核心防护需三道防线协同：一、防火墙仅放行cdn官方ip段（如cloudflare的173.245.48.0/20）访问80/443端口，运维ip单独白名单；二、nginx关闭80端口、强制https回源并校验host头与签名头；三、清理ssl证书、whois、响应头等所有ip泄露痕迹。
核心思路很明确：不让源站 IP 对外暴露，也不让非 CDN 的请求能连上它。这需要网络层、应用层和配置层三道防线协同工作，缺一不可。
严格限制入站 IP 段（防火墙第一道关）
这是最硬、最前置的防护。CDN 官方会公开其回源 IP 段（如 Cloudflare 的 173.245.48.0/20、103.21.244.0/22；阿里云、腾讯云也有对应列表），必须只允许这些网段访问你的 80/443 端口：
- 用 iptables 或 nftables 配置 INPUT 链，先放行 CDN 网段，再 DROP 所有其他来源
- 若需运维访问，单独添加白名单规则（如指定管理员 IP + SSH 端口），不要混在 HTTP/HTTPS 规则里
- 云服务器务必检查安全组，删掉 “0.0.0.0/0 允许 80/443” 这类开放规则
关闭源站明文入口并强制 HTTPS 回源
即使防火墙做了限制，也要杜绝任何可能绕过的路径：
- 在 Nginx 中 注释或删除所有监听 80 端口的 server 块，或统一返回 444（直接断连）
- 只保留一个监听 443 的 server，且要求 SSL 证书绑定域名而非 IP，避免通过 IP 直接 HTTPS 访问
- CDN 回源时启用 HTTPS + SNI，确保回源连接加密且指向正确域名，防止中间人嗅探或误配
用 Host 头与自定义签名头双重校验
防火墙只能拦 IP，但合法 IP 上仍可能发恶意请求。需在 Nginx 应用层再加一层逻辑：
- 用 map 指令预定义合法 Host 白名单（如
cdn.example.com、origin.example.com），生成变量$is_valid_host - 在 server 块中写
if ($is_valid_host = 0) { return 444; }，拒绝非法 Host 请求 - 若 CDN 支持（如 Cloudflare 的
X-Edge-Sign、阿里云的X-Ali-Swift-Sign），用 map 提取并做基础存在性判断，再交由 Lua 或外部服务验签
清理一切可能泄露源站 IP 的痕迹
攻击者常从历史数据反推真实 IP：
- 查 crt.sh 和 securitytrails.com，撤销含源站 IP 的旧 SSL 证书，重签仅绑域名的新证书
- 关闭 WHOIS 公开信息，启用注册商提供的隐私保护
- 移除 Nginx 的
Server头、X-Powered-By等敏感响应头，避免被扫描工具识别 - 检查 CDN 控制台是否开启“仅限回源”或“源站保护”开关，部分平台（如 Cloudflare 的 Origin Rules）可自动拦截非代理请求
