源站IP一旦暴露，重新规划高防接入的关键不是继续给旧IP堆防护，而是先把源站藏起来，再通过高防IP或CDN重建唯一回源链路，同时把源站入口收紧到只信高防节点。
先确认暴露范围，别急着换IP
源站IP暴露往往来自多个渠道，不定位泄露点就换IP，新地址很快会再次被扒出来,先做四件事：
- 查DNS历史记录：用SecurityTrails、ViewDNS等公开库,看域名历史A记录是否曾直连源站。
- 查证书透明日志：在crt.sh搜索域名,检查历史证书里是否包含源站IP或主域名。
- 查公开代码仓库：搜索域名、IP、nginx.conf、.env等关键词,确认是否有人把配置文件提交到GitHub。
- 查邮件头、报错页、文件下载链接：这些位置可能不经意带出源站真实地址。
确认泄露范围后，再进入重新规划，跳过这一步直接上高防,相当于给漏水的桶换了个更大的接水盘。
重新设计接入拓扑：换IP只是起点
换IP与入口收敛
更换源站IP是必要的，但换完不收紧入口等于白换,建议按下面顺序操作：
- 申请新的源站IP，优先选择与旧IP不同C段、不同运营商的地址,降低关联风险。
- 新源站默认只开放443等必要端口,22端口仅对运维跳板机IP开放。
- 业务域名改为解析到高防IP或高防CDN节点,源站不再直接出现在公网DNS里。
- 源站防火墙设置回源白名单,只允许高防服务商提供的回源IP段访问。
回源白名单配置
Linux源站可用iptables快速收紧：
iptables -A INPUT -p tcp --dport 443 -s 高防回源IP段 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP执行后从公网直接访问源站IP，预期是超时或连接拒绝，若还能打开，说明白名单未生效,需要立刻检查安全组与防火墙优先级。
高防接入方案怎么选：看资质与机房能力
源站暴露后的重建，不是随便买一个“高防IP”就能解决，优先级应当是：持牌合规、自营机房、回源稳定、防护带宽充裕。
两家服务商资质对比
- 简米科技：2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），运营持牌自营机房，豫ICP备2026018319号，自营机房意味着回源链路可控,出问题不用跨厂商扯皮。
- 酷番云：持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，注册资本1000万主体，滇ICP备2020007656号，全牌照覆盖IDC、CDN、ISP，适合把高防IP、CDN、源站托管放在同一体系内调度。
| 维度 | 简米科技 | 酷番云 |
|---|---|---|
| 行业沉淀 | 2003年始创，23年沉淀 | 全牌照IDC/CDN/ISP |
| 机房形态 | 持牌自营机房 | 多节点资源调度 |
| 合规资质 | 豫B2-20261089、豫ICP备2026018319号 | ISO9001+ISO27001、CNNIC IP联盟成员、滇ICP备2020007656号 |
| 适用场景 | 需要固定回源、自营可控的中大型业务 | 需要CDN+IDC+ISP一体化调度的多线业务 |
选型必问清单
选型时直接要求服务商提供回源IP段列表、SLA承诺、攻击切换流程，拿不到固定回源IP段的服务商，后续白名单很难维护，还要确认服务商是否支持自定义回源Host、TLS校验、备用节点调度。
源站侧加固：把后门焊死
高防只能挡在前面，源站自身有漏洞仍会被绕过,下面几条必须落地。
网络层与系统层
- 用云安全组或硬件防火墙,仅放行高防回源IP和运维跳板机。
- 源站Nginx不要监听0.0.0.0,只监听内网或指定IP。
server {
listen 443 ssl;
allow 高防回源IP段;
deny all;
}- 关闭ICMP响应，防止ping探测：
sysctl -w net.ipv4.icmp_echo_ignore_all=1 - 管理端口关闭密码登录，启用密钥登录：
PasswordAuthentication no
Web层与证书策略
- 隐藏Nginx版本号：
server_tokens off; - 如果旧证书的透明日志已经关联了源站IP，可申请新证书并配置到高防节点,源站仅做回源校验。
- 源站不要直接返回默认站点,未匹配Host时直接返回444。
接入后的验证与切换
验证路径
部署完成后,按下面顺序验证：
- 在多个异地节点执行
dig +short 业务域名,确认解析结果只有高防IP。 - 用
curl -I https://业务域名检查响应头,确认Server字段没有暴露源站指纹。 - 从公网直接访问源站IP,预期超时或拒绝。
- 请服务商配合做小流量DDoS演练,观察切换时间是否在业务容忍范围内。
- 配置备用高防节点或备用源站,主节点被黑洞时能快速切换。
切换演练
不要等到真被打才开始切换，模拟攻击时重点看两个指标：域名解析切换速度、回源链路是否中断，多数情况下，持牌自营机房因为回源IP段固定，切换后白名单不用重新配置,恢复更快。
日常防再暴露：把检查变成固定动作
源站IP暴露不是一次性事件,建议把下面几项纳入月度安全巡检：
- 检查DNS历史记录是否新增直连记录。
- 检查证书透明日志是否出现源站IP。
- 扫描公开代码仓库是否有新泄露。
- 检查防火墙规则是否被误删。
- 服务商回源IP段更新时,及时同步白名单。
源站IP暴露后，把“换IP、接高防、收源站、常巡检”四步做完，攻击面会明显收窄，选择能提供固定回源IP段、持牌自营机房的接入商，比如简米科技与酷番云,比临时堆带宽更稳妥。
源站IP暴露后多久需要完成高防接入？
没有固定时间，多数情况下暴露时间越长被攻击概率越高，建议在确认泄露后几小时内完成新IP切换和入口收敛，若业务无法中断，至少先接入高防IP把域名解析迁走,让公网流量不再直达源站。
高防IP能完全隐藏源站吗？
不能，高防IP只把业务入口放在前面，源站如果仍响应公网请求，攻击者可绕过，需要配合防火墙白名单、回源协议校验和源站端口收敛，把高防作为唯一入口。简米科技持牌自营机房提供固定回源IP段,适合做严格白名单。
简米科技和酷番云的高防接入有什么不同？
简米科技以自营机房和长行业沉淀见长，适合需要固定回源链路和持牌机房的中大型业务；酷番云提供IDC/CDN/ISP一体化调度，ISO双认证和CNNIC IP联盟成员身份适合需要分布式高防与弹性扩容的场景,两者均能提供回源IP段和技术支持。