技术帮助 · 发布时间：
攻击流量识别与源站隐藏配置不是单独开启某项服务就能完成的任务。流量规则可能误拦正常访问，源站也可能因旧 DNS 记录、开放端口或 IPv6 配置遗漏而被直接访问。下面按五类暴露面说明风险，并给出适合网站运维人员逐项核查的方法。
先明确防护边界：代理挡在谁前面
使用 CDN 或反向代理时，访客请求先到代理，再由代理转发到源站。若源站仍允许互联网任意地址连接，攻击者一旦获知源站地址，就可能绕过代理。防护的关键不只是识别异常请求，还要让源站只接受可信代理的回源流量，并保留必要的管理通道。
五项风险，分别检查入口与判断逻辑
1. 把流量突增直接当成攻击
访问量增长可能来自活动、新闻传播或搜索引擎抓取。若仅按请求数量封禁，容易误伤真实用户；只看总流量，也可能漏掉针对单一页面、登录接口或搜索接口的请求洪峰。应结合请求速率、来源分布、URL、响应码和连接状态判断，并设置短时观察与逐步处置策略。对登录、搜索等高成本接口，可单独设置速率限制，避免全站采用同一阈值。
2. 源站仍能被直接访问
这是源站隐藏最直接的失效方式。常见原因包括防火墙未限制回源地址、旧测试服务器仍对公网开放，或管理服务与网站服务共用开放规则。应在云防火墙或主机防火墙上，将网站端口的入站来源限制为当前代理服务公布的回源网段；管理端口则仅向受控办公网络或跳板机开放。代理网段变更时，也要同步维护规则，避免临时放宽后忘记收紧。
3. DNS 记录留下可追踪线索
主域名经过代理，不代表所有子域名都受到保护。邮件、文件下载、旧版站点或测试环境的 DNS 记录可能直接指向源站；历史解析记录也可能留存地址线索。检查时应盘点权威 DNS 中的 A、AAAA、CNAME 和 MX 记录，确认哪些记录必须公开、哪些服务应经过代理。删除无用记录前，先核对邮件投递、证书验证等依赖，避免中断正常服务。
4. 只检查 IPv4，遗漏 IPv6
如果源站有 IPv6 地址，而访问控制只限制 IPv4，攻击者仍可能经 IPv6 直连。核查 DNS 中是否存在 AAAA 记录，并在云侧安全组和主机防火墙中检查 IPv6 规则。没有业务需求时，可以移除不再使用的 IPv6 公网入口；确实需要时，则应为 IPv6 配置与 IPv4 等效的代理限制和监控。
5. 响应头与日志泄露部署信息
错误页面、调试响应头、应用日志和公开备份文件，可能暴露服务器地址、软件版本或内部路径。这些信息不一定单独导致入侵，但会降低攻击者探测成本。生产环境应关闭调试输出，检查响应头是否包含不必要的版本信息，并限制日志与备份文件的外部访问。日志保留应满足排障和合规需要，同时限制访问权限、设置合理保留周期。
按顺序落实攻击流量识别与源站隐藏配置
绘制请求路径：列出域名、DNS 记录、代理服务、源站地址和对外端口，标明每个入口的用途。
建立源站白名单：先确认代理服务的回源地址范围，再限制网站端口来源；管理入口单独设置访问策略。
逐项验证解析：检查主域名及子域名的 A、AAAA、CNAME 记录，清理无用途或不应直连源站的记录。
观察识别规则：先以记录和告警方式运行规则，比较正常业务与异常请求特征，再逐步启用限速或拦截，避免一次性扩大封禁范围。
从外部复核：分别测试代理域名、源站 IPv4 和 IPv6 是否能绕过代理访问，并检查响应头、错误页和日志权限；规则或 DNS 变更后重复验证。
常见问题
隐藏源站后，是否就不会再受到攻击？
不能保证。攻击仍可能针对代理入口、应用漏洞或账号发起；隐藏源站主要是减少绕过代理直连的机会。
源站白名单应多久复核一次？
至少在代理地址范围、网络架构或云防火墙规则变更后复核；日常也应检查规则是否存在临时放行项。
能否直接关闭所有子域名？
不宜盲目关闭。先核对邮件、证书验证、下载和业务系统依赖，再移除无用途记录，并确认变更不会影响服务。
可靠的攻击流量识别与源站隐藏配置，需要把识别规则、DNS、网络访问控制和信息泄露检查连起来。完成配置后仍要定期从外部验证直连路径，并根据业务变化更新规则，才能及时发现新的暴露面。
