网站接入CDN或更换服务器时，必须先把源站IP地址隐藏好，再修改解析记录。 这个顺序一旦颠倒，DNS缓存生效前的那段时间，攻击者能轻松拿到你的真实服务器地址，后续防护措施全部白费。
为什么说隐藏源站地址和改解析记录有严格先后顺序
改解析这件事,不是你在域名后台点一下“确定”就立刻全局生效的，DNS系统里有TTL（生存时间）这个概念，它告诉全球各地的递归DNS服务器，一条记录可以缓存多久，比如你把解析从源站IP切到CDN的CNAME，但原来的A记录还在各地DNS缓存里存活，这个窗口期短则几分钟，长则几小时甚至一天。
关键是,这个缓存窗口期里，老记录还在被大量请求命中，根据DNS服务商的统计，近年来的TTL默认值普遍在600秒到86400秒之间，多数站长并没有提前调低TTL的习惯，结果就是：你在后台改了解析，但很多地区依然用旧缓存访问源站，此时如果源站没做任何隐藏措施，谁拿着老记录都能直连你的服务器。
行业内称之为“解析切换暴露期”，业内专家指出，相当一部分网站被绕过CDN攻击，漏洞就出在这段新旧记录交替的时间窗口上。
隐藏源站IP和改解析的顺序，本质上是在抢时间
先说结论：先让源站从公网“隐身”，再把解析切过去，顺序不能反，原因如下：
- 改解析后,旧A记录不会立刻消失，而是按TTL倒计时逐步过期，过期前，源站IP对全网依然可见。
- 一旦流量已经切到CDN,但源站IP还在公网裸奔，攻击者用历史解析记录或TCP抓包就能定位真实IP，然后直接打源站。
- 先隐藏源站,意味着即使旧缓存还在传播，拿到IP的人也连不上源站的端口，所有请求被防火墙挡在门外。
所以问题的核心不是“改不改解析”，而是“改解析之后，那个旧IP还能不能被访问”，能访问，你就没藏住；不能访问，才算真正安全。
源站IP隐藏方法：上防火墙白名单是最稳妥的一步
隐藏源站IP不是把解析记录删了那么简单,实践中需要一套组合操作，适用场景包括：网站刚开始接入CDN、准备换服务器迁移机房、或者怀疑源站IP已经泄露。
第一步：确认CDN服务商的回源IP段
绝大多数主流CDN厂商,比如简米云、酷番云、Cloudflare，都会在官方文档里公开回源IP段列表，你需要找到自己用的那家，把对应区域的IP段整理出来，注意，不同CDN节点、不同加速类型，回源IP段可能不同，别混用。
操作路径：登录CDN控制台，找到“回源配置”或“回源IP列表”页面，复制完整IP段，如果服务商提供了JSON或TXT格式的列表，直接下载保存。
第二步：在源站配置防火墙白名单，只放行CDN回源IP
这是整套操作里最关键的动作,先在源站防火墙上关闭对所有公网的HTTP/HTTPS访问，然后只允许CDN回源IP段访问80和443端口。
以Linux服务器上的iptables为例,规则大致长这样：
- 先建立新链,比如叫CDN_CHAIN
- 放行来自CDN回源IP段的TCP 80/443请求
- 默认策略设为DROP,拒绝所有其他公网IP的80/443访问
如果用的是云厂商的安全组,操作更直观：在安全组入方向规则里，把源地址设为CDN回源IP段，协议端口写TCP 80/443，策略选“允许”，再单独加一条拒绝所有来源的TCP 80/443规则，优先级放在后面。
做完这步后,你自己先测试一下：在本地电脑直接访问源站IP，应该超时或拒绝连接；再从一台没有CDN的机器上curl源站IP，同样无法访问，只有CDN节点能正常回源拉到内容。
第三步：确认CDN回源正常后再动解析记录
防火墙白名单生效后,回到CDN控制台，刷新一下缓存或者强制回源，看回源状态码是不是200，确认源站数据能正常通过CDN拉取后，才算做好改解析的准备。
操作路径：CDN控制台 -> 刷新预热 -> URL刷新，输入首页地址，等待刷新完成，观察回源日志。
第四步：修改解析记录，把A记录换成CDN的CNAME
现在才轮到改解析,不同CDN要求的接入方式不同，但绝大多数国内CDN支持CNAME接入，操作路径：域名DNS服务商后台 -> 解析设置 -> 添加记录。
- 记录类型选择CNAME
- 主机记录填你要加速的域名前缀,比如www、@ 或者具体子域名
- 记录值填CDN控制台分配的CNAME地址
注意一个细节：如果你之前用的是A记录直连源站IP，改解析时先把TTL调小，半小时到一小时左右比较合适，虽然这一步对已经隐藏的源站来说不是决定性的，但能加快解析生效速度，减少新老记录交替的时间。
第五步：观察回源日志，确认没有漏网之鱼
改完解析后别急着收工,等流量逐步切换到CDN后，去源站看访问日志，确认进来的请求全部来自CDN节点的IP，而不是各种杂乱的客户端IP。
具体检查方法：
- 在源站执行命令,查看最近一小时的连接来源IP
- 对比CDN官方公布的回源IP段,看是否有非回源IP段的请求
- 如果有直连请求,检查是否某些海外节点用的回源IP段没加进白名单
改解析记录注意事项：这几类场景最容易忽略源站泄露
很多人以为解析记录一改就万事大吉,源站IP泄露的渠道远不止DNS记录一条，做隐藏操作时，下面这些情况也要同步处理。
邮件服务器泄露源站IP
如果你的域名有企业邮箱,而且MX记录对应的邮件服务器和网站源站共用同一台机器，那么邮件头的“Received”字段会直接暴露源站IP，处理办法是给邮件服务器单独划分一个出口IP，别和Web源站混在一起，或者在防火墙里也限制邮件端口只允许邮件服务商IP访问。
历史DNS解析记录泄露
DNS历史记录查询平台,比如SecurityTrails、DNSdumpster，能查到域名过去绑定过的所有IP，也就是说，哪怕你现在把解析改了、防火墙封了，历史数据里依然可能保留老的源站IP，这种情况没法彻底抹掉，但只要你把白名单配上，拿到旧IP的人也访问不进来。
SSL证书信息间接泄露源站
证书透明度（Certificate Transparency）日志系统记录了每一张SSL证书的签发信息，如果你在证书申请时用的是源站IP或包含源站信息的域名变体，别人通过证书日志就能反查出你绑定的IP，建议证书申请时使用CDN分配的域名或独立的内部标识，避免在证书字段里暴露网络架构信息。
子域名记录的“猪队友”效应
只改了主域名解析远远不够,test.你的域名.com、old.你的域名.com、dev.你的域名.com 这类长期不用的子域名，一旦也解析到了源站IP，等于自己把后门打开，改解析记录前，把全部子域名排查一遍，凡是解析到源站的子域名全部删除或改成CDN的CNAME。
隐藏源站时，直接禁Ping和禁IP访问是不是必要操作
这两个操作不是必须的,但做了更保险。
禁Ping不会影响CDN回源,因为回源请求走的是TCP端口，不是ICMP协议，但禁Ping能避免别人通过Ping探测IP存活状态，间接确认源站，操作方式因云厂商而异，部分厂商单独提供“允许Ping”的开关，关掉即可；自建机房则要自己控制防火墙规则。
禁用IP访问则更彻底,直接在Web服务器配置里让“通过IP直接访问”返回403，这样即使有人拿到了源站IP，用浏览器访问也只会看到错误页，无法判断这是不是一个Web服务器。
操作路径（Nginx为例）：在server块里加一个default_server配置，返回444或403；Apache则通过VirtualHost的默认站点配置实现。
这两步做完,配合上防火墙白名单，你的源站才算真正“暗”下来了。
网站换服务器时怎么防止源站IP泄露，重点看迁移流程
换服务器是源站IP泄露的高发期,老服务器下线前的那段时间，新旧设备同时在线，如果没做好衔接，老IP还在跑流量，新IP又暴露在公网，等于开了两个口子。
完整迁移顺序建议是：
- 先在新服务器上部署好全部环境,把老服务器数据同步过去
- 新服务器启用同样的防火墙白名单规则,只放行CDN回源IP段
- 在CDN控制台把回源地址从老IP改成新IP
- 回源成功后,再把域名解析彻底切过去
- 确认新服务器稳定运行几天后,再缩容老服务器
这套流程里没有“改DNS记录”这一步，因为回源地址是CDN层面控制的，你只要在CDN控制台改回源配置就行，源站IP对外一直处于隐藏状态，只有当回源地址和解析记录挂在同一个IP上时，才需要额外操作解析，多数情况下，CDN回源模式比直接把域名解析到服务器更安全，因为源站IP在CDN内部流转，公网解析记录里根本看不到真实地址。
常见问题解答
源站IP已经泄露了，再改解析还能补救吗？
能补救,但要做的事不止改解析，先把防火墙白名单配上，只允许CDN回源IP访问，封禁其余所有来源的80/443请求，再改解析记录，改完后去历史DNS记录平台查一下泄露范围，如果IP还在被扫描，考虑更换源站IP并重新配置回源。
只做防火墙白名单不换IP，能不能彻底隐藏源站？
如果IP没有大面积泄露过,只做白名单就足够了，IP本身只是一个数字标识，只要别人连不上你的端口，这个IP就没有实际利用价值，但如果IP已经出现在大量扫描器的数据库中，还是建议换掉，因为防火墙规则面对持续变种的扫描工具，总有配置遗漏的风险。
换了服务器之后，旧的解析记录一直不删会怎么样？
不删的话,旧IP会持续成为攻击靶子，攻击者扫描到旧IP，发现开放了Web端口，就会尝试各种漏洞利用，旧服务器若还在你手里，就把Web服务停掉，让该IP只剩一个关闭的80/443端口；如果不在了，联系服务商做IP封禁处理。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/653310.html
