源站隐藏实战：规避裸 IP 被直接攻击的完整方案

源站隐藏的必要性

公开源站IP会导致DDoS攻击、CC攻击、恶意扫描等风险。通过隐藏源站IP，可有效降低被直接攻击的概率，提升业务稳定性。

方案一：使用CDN或高防IP代理

将域名解析至CDN或高防IP，源站IP仅与代理节点通信。

• 配置CDN（如Cloudflare、阿里云CDN）：将域名CNAME指向CDN提供的地址，源站IP设置为白名单仅允许CDN回源。
• 高防IP（如腾讯云高防IP）：接入高防后，业务流量通过高防IP转发，源站IP完全隐藏。

方案二：反向代理架构

通过Nginx/HAProxy等反向代理服务器转发请求，源站IP不暴露在公网。

• 代理服务器配置示例（Nginx）：

  server {
      listen 80;
      server_name proxy.example.com;
      location / {
          proxy_pass http://源站内网IP:端口;
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
      }
  }

• 源站防火墙仅允许代理服务器IP访问。

方案三：IP白名单限制

在源站防火墙或安全组中设置严格的IP白名单，仅允许可信IP（如CDN节点、企业办公网）访问。

• 云服务器安全组示例（阿里云）：仅放行CDN回源IP段和高防IP段。
• 结合动态白名单工具（如Fail2ban）自动封禁异常请求。

方案四：域名解析隔离

• 业务域名与源站域名分离：业务域名解析至CDN，源站使用独立域名且不公开解析记录。
• 源站域名通过DNS私有解析或Hosts文件绑定，仅限内部系统使用。

方案五：协议与端口混淆

• 修改源站默认端口：将HTTP/HTTPS服务端口从80/443改为非常用端口（如30000+）。
• 使用非标准协议：如WebSocket协议代理HTTP请求，增加攻击者探测难度。

方案六：云厂商私有化方案

• 阿里云PrivateLink/AWS PrivateLink：通过私有网络连接源站与代理服务，避免公网暴露。
• 腾讯云CLB内网型负载均衡：源站仅与内网CLB通信，公网流量由CLB处理。

注意事项

1. 定期检查泄露风险：通过工具（如Shodan）扫描确认源站IP是否被暴露。
2. 冗余备份：代理层需多节点部署，避免单点故障导致业务中断。
3. 日志监控：分析代理层日志，及时发现异常访问行为。

通过综合应用上述方案，可大幅降低源站IP暴露风险，结合安全组、WAF等防护措施构建多层次防御体系。