换高防IP源站还是被打，问题几乎都出在源站IP暴露或回源策略留有后门，高防IP只是盾牌，你得把藏盾牌的人找出来。
先别急着怪服务商,你换了高防IP，攻击流量照样精准砸到源站，说明攻击者早就拿到了你的真实IP，这就像你换了防盗门，但窗户一直敞着，贼当然从窗户进。
为什么换了高防IP源站还是会被打？先查源站IP怎么漏出去的
高防IP的作用是隐藏源站,所有流量先经过高防清洗，再转发到源站，但如果攻击者绕过高防直接打源站，只有一种可能：源站IP不再是秘密，以下是源站IP泄露最常见的几条路。
回源端口未收紧：给黑客留了后门
高防IP和源站之间需要回源通信,很多用户嫌麻烦，直接开了全端口回源，比如源站用80和443跑业务，但高防IP转发策略却允许所有端口回源，攻击者用扫描工具扫一遍高防IP的所有端口，只要某个非业务端口能连通，就能顺藤摸瓜找到源站IP。
回源端口越少,暴露面越小，正确做法是只开放必要的端口，比如只回源到80和443，其他端口一律拒绝，还有一种常见失误：源站服务器上还有别的服务，比如SSH（22端口）、数据库（3306端口）等，即使高防只回源80，攻击者扫到源站IP后，依然能通过22端口尝试登录，所以源站除了业务端口，其他端口最好绑定内网IP或防火墙白名单。
域名解析记录：DNS历史泄露真实IP
很多人都忘了,换高防IP之前，你的域名解析记录可能早已被各大DNS数据库收录，攻击者用在线工具查询域名历史解析IP，直接就能看到你源站的真实IP，即使你现在已经改了A记录到高防，但历史解析记录不会消失。
另一种情况是子域名解析泄露,比如你主域名用了高防，但某个子域名（test.example.com）直接解析到源站IP，或者用来做邮件服务的MX记录暴露了服务器IP，这些看似无关的解析，都会让高防IP形同虚设。
SSL证书和HTTP响应头：被动暴露源站
这属于技术层面的疏漏,你的源站服务器在处理请求时，会返回特定的HTTP响应头，Server 版本号、X-Powered-By 等，有些源站还会在错误页面里暴露内网IP或域名信息，攻击者用高防IP发一个特殊请求，如果高防将请求原样转发给源站，源站返回的报错信息就可能带着真实IP。
更隐蔽的是SSL证书,如果你在源站上配置了证书，攻击者通过扫描全网证书透明度日志，能匹配到使用同一证书的IP段，即使你换了高防，证书没换，源站照样能被找出来。
邮件发送记录：最容易被忽略的泄露渠道
很多人忘记源站还承担着发邮件功能,比如你的服务器上有网站，可能通过PHP或Java代码发注册邮件、通知邮件，这类邮件头里往往包含源站的真实IP，攻击者只需要给你发一封邮件，或者在你网站提交一个找回密码表单，就能从邮件头里看到源站IP，如果你用了第三方邮件服务（比如SendCloud），问题不大；但如果是自建邮件服务，源站IP早就跟着邮件发到天南海北了。
高防IP防护无效怎么办？从源站加固到回源策略一次说清
查出了泄露渠道,接下来就要堵漏，这一步不能只依赖高防服务商，自己的配合才是关键，哪怕高防IP本身再强，源站IP泄露了，防护效果就是零。
源站IP隐藏五步操作，按顺序执行
- 清理历史DNS记录：去域名管理后台，把不必要的解析记录全部删除，尤其是子域名，能不用就不用，这一步不能根治，但能减少后续暴露面。
- 收紧回源端口：登录高防控制台，把回源端口限制到业务必需端口，比如只回源80和443，其他端口直接拒绝，源站防火墙只允许高防IP的IP段访问，别的IP一律拒绝。
- 关闭源站多余服务：源站服务器上只跑业务所需的服务，SSH登录改用密钥，且只允许从堡垒机或白名单IP连接，数据库服务如果不需要对外，就监听在内网地址，别用
0.0.0。 - 更换SSL证书并配置OCSP隐藏：申请新证书，换掉所有能匹配源站的证书，在高防上开启OCSP装订，避免源站直接对外应答证书状态请求。
- 邮件发送改走第三方：把服务器上的邮件发送功能全部接入SMTP服务商，自建邮件服务彻底停掉，如果确实要用，必须配置SPF和DKIM，但源站IP还是有可能被看出来，所以更推荐第三方。
回源方式选择：高防回源策略的正确姿态
高防IP的回源方式不是随便选的,目前主流有两种：优先回源和高防回源，这里说的不是术语，而是不同页面的配置方式，你需要在控制台里找到“回源策略”或“源站设置”，然后做两件事：
- 关闭“允许高防IP直接访问源站”之外的任何选项，有些高防提供“智能回源”或“主备切换”，如果配置错误，攻击者可以直接探测到备用源站的IP。
- 开启“源站访问白名单”，只允许高防IP段访问源站，并且这个IP段要拿到高防服务商公布的最新列表，别嫌麻烦，这个操作能拦截掉所有非高防来源的请求，包括扫描器。
高防IP源站被绕过的判断方法
你怀疑源站被打,但不知道怎么确认是漏了还是高防没扛住，判断逻辑不复杂：
- 看攻击流量类型,如果攻击直接打到源站端口（比如SYN Flood），高防控制台的“攻击防护报表”里是看不到对应流量的，因为你没有把流量引到高防，如果攻击确实经过高防，报表里一定有记录。
- 看源站访问日志,筛选非高防IP段的访问记录，如果存在大量直接来自客户端的请求（而不是来自高防回源IP），说明源站IP泄露了，正常架构下，源站只应该看到高防IP的请求。
这类问题在简米云、酷番云等主流高防服务商的知识库里都有相关排查案例，业内专家指出，90%以上的高防回源失败问题源于配置不当或源站IP泄露，而非高防本身的能力不足。
如何彻底杜绝源站被绕过？把高防IP当作唯一入口
说到底,高防IP不是一劳永逸的保命符，你换了高防IP，只是换了条更宽的马路，但马路两边的围墙还得自己砌，以下三条纪律，建议每条都执行到位。
源站IP永不暴露的三条底层纪律
- 别让源站发起任何外部请求，比如在源站上用软件更新、ping外部IP、和第三方API通信，都可能泄露IP，网站需要调用外部服务时，把请求发到高防IP，由高防转发出去，源站只单向接收高防回源流量。
- 别用源站域名做任何非业务用途，邮件服务、FTP服务、远程办公入口，全部和源站隔离，独立业务用独立服务器，别让一个源站同时承担多种角色。
- 定期审计DNS记录和SSL证书，建议每季度用公开的DNS历史记录查询工具和证书透明度日志工具检查一遍源站IP是否暴露，这类工具不花钱，但能帮你提前发现漏洞。
高防IP换了还是被打？大概率是这3个配置没做
| 配置项 | 正确做法 | 错误做法 |
|---|---|---|
| 回源端口范围 | 只开80和443，其余拒绝 | 全端口0-65535放行 |
| 源站安全组 | 入方向仅允许高防IP段 | 允许所有IP访问 |
| 源站DNS解析 | 主域名和所有子域名均指向高防 | 存在子域名直连源站 |
上表是多年实战中最高频的错误,也是攻击者最容易利用的突破口，你对照着检查一遍，多半能找到自己被绕过的原因。
高防IP防护无效的常见问题解答
问：高防IP和源站之间通信用的协议有没有要求？
高防IP回源时,支持TCP和HTTP回源，但如果你源站上的业务是HTTPS，高防和源站之间既可以用HTTP回源（高防终止SSL），也可以用HTTPS回源（源站保留证书），推荐用HTTP回源，因为高防可以做内容缓存和CC防护，无论哪种方式，回源端口必须和源站监听的端口一致，否则会导致502或连接超时。
问：高防IP被攻击后，源站IP会自动暴露吗？
正常情况下不会,但如果高防IP的回源协议是UDP，或者你开了“健康检查”且健康检查路径返回的消息包含源站IP，就可能被攻击者利用，健康检查的路径建议设置成一个无实际业务流量的静态页面，/health.html，并且禁止该路径缓存，以免泄露后端信息，行业共识认为，高防IP自身不会泄露源站，泄露几乎都源自运维习惯。
问：不换源站IP，只用高防IP隐藏源站行不行？
不行,高防IP必须回源到某个真实IP，这个真实IP就是源站，如果你想让源站IP彻底隐藏，需要确保高防回源到的是内网负载均衡或CDN节点，而不是公网可直达的源站服务器，实操上，你可以把源站部署在私有网络内，通过NAT网关或负载均衡对外提供服务，这样高防回源到负载均衡的VIP，源站本身没有公网IP，攻击者自然打不到，这也是目前较彻底的隐藏方式。
高防IP换再多,源站IP藏不住就是白换，你不需要成为一个安全专家，但需要记住两件事：第一，回源端口能少则少；第二，源站只信任来自高防的流量，这两点做到位，攻击者再想绕过高防直接打你，就得先去猜你的源站IP而你已经把路堵死了。