香港高防服务器的核心防护逻辑，是把所有攻击流量先引到高防IP或者高防节点上进行清洗，再把干净流量回源到你的真实服务器。但如果攻击者拿到了你的源站IP，直接往那个IP上灌流量，高防节点根本来不及拦截，源站带宽被打满、触发黑洞机制只是时间问题。这篇文章把为什么要藏、怎么藏、藏完还要注意啥，一次性给你讲透。

　　一、为什么源站IP必须藏?三个理由够不够

　　1. 高防IP只保“门面”，不保“后院”

　　高防IP的原理是在你的源站前面立一道墙，所有访问先过墙，墙把攻击流量滤掉，再把正常请求放行到源站。这套机制生效的前提是：所有流量都必须经过这道墙。

　　一旦源站IP暴露，攻击者可以直接往源站IP发包，高防IP的清洗能力再强也用不上。更麻烦的是，香港带宽本来就贵，一般高防套餐的保底带宽就那么多，攻击流量一上来，带宽直接被占满，正常用户进不来，网站直接趴窝。

　　2. 源站IP暴露的渠道比你想象的多

　　好多站长一脸无辜：“我从来没公开过服务器IP啊，怎么会暴露?”实际情况是，暴露源站IP的渠道多到你想不到：

• 邮件头泄露：只要服务器上发过邮件，邮件头里就带着源站IP
• 子域名没藏好：主域名走了高防，但test.xxx.com或者mail.xxx.com还在裸奔，攻击者扫一下子域名就找到真实IP了
• 代码里的info信息：PHP的phpinfo()函数、某些框架的报错页面，都可能把服务器IP吐出来
• DNS历史记录：很多域名在接入高防之前有A记录解析到源站IP，DNS历史查询网站一查就露馅

　　3. 不藏源站，相当于把命门交给对手

　　香港服务器虽然免备案、速度快，但香港本地带宽资源有限，抗D能力普遍不如国内。一旦源站被精准打击，服务商会直接触发黑洞封堵(黑洞就是把你这台服务器的所有流量全部丢弃，防止影响同机房的其它机器)，黑洞时间最短也得半小时起步。

　　所以，买了高防之后第一件事，就是确保没有人能直接找到你家服务器在哪儿。

　　二、隐藏源站IP的完整配置方案

　　下面这套方案从最基础的CDN隐藏到源站加固，按顺序来。

　　第一步：用CDN/高防IP把入口挡住

　　这是最核心的一步。原理很简单：把域名的DNS解析指向CDN或者高防IP提供的CNAME地址，用户访问你的网站时，DNS返回的是CDN节点的IP，而不是你服务器的真实IP。

　　操作流程(以通用DNS配置为例)：

1. 在DNS管理后台，把域名的A记录删掉(注意是删掉，不是修改)
2. 新增一条CNAME记录，主机记录填@(代表主域名)或www，记录值填CDN/高防服务商给你的加速域名，比如xxx.cdn.cloud.com
3. 检查所有子域名——mail、test、api、img这些，一律改成CNAME走CDN，一个都不能漏

　　配置完后，用dig或nslookup检查：

dig yourdomain.com

　　如果返回的IP地址是CDN服务商的，不是你家服务器的，说明第一步搞定了。

　　第二步：源站防火墙只放行CDN回源IP

　　DNS藏好了还不够，源站服务器得把门锁上——只允许CDN节点访问你的服务器，其他IP一律挡在外面。

　　每个CDN/高防服务商都会公布自己的回源IP段，去官网文档里找。拿到IP段之后，在服务器上配置防火墙规则。

　　用iptables配置(以只允许某个IP段访问80和443端口为例)：

# 先清空原有规则（谨慎操作）
iptables -F

# 允许CDN回源IP段访问80和443
iptables -A INPUT -p tcp --dport 80 -s 回源IP段/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -s 回源IP段/24 -j ACCEPT

# 允许SSH（改成你自己的管理IP段，别把自己锁外面）
iptables -A INPUT -p tcp --dport 22 -s 你的管理IP -j ACCEPT

# 默认拒绝所有
iptables -P INPUT DROP

　　保存规则(CentOS/RHEL)：

service iptables save

　　或者用云服务商的安全组：在控制台里配置，只允许高防回源IP段入站，效果一样，操作更安全(至少不会因为手滑把自己踢出去)。

　　第三步：Nginx加固，禁止IP直接访问

　　就算源站IP被扫描到了，也不能让它能直接访问到网站内容。配置Nginx的默认server块，所有不走你域名的请求直接拒掉。

# 默认server块——谁用IP访问或者用不认识的域名访问，一律关掉
server {
    listen 80 default_server;
    listen 443 ssl default_server;
    server_name _;
    
    # 直接返回444（Nginx特有的状态码，直接断开连接不回复）
    return 444;
    
    # 或者返回一个假的证书信息，让扫描器以为这是个空IP
}

　　把你真正的网站配置写在另一个server块里，server_name必须匹配你的域名。

　　第四步：关掉ICMP响应，别让人ping到

　　攻防里，ping是最基础的探测手段。把ICMP响应关掉，至少让攻击者少一条路径。

　　临时生效：

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

　　永久生效(写到sysctl配置里)：

echo "net.ipv4.icmp_echo_ignore_all = 1" >> /etc/sysctl.conf
sysctl -p

　　第五步(可选)：回源鉴权加一道保险

　　如果业务敏感，可以在CDN回源的时候加一个自定义请求头作为“钥匙”，源站Nginx校验这个头，不对就直接403。

　　1. CDN侧配置：

　　在回源配置里添加自定义Header，比如X-Auth-Key: 你设置的复杂字符串。

　　2. Nginx侧校验：

server {
    listen 443 ssl;
    server_name yourdomain.com;
    
    # 校验回源鉴权头
    if ($http_x_auth_key != "你设置的复杂字符串") {
        return 403;
    }
    
    # 正常业务配置...
}

　　三、配置完之后还要注意什么

　　1. 确认CDN获取真实访客IP。源站日志里如果全是CDN节点的IP，你就看不到真实访客来源了。需要在CDN控制台开启“传递真实访客IP”功能，然后在Nginx里配置日志格式，用X-Forwarded-For或X-Real-IP记录真实IP。

　　2. 定期自查有没有“漏网之鱼”。用站长工具这类平台，从不同地区ping你的域名，看解析结果是不是全是CDN的IP。检查DNS历史记录，确保接入高防之前的老解析记录已经彻底失效。

　　3. 邮件服务器单独处理。如果业务需要发邮件，别在源站上直接发。邮件头会泄露IP，建议用第三方邮件发送服务(比如SendCloud、阿里云邮件推送)来发，源站完全不碰SMTP服务。

　　四、如果源站IP已经暴露了怎么办

　　如果怀疑或者确认源站IP已经暴露，别慌，按下面流程走：

　　1. 先排查暴露原因：检查服务器有没有被种后门、DNS里还有没有解析到源站的记录、源码里有没有泄露IP

　　2. 换源站IP：确定原因排除后，找服务商申请更换服务器IP

　　3. 换完后重新走一遍上面的配置流程

　　4. 如果换不了IP：在源站前面再加一层负载均衡(SLB)，让攻击流量打SLB而不是直接打源站。架构是：客户端→高防IP→SLB→源站。这样就算源站IP被黑洞，高防IP仍然可以通过SLB访问到源站

　　最后说几句，隐藏源站IP这件事，说简单也简单，就是DNS配置加防火墙白名单；说复杂也复杂，因为暴露渠道太多了，漏掉一个就白忙活。关键不是做了没有，而是做没做彻底。买香港高防服务器的钱都花了，别因为源站IP没藏好，让高防变成摆设。按上面这套流程走一遍，至少能挡住90%以上的精准打击。剩下的10%，那就靠平时多检查、勤更新了。