1 引言

 

在公开互联网（明网）环境中，网站服务器的真实IP地址是攻击者的首要目标。一旦源站IP暴露，服务器可能面临DDoS攻击、渗透入侵、服务劫持等严重安全威胁。隐藏源站IP已成为保障Web服务安全的基础措施之一。

 

本报告旨在提供一套完整、可落地的技术方案，帮助运维人员将源站IP隐藏在CDN或代理层之后，使攻击者难以直接定位服务器，从而显著提升网站的安全性和抗攻击能力。本报告仅讨论公开网络环境下的技术实践相关内容。

 

2 隐藏源站IP的核心方法

 

2.1 使用CDN服务隐藏IP

内容分发网络（CDN）是最常见且有效的隐藏源站IP的手段。通过CDN，用户请求首先到达CDN边缘节点，再由CDN节点回源获取数据，源站IP仅对CDN可见。以全球广泛使用的Cloudflare为例，操作步骤如下：

 

1. 注册并添加站点

      在Cloudflare官网注册账号，添加需要保护的域名（如example.com）。Cloudflare会自动扫描并导入现有的DNS记录。

2. 选择合适的套餐

      免费套餐已包含基础DDoS防护、CDN加速和SSL证书，足以满足大多数中小型站点的需求。

3. 更改域名服务器（NS）

      Cloudflare会分配两个新的NS地址（如alice.ns.cloudflare.com）。需要在域名注册商处将域名的NS记录修改为这两个地址，使DNS解析托管至Cloudflare。

4. 等待DNS生效

      NS变更通常需24-48小时全球生效。生效后，所有对example.com的访问都将先经过Cloudflare网络，源站IP不再直接暴露。

 

2.2 服务器端加固：仅允许CDN流量

 

即使接入CDN，如果源站仍接受来自任意IP的请求，攻击者可能通过扫描或历史DNS记录找到真实IP。因此必须在服务器上配置严格的访问控制。

 

2.2.1 防火墙白名单

 

仅允许CDN服务商的IP段访问源站的80（HTTP）和443（HTTPS）端口。Cloudflare的IP段可通过官方API获取，并配置iptables或firewalld实现。

 

示例（Linux iptables）：

 

```bash

# 获取Cloudflare IPv4地址段

for ip in $(curl -s https://www.cloudflare.com/ips-v4); do

    iptables -A INPUT -p tcp -s $ip --dport 80 -j ACCEPT

    iptables -A INPUT -p tcp -s $ip --dport 443 -j ACCEPT

done

# 拒绝其他IP访问

iptables -A INPUT -p tcp --dport 80 -j DROP

iptables -A INPUT -p tcp --dport 443 -j DROP

```

 

注意：操作前请确保已放行SSH端口（如22），避免远程连接中断。

 

2.2.2 Web服务器配置

 

在Nginx或Apache中禁止直接通过IP访问站点，可配置默认虚拟主机返回444（Nginx）或403（Apache）。

 

Nginx示例：

 

```nginx

server {

    listen 80 default_server;

    listen [::]:80 default_server;

    server_name _;

    return 444; # 直接关闭连接

}

```

 

2.2.3 获取真实客户端IP

 

使用CDN后，源站接收到的请求IP为CDN节点IP。可通过请求头X-Forwarded-For或CF-Connecting-IP（Cloudflare特有）获取真实客户端IP，在应用日志或安全策略中正确记录。

 

2.3 修复常见的IP泄露途径

 

2.3.1 禁止直接IP访问

 

如上文所述，配置默认虚拟主机拒绝所有直接IP请求，防止扫描工具通过IP直接访问网站内容。

 

2.3.2 邮件头信息泄露

 

如果网站使用本机发送邮件（如PHP的mail()函数），邮件头中可能包含源站IP。建议使用第三方邮件发送服务（如SendGrid、阿里云邮件推送），并关闭服务器的邮件发送功能。

 

2.3.3 DNS历史记录清理

 

使用在线工具（如SecurityTrails、ViewDNS）查询域名的历史DNS解析记录。若发现之前解析出真实IP，应联系主机提供商更换服务器IP，并确保新IP从未被公开解析。

 

2.3.4 避免在响应头中泄露服务器信息

 

检查并隐藏Web服务器版本、操作系统等信息，减少攻击者指纹识别的机会。

 

3 验证隐藏效果

 

配置完成后，需从外部验证源站IP是否成功隐藏。

 

3.1 在线检测工具

 

访问whatismyipaddress.com或ipip.net，输入域名，观察解析出的IP是否属于CDN服务商（如Cloudflare的104.16.0.0/12段）。

 

3.2 命令行检测

 

使用dig或nslookup检查域名解析结果：

 

```bash

dig +short example.com

```

 

输出应为CDN节点IP，而非源站真实IP。

 

3.3 Shodan扫描检测

 

在Shodan搜索引擎中搜索源站IP，查看是否有对应域名的服务信息。若未出现网站服务，或只显示CDN端口信息，则说明隐藏成功。

 

4 进阶方案：自建反向代理层

 

若因合规或控制需求不想使用第三方CDN，可自行搭建反向代理服务器。架构如下：

 

```

用户 → 反向代理服务器（公网IP） → 内部源站（仅内网IP）

```

 

· 代理服务器使用Nginx、HAProxy或Traefik等软件，部署在公网，配置SSL证书和访问规则。

· 源站服务器无公网IP或通过防火墙仅允许代理服务器的IP访问。

· 此方案需要额外一台服务器，但完全自主掌控，适合对数据隐私要求较高的场景。

 

5 总结

 

隐藏源站IP是提升Web服务安全性的基石，通过CDN、服务器防火墙和访问控制等手段，可以低成本、高效率地将真实服务器隐藏在后端。本报告提供的方法适用于各类公开网站，是防御DDoS攻击、防止服务器被直接渗透的有效措施。

 

值得注意的是，IP隐藏并非一劳永逸，需持续监控和更新策略，例如定期检查CDN IP段变更、清理历史泄露记录等。将IP隐藏作为整体安全体系的一部分，结合其他防护手段（如WAF、入侵检测），才能构建纵深防御，保障业务的持续稳定运行。

此文章仅供参考，具体方案还需进一步验证实验