公司动态 · 发布时间：
接入 CDN、反向代理或云端防火墙后，域名解析指向防护节点，并不自动代表源站地址已隐藏。旧解析记录、未代理的子域名、开放的源站端口，都可能让访问绕过防护。开展网络防护接入前后源站真实IP泄漏检测，应分别检查“解析到了哪里”和“能否绕过代理直连”，并保留接入前的基线作对照。
先建立接入前基线
在修改 DNS 和防火墙规则前，记录目标域名及相关子域名的 A、AAAA、CNAME 记录、TTL、解析结果和查询时间。可用 dig 或 nslookup 查询公开解析；从不同递归解析器复核，避免把缓存差异误认为记录变化。若有权管理权威 DNS，还应检查区域文件或控制台中的实际记录。
同时确认已知源站地址、监听端口和允许的访问来源。记录应限定在自有或获授权的资产范围内；不要把未知地址当成目标进行扫描。接入前结果用于比较，不应直接当作接入后的安全结论。
接入后分别核验两条路径
路径一：检查公开解析
- 逐个查询主域名及实际提供服务的子域名，比较 A、AAAA 与 CNAME 记录是否已按服务商配置指向防护层。
- 检查邮件、验证、管理等用途的子域名，确认它们是否确实需要公开，以及是否意外指向同一源站。
- 等待记录变更的 TTL 和缓存影响消退后再次查询。递归解析器缓存时间、负缓存和不同网络环境会造成短期差异。
解析结果中出现防护服务的边缘地址，是接入生效的迹象，但不能证明历史记录中没有旧源站地址。被动 DNS 历史数据可能保留过去记录，准确性和更新时间也不同，需结合自身变更记录判断。
路径二：测试授权直连
- 从资产清单中选取确认归属的源站地址，并确定正确的主机名、HTTPS 端口和测试页面。
- 在获授权的外部测试环境中，用 curl 的地址映射方式让请求连接指定源站，同时保留原域名作为 Host 和 TLS SNI；这样可以验证直连是否能取得站点响应。
- 分别测试 HTTP 与 HTTPS（仅限实际开放的端口），记录连接结果、证书是否匹配、状态码及响应内容；不要只凭连接超时下结论。
- 从正常域名路径再访问同一页面作对照，并在规则调整后重复两组测试。
如果直连成功且返回有效业务页面，说明绕过防护的路径仍存在；若连接失败，也可能是端口未开放、测试地址错误或网络策略阻断，不能单独据此认定源站 IP 未泄漏。
如何解读结果并整改
| 检查结果 | 可能含义 | 建议处理 |
|---|---|---|
| 公开记录仍指向源站 | 记录遗漏、缓存未更新或子域名未纳入代理 | 核对权威 DNS，清理不再使用的记录并复测 |
| DNS 指向防护层，源站可直连 | 源站入口仍接受非防护流量 | 按服务商公布且维护的出口地址范围设置防火墙白名单，并限制不需要的端口 |
| DNS 指向防护层，直连被拒 | 绕过路径受到限制 | 继续核验 IPv6、其他子域名及接入前遗留记录 |
防火墙白名单应随服务商地址范围变化及时维护；如果业务支持，也可通过专用网络或其他受控回源方式限制入口。不要因响应头出现 Server、X-Powered-By 等字段就断定源站地址已暴露：它们可提示软件信息，但通常不能单独证明 IP。证书透明度记录也可能显示域名，却不等于公开了源站地址。
复核与留档
完整的网络防护接入前后源站真实IP泄漏检测，应把解析记录、直连结果、测试时间、网络位置和变更内容放在同一份记录中。完成整改后，从至少一个外部网络复测，并在 DNS 缓存过期后再次核验；若有 IPv6 服务，还要单独检查 AAAA 记录和 IPv6 入口。这样才能区分“域名已切换”与“源站确实无法被绕过访问”。
常见问题
防护接入后，DNS 还出现旧 IP 一定是泄漏吗？
不一定。先确认它是当前权威记录、递归缓存还是历史数据，再判断该地址是否仍属于源站并能提供服务。
直连测试失败，是否就说明源站安全？
不能。确认测试地址、端口和主机名无误，并结合防火墙策略、IPv6 入口及其他子域名复核。
接入前忘记记录源站 IP 怎么办？
查阅自有 DNS 管理记录、云平台资产清单和变更日志；无法确认归属的地址不要直接用于探测。
多久复测一次？
重大 DNS 或防火墙变更后应立即复测；日常周期可按变更频率和风险确定，没有适用于所有环境的固定间隔。
