网站接入 CDN 后，公开域名虽已指向边缘节点，旧邮件头、被动 DNS 记录和证书透明日志却仍可能保留源站线索。攻击者收集这些信息后批量扫描新旧 IP；Web 域名迁移了，源站与回源链路却仍暴露。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：hostwinds（全球云服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
源站暴露通常来自三条残留路径
历史解析不会因更换 CDN 立即消失。旧 A/AAAA 记录、邮件 MX/SPF、测试子域 CNAME 都可能指向原地址。应让旧地址只接受边缘节点流量，并回收停用主机，而不是仅替换入口 IP。
客户端 IP 透传也不能直接信任公网请求头。边缘层应覆盖访客传入的 X-Forwarded-For，源站只接受受控代理链提供的地址或带签名字段；若源站端口可被直连，伪造头部就可能绕过限流、地区规则与风控。
证书签发边界决定哪些名称会进入公开日志。公开证书应只覆盖对外业务域名，源站内部名称使用私有 CA 或双向 TLS；避免为源站主机名签发公开证书，也不要使用覆盖内部命名空间的宽泛通配符。
用暴露面回溯检验隔离是否真正生效
先汇总历史解析、邮件记录、证书透明日志、旧监控地址和测试域名，再逐项查询其当前指向。重点不是找到多少条记录，而是确认这些入口是否还能从公网建立连接。历史记录无法抹除，但可以停止解析、关闭端口并限制来源。
随后从多个网络位置直接访问源站 IP 和主机名，检查是否出现有效响应、证书或跳转。再核对源站日志中的来源地址，确认请求是否仅来自边缘节点或专用回源通道。若公网请求携带伪造的访客 IP 头仍能影响业务规则，说明透传边界配置错误。
故障切换同样不能把 DNS 切回公开源站。边缘节点应切换健康检查目标，备用源站通过专线、VPN 或隧道回源，并预先准备证书、连接白名单和配置版本；否则主链路故障时，备用地址反而会成为新的扫描目标。
可在随身服务器上搭建隔离测试源站，模拟直连、伪造请求头和回源切换，检查源站是否拒绝非授权路径。测试环境应使用独立密码与短期凭据，结束后及时撤销，避免把演练入口留成长期资产。
历史解析与回源链路要一起封
源站地址隐藏不是改一条 A 记录。CDN 或 WAF 应位于访问链路前端，源站安全组、主机防火墙和 ACL 只允许边缘节点回源，公网直连的 80/443 必须拒绝；IPv6、备用解析、负载均衡和灾备节点同样纳管。回源时固定 Host、SNI 与 TLS，避免证书失败后回落明文或公网地址。
攻击者会利用历史解析泄露：旧 A/AAAA 记录、废弃子域名、邮件与监控服务、代码仓库、错误页或响应头都可能留下真实地址。更换解析后应回收旧入口，清理配置中的源站引用，并持续做资产发现。历史解析未必仍可连通，却足以给定向扫描提供线索；“当前未解析”不等于“没有暴露”。
扫描面收敛才是兜底：后台、SSH、数据库、对象存储和容器控制面只允许 VPN、零信任网关或堡垒机访问，关闭调试端口、默认账号、目录列举和版本 banner。源站若需直连兜底，应使用独立入口、附加认证并告警，不能长期对公网开放。
客户端 IP 与证书边界不能混用
CDN 回源会改变客户端地址。边缘层应清除外部传入的 X-Forwarded-For、X-Real-IP，再按可信代理链追加真实 IP；源站只信任 CDN 网段，并限制代理跳数。应用若直接读取任意请求头，客户端 IP 就可伪造，影响风控、审计和地域策略。排障时需对照 CDN、源站与应用日志。
证书签发边界决定谁能代表域名建立信任，并不能单独隐藏 IP。源站应使用独立 CA 或仅供回源的专用证书，公共通配符证书不要无差别部署到备用入口；高保障场景可启用 mTLS 或短期凭据。CAA 可约束签发机构，证书透明日志用于发现域名级异常，但网络隔离仍不可省略。
最终检查：①枚举 A、AAAA、CNAME 与 IPv6 入口，核对回源清单；②删除业务端口的“0.0.0.0/0”“::/0”放行，仅保留可信回源和运维通道；③从外网以源站 IP 搭配 Host/SNI 测试，确认直连被拒；④检索旧子域名、历史 DNS、邮件、代码仓库、日志和前端配置，回收废弃解析；⑤验证代理链与 IP 头覆盖，确认客户端 IP 不可伪造；⑥为源站域名单独签发证书，配置 CAA 与到期告警；⑦每周扫描自身公网资产，对新增端口、旧 IP 暴露及非 CDN 回源告警。保留日志和变更记录并定期复测，验收一次不算完成。
喜欢 
顶
难过
囧
围观
无聊
