态接口、上传入口和其他公开端口也要检查。
保留故障排查能力
查看代理侧的回源错误、超时和状态码，同时检查源站访问日志，确认请求确实来自预期代理。若出现 403、证书错误或连接超时，依次核对来源白名单、回源 Host、TLS/SNI、端口及源站虚拟主机配置。不要因为排障就长期恢复“所有来源均可访问”。
DNS 缓存和旧记录可能让地址在一段时间内仍可见，具体时长取决于记录的 TTL 和递归解析器缓存。若源站 IP 已经公开，单纯修改域名记录未必足够；可评估更换地址，并在切换完成后更新代理回源、防火墙和运维配置。做好源站IP隐藏与回源链路配置，本质上是让公开入口和源站访问权限分离。
常见问题
接入 CDN 后，源站 IP 就一定隐藏了吗？
不一定。旧 DNS 记录、未代理的子域名、邮件服务配置或公开资料都可能泄露线索，因此还需检查记录并限制源站访问。
防火墙白名单该填哪些地址？
填写所用代理服务公布的回源地址范围，并关注其更新通知。不要凭经验填写单个地址，以免漏掉节点或造成回源中断。
回源必须使用 HTTPS 吗？
并非所有架构都强制要求，但 HTTPS 可加密代理到源站之间的传输。是否启用应结合服务支持、证书配置和数据敏感程度决定。
源站 IP 已经泄露怎么办？
先收紧网站端口的来源范围，再检查 DNS 和其他暴露入口。若无法确认旧地址是否仍被利用，可评估更换源站 IP，并同步更新所有回源配置。