Yun.Black高级技术工程师可为您解决网站问题处理、代搭建等各种疑难杂症。
高防接入后的源站保护：为什么真实 IP 不能暴露
发布时间：6小时前
阅读量：2
引言
花了钱接高防，攻击却直达源站——九成是因为攻击者拿到了你的真实 IP，绕过高防直接打源。源站保护是高防方案里最容易被忽略的一环。
一、真实 IP 的常见泄露途径
① 历史解析记录：接高防前直接解析到源站的历史 IP，查 DNS 历史记录就能挖到；② 子域旁路：mail.test.com 或某个测试子域还直接指向源站；③ 邮件头：服务器直接对外发信，对方收到的邮件头里有源 IP；④ SSL 证书透明度日志：证书里绑定的 IP 关联信息；⑤ 错误页面/探针文件：phpinfo、探针脚本暴露服务器信息。
二、源站白名单的正确配置
核心原则：源站防火墙只允许高防节点的回源 IP 段访问业务端口，其余全部拒绝。这样即使真实 IP 泄露，攻击流量到不了源站。注意三层都要收：云平台安全组、系统防火墙、应用层（nginx allow/deny）。改完务必留一个 VNC/带外通道防止把自己锁死。
三、日常检查
定期用 DNS 历史工具查自己的域名，看有没有残留直连记录；子域全面盘点；服务器对外发信走邮件代理而不是本机直发。
总结
高防的价值等于源站保护的强度。回源白名单配好、历史解析清干净、子域别旁路——这三件事做完，攻击流量才真正只能在门外转圈。
