一个网站接入高防IP之后，攻击者发动DDoS攻击，打的是高防的IP，不是你的服务器IP。攻击流量在高防节点被清洗过滤，干净流量才转发回源站。攻击者持续打，打的始终是那块“盾牌”。但这里有一个前提：攻击者不知道你的源站IP。如果源站IP泄露了，高防就形同虚设。攻击者直接绕过高防，把流量打到源站上，清洗中心根本来不及介入。所以“隐藏源站IP”不是高防的一个附属功能，而是高防能够成立的逻辑起点。

　　代理架构：让源站从公网上“消失”

　　高防IP隐藏源站的核心机制是反向代理。

　　在接入高防之前，你的域名直接解析到源站IP。用户访问域名，DNS返回源站IP，浏览器直接连到源站。攻击者只要查一下DNS记录，就知道打哪里。

　　接入高防之后，DNS解析的目标变了。域名不再指向源站IP，而是指向高防服务商提供的一个CNAME地址(或者直接指向高防IP)。用户访问域名时，DNS返回的是高防节点的IP，不是源站的IP。

　　浏览器拿到高防IP，把请求发给高防节点。高防节点接收请求，做三件事：检测流量、清洗恶意流量、把正常流量转发给源站。

　　在这个架构里，源站的角色发生了变化。它不再直接面向公网提供服务，而是只接受来自高防节点的回源流量。源站上的80/443端口，理想状态下只允许高防节点的IP访问，其他所有来源的连接请求都应该被拒绝。

　　从攻击者的视角看，他拿到的是高防IP。他打这个IP，打的是高防的清洗集群。真正的源站在高防集群的后面，不直接暴露在公网上。攻击者“看到”的那个IP，和高防后面的那台服务器，之间隔了一层代理层。

　　流量清洗与回源：合法流量才放行

　　高防节点不只是“转发”。它要先判断进来的流量是正常的还是恶意的。

　　清洗中心会分析每个数据包的特征：来源IP的信誉、请求频率、协议合规性、payload模式。正常的HTTP请求放行，异常的流量——比如SYN Flood的伪造源IP、UDP反射攻击的超大包、HTTP Flood的异常高频请求——被丢弃。

　　清洗后的“干净”流量，高防节点通过端口转发的方式回源给服务器。回源的目标可以是源站的IP，也可以是一个域名(域名回源在某些场景下更安全，因为域名可以解析到内网地址或者只对高防可见的地址)。

　　这个“清洗再回源”的过程，对用户是完全透明的。用户感受到的是正常的访问体验，但数据包实际上经过了高防节点的中转和过滤。

　　源站IP是怎么“漏”出去的

　　高防的隐藏机制在架构层面是有效的。但实际运维中，源站IP泄露是高防被绕过的最常见原因。

　　泄露的渠道多得超出很多人的预期。

　　DNS历史记录是最经典的泄露源。一个域名在接入高防之前，如果曾经直接解析到源站IP，很多公开的DNS历史查询平台会永久保存这条记录。攻击者查一下历史解析，源站IP就出来了。即使你后来改了DNS解析，历史记录不会消失。

　　邮件头信息是另一个容易被忽略的渠道。如果源站服务器同时承担发送邮件的功能(比如网站表单通知、订单确认邮件)，邮件报文的头部会携带服务器的真实出口IP。攻击者注册一个账号触发验证邮件，解析一下邮件源码，就能提取到源站IP。

　　子域名是很多站长的盲区。主域名接入了高防，但mail.example.com、test.example.com、dev.example.com这些子域名可能还直接解析到源站。攻击者扫一遍子域名列表，找到没接高防的那个，源站IP就暴露了。

　　SSL证书透明度日志也是泄露渠道。使用Let‘s Encrypt等免费证书时，域名和IP的绑定关系会被记录到公开的CT日志中。攻击者用crt.sh或Censys查询域名关联的IP，就可能找到源站地址。

　　还有网站源码中的直链。如果网页里的图片、CSS、JS文件直接用源站IP的URL引用，而不是走域名，攻击者右键查看源码就能看到源站IP。

　　这些泄露渠道的共同点是：它们不依赖于攻击者有什么高级技术，只需要耐心和几个公开工具。

　　源站防护的正确姿势

　　高防隐藏源站的效果，取决于源站自身的“收敛”程度。

　　第一，源站防火墙必须只放行高防回源IP段。 这是最基础也最重要的一步。源站的80/443端口不应该对全网开放。在安全组或者iptables里配置一条规则：只允许高防服务商公布的回源IP段访问，其他全部DROP。这样即使源站IP泄露了，攻击者从自己的机器发起的连接也会被拒绝。

　　第二，全面排查子域名和残留解析。 每一个子域名都要确认：它是否接入了高防?如果某个子域名不需要对外提供服务，直接删除DNS记录。如果某个子域名确实需要独立访问，也要确保它走的是高防路径，而不是直连源站。

　　第三，处理邮件发送的IP泄露。 如果源站需要发送邮件，不要把邮件发送功能放在源站服务器上。用第三方SMTP服务，或者单独用一台不承载Web服务的服务器发邮件。这样邮件头里暴露的IP和源站IP是分离的。

　　第四，如果源站IP已经泄露，换IP是唯一根治手段。 历史DNS记录、缓存、第三方日志里的旧IP，你无法逐一删除。继续用那个已经暴露的IP，攻击者随时可以绕过高防。最稳妥的做法是：源站换一个新的公网IP，旧IP直接弃用。

　　高防IP的“盾牌”逻辑是成立的，但它有一个前提条件：源站必须真的藏在盾牌后面。如果源站自己从侧门跑了出来，盾牌再厚也没有意义。

　　常见问答

　　问：接入高防后，源站IP是不是就绝对安全了?

　　不是。高防隐藏的是“通过域名访问”这条路径上的源站IP。但源站IP可以通过DNS历史记录、邮件头、子域名、SSL证书日志等多种渠道泄露。高防是流量层的防护，源站IP的保密需要运维层面的系统配合。最关键的防线是源站防火墙只放行高防回源IP，这样即使IP泄露，攻击者也无法从源站直接发起连接。

　　问：为什么我的源站防火墙已经限制了IP，还是被打垮了?

　　检查一下限制规则是否生效。用一台不在白名单里的机器，telnet源站的80端口，如果能连上，说明限制没有正确配置。另一个可能是：攻击者没有直接打源站，而是打了你的高防IP，高防的清洗能力不足以吸收攻击流量，清洗中心过载导致回源链路也受影响。这种情况需要升级高防的防护带宽，而不是源站配置的问题。

　　问：域名回源和IP回源哪个更安全?

　　域名回源在隐藏源站方面略有优势。如果高防节点通过域名回源，而这个域名解析到的是一个内网地址或者只对高防网络可见的地址，那么即使攻击者抓包看到回源流量，也拿不到源站的公网IP。IP回源意味着高防节点直接拿源站公网IP去连接，这个IP在高防的配置里是明文存在的。但两者的安全性差距并不大，核心还是源站防火墙的限制是否到位。

　　问：我把主域名接入高防了，子域名也一定要接入吗?

　　是的。子域名是源站IP泄露最常见的渠道之一。攻击者不需要攻破你的主站，他只需要扫一遍你的子域名列表，找到那个没有接高防的test或者dev子域名，就能拿到源站IP。然后他打的是源站IP，高防完全不起作用。要么把所有子域名都接入高防，要么确认某个子域名确实不需要对外服务，把它的DNS记录删掉。

　　问：源站IP已经泄露了，换高防服务商有用吗?

　　没用。换高防服务商不会改变源站IP。攻击者已经拿到了你的源站IP，你换哪家高防，他都可以绕过去直接打源站。正确的做法是更换源站的公网IP。新IP不暴露在任何历史记录里，旧IP弃用。然后排查所有可能的泄露渠道，确保新IP不会再次泄露。