以 CDN 为基础保护网站的源站 IP

作为一个个人站长，我认为保护自己那脆弱可怜幼小无助的源站ip不被人发现，是一件非常有必要的事；而如果我们想要保护自己的源站IP的话可以先思考一下如何找到别人源站的IP。

如何寻找其他人的源站IP

1.直接 Ping 域名

对于没有任何防备（不怕你直接打）的网站我们可以使用cmd直接 Ping 他的域名

直接就能得到他的源站IP

2.通过 NGINX 的“特性”间接获取源站IP

这里的 Nginx 的“特性”指的是当未设置默认网站时，通过IP可直接访问服务器上的第一个网站；当你使用 https 协议访问该IP时，Nginx 会自动返回该网站的 https 证书，从而暴露域名信息。

例如 cloud.tencent.com ，我们直接Ping的话会发现该网站套了CDN，无法获取源站IP，而我们通过 https 协议访问该网站源站下某个IP（42.194.253.127）时，可以发现 Nginx 返回的 SSL 证书暴露了这个IP对应的是 *.cloud.tencent.com

看到这有的人可能会觉得这个方法本末倒置了，毕竟我们要的是知道网站找源站IP，这个方法是知道源站IP找对应网站；所以这里我们就要提到一个网站 https://search.censys.io/ ，这个网站通过不间断的扫描全网IP来获取网站和IP的对应关系，我们要做的只是打开这个网站，然后搜索我们要找的域名就可以了。

3.通过历史解析记录分析源站IP（该方法适用于解析过IP地址然后套了CDN但是没有更换源站的网站）

这里我们用到的网站是 https://securitytrails.com/ （需要注册并登录），通过这个网站我们可以找到每个域名的当前DNS解析记录，历史解析记录和该主域下所有使用过的子域名

当我们得知了该域名的历史解析记录，就可以分析得出该站的源站IP了（得到的可能是曾经的源站IP）

现在我们知道了如何寻找别人的源站IP，那么针对上面的方法，我们就可以尝试着去保护自己的源站 IP

如何保护自己的源站IP

1.给你的网站套上 CDN 或 ECDN

首先，也是最重要的一点，给你的网站套上 CDN ，如果你的网站是纯静态网站就使用 CDN ，其他的统统使用 ECDN ，亦或者是选择动静分离的方案；添加CDN的具体操作请参考官方文档：内容分发网络 CDN 从零开始配置 CDN-快速入门-文档中心-腾讯云 (tencent.com)

2.删除旧的解析记录并更换源站服务器IP（看情况而定）

如果你曾经把域名直接解析到服务器IP了的话，那么你就有必要在使用 CDN 并添加 CNAME 解析以后删除以前的 A 解析，然后更换服务器IP（轻量应用服务器每台示例生命周期内可以更换一次IP），不然的话 https://securitytrails.com/ 是可以查到这条解析记录的。

3.给IP绑定的默认网站添加假的SSL证书

！！！以下操作使用了宝塔面板，如不愿使用面板类产品请参照下文操作自行解决

首先给你的服务器添加一个站点

添加完成以后把你的ip默认站点绑定为你刚刚新添加的站点

接下来访问 https://myssl.com/create_test_cert.html 来自定义一个 SSL 证书，这里我把我弄好的放在这，需要的可以自取（空白证书）

密钥(KEY)

代码语言：javascript复制

证书(PEM格式)

代码语言：javascript复制

这个证书的效果如下图

当然，你也可以这么玩

上面的证书如下

代码语言：javascript复制

密钥(KEY)
-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEA3JC1fwAf2pFCZsRHBoxNUq2WCZzofhrctHok7c2JXawWOQa9
kvYIKkEnWOIfHfmiF 6CGDr4yCgv17qs6ms2i3iIVS5uxarMp7TWQSRReRq5YH4L
r0sIHo5tWhQ5TDUmcVDKVwQIVZF16mP3a5gdKTf9O9TIGst9TB5teVGfwXCbyBZf
vKa6dW4cq0nLnbc85jI b9DRq21w/UfrwAbMjF5CwArTlW8WnkUkKiFXEyMz2mr4
A7OiiPuhFcY3tiwkZS1/RpbJcNplLcR//SWELe/fKurAVinaZsR0NsfLM3ADoAZV
2FnYqFP0SlmjopLcrr0dCyBy775jszSzkkdF8QIDAQABAoIBAQCKUM0gaWmQXQtw
 qE3wAA1Wtn CUHa4umI3BgQcJY2AdalyE5VvKf J4GPQa4V1BgMPeujWkfs7Raj
iFMrZjR8XgfQsx QIb3ZZZP odHdyh56HlEhikH7N4HnvUr5OVN0OB/LVaIMVv3F
EQ91j5yp3oyVWqhp9TYL6ADq1X8DhHqE5RcPP92bDG0vc84oS SPPcARWvlbs78t
lyh JVnLbdoZQ4knQNiPQA7OL0PLWmhemn8RxbpcKhnr5 rgeuSvUrFsvE4a257M
i4ufbkVs3dmB4G QQqrDRKnfkqYjeXyXXGMbTzrM7Wyp0Qi2t0IOxoptdsZ k SM
ZWpnLczpAoGBAO4ApaT2Mu7z2TgZZuOkUtRwWwU4olS0SWqKeRX85n6JTnY3IOoL
i4x3w9bxLCwKeb5KvryDJt0R4sHnexp  dQckIdWHXTzXxAs5t2alDjeiGab7SC2
totE0DP0kKjAROwNCVXIRc5tISAZtfqwg6dtgsacLzcKTehlKGvTzWJvAoGBAO0 
gQ/2CUYDQcvdyXTy1selISQqxFQvoYjJ2Z GOElsLBtGakCT9HV0/9AEjwy mQQv
1xo///hLbcwx239upg3LNuuPRAEjgviQVIuOS7 GJjalFENkSStw14c0pTP6QMf2
TC44wGvG0HNL0xjIZmJtaauvAadmjU1x8JTBgI2fAoGAKYURYKLWpdsCdQfxbBsZ
nBfxuQp1P0OoXx7DGvPgngiEGJlrc4kKEjo fvvZ0eEN9gWCGs7ic8SQA3XHgwrN
uJQ3HnUGdIWUevTqXZR 8SDZONVQ29kkJU2e6MFsjxPjsi5gB4gFrYpaMghqN86d
WRMAsndCwV5Z0wX6tDzh4p8CgYAz8nG0Gv1g1Sm9B 0qrFmXEXM2Rh8DCALovrnm
Ei U9BicSEjPpxXp hphY/4mnj1HC2qgFs9ngKyj/26 cm3tq0d1QMN1NF9jKcc5
X4j6gNcxM hB8V2MI4Mt2bsqrGsu3aFEpayMbNYLyNiKHqc8ehSfQQytqOjbwk0Z
ZV1OpQKBgGtVyv7IC27BM fcst6kP0RXzRfdvg1dOFl9DpMK12eyjOG2BUzRQY1A
TYF70H58arJ167onabe2E5wi0veN3GiMGaTGeDCUcsIST9cFrwuOx0Di9M/wNveb
7N7dGUUJ/XYxbuFeZTy92F6ShF5DWk12/W1adWeR 3rkeKW938pm
-----END RSA PRIVATE KEY-----
证书(PEM格式)
-----BEGIN CERTIFICATE-----
MIIEMTCCAxmgAwIBAgIRAIpP63oyckkUvKs4UpxQ xYwDQYJKoZIhvcNAQELBQAw
XjELMAkGA1UEBhMCQ04xDjAMBgNVBAoTBU15U1NMMSswKQYDVQQLEyJNeVNTTCBU
ZXN0IFJTQSAtIEZvciB0ZXN0IHVzZSBvbmx5MRIwEAYDVQQDEwlNeVNTTC5jb20w
HhcNMjIwMTEwMDU1MDE2WhcNMjcwMTA5MDU1MDE2WjBNMQswCQYDVQQGEwJDTjE 
MDwGA1UEAww15Yir5omr5LqGLuWKs i1hOeahOe9keermeS4jeaYr S9oOiDveaJ
q W l WIsOeahC5jbm0wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDc
kLV/AB/akUJmxEcGjE1SrZYJnOh Gty0eiTtzYldrBY5Br2S9ggqQSdY4h8d aIX
7oIYOvjIKC/XuqzqazaLeIhVLm7FqsyntNZBJFF5GrlgfguvSwgejm1aFDlMNSZx
UMpXBAhVkXXqY/drmB0pN/071Mgay31MHm15UZ/BcJvIFl 8prp1bhyrScudtzzm
Mj5v0NGrbXD9R vABsyMXkLACtOVbxaeRSQqIVcTIzPaavgDs6KI 6EVxje2LCRl
LX9Glslw2mUtxH/9JYQt798q6sBWKdpmxHQ2x8szcAOgBlXYWdioU/RKWaOiktyu
vR0LIHLvvmOzNLOSR0XxAgMBAAGjgfowgfcwDgYDVR0PAQH/BAQDAgWgMB0GA1Ud
JQQWMBQGCCsGAQUFBwMBBggrBgEFBQcDAjAfBgNVHSMEGDAWgBQogSYF0TQaP8Fz
D7uTzxUcPwO/fzBjBggrBgEFBQcBAQRXMFUwIQYIKwYBBQUHMAGGFWh0dHA6Ly9v
Y3NwLm15c3NsLmNvbTAwBggrBgEFBQcwAoYkaHR0cDovL2NhLm15c3NsLmNvbS9t
eXNzbHRlc3Ryc2EuY3J0MEAGA1UdEQQ5MDeCNeWIq aJq S6hi7lirPotYTnmoTn
vZHnq5nkuI3mmK/kvaDog73miavlvpfliLDnmoQuY25tMA0GCSqGSIb3DQEBCwUA
A4IBAQA6SdaUfOx Ys2tsVAo2zcSaDokV1d9HGyU k/G2/J8ZvosMlt7pw90uRrK
MkGffMlss69Sxx2KAm0JVPaGZ60erx99LP04VYpw2PLCa1nibFoCeGS7D9uvEVa0
LiA1aLnMvYr5YjrX//TdAVuZdkfI8yLCZSeQr0v2M9QfcxCxQ1Bf7JDiEduGIYne
pLmPMQ H9eq rpAWP aW2slXN719Tv3MatePPqXK6vGKXMtyzkxCS79pCke/ 5y/
JWfEeHaPPw ASuubQyhl9scyiEPyN8zn/ChLTSVseh 0cTXDGR7j zz4bKYHs5zz
iaxHSWDqoFZh9d4rCPPHNKTgRBRi
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIIDuzCCAqOgAwIBAgIQSEIWDPfWTDKZcWNyL2O fjANBgkqhkiG9w0BAQsFADBf
MQswCQYDVQQGEwJDTjEOMAwGA1UEChMFTXlTU0wxLDAqBgNVBAsTI015U1NMIFRl
c3QgUm9vdCAtIEZvciB0ZXN0IHVzZSBvbmx5MRIwEAYDVQQDEwlNeVNTTC5jb20w
HhcNMTcxMTE2MDUzNTM1WhcNMjcxMTE2MDUzNTM1WjBeMQswCQYDVQQGEwJDTjEO
MAwGA1UEChMFTXlTU0wxKzApBgNVBAsTIk15U1NMIFRlc3QgUlNBIC0gRm9yIHRl
c3QgdXNlIG9ubHkxEjAQBgNVBAMTCU15U1NMLmNvbTCCASIwDQYJKoZIhvcNAQEB
BQADggEPADCCAQoCggEBAMBOtZk0uzdG4dcIIdcAdSSYDbua0Bdd6N6s4hZaCOup
q7G7lwXkCyViTYAFa3wZ0BMQ4Bl9Q4j82R5IaoqG7WRIklwYnQh4gZ14uRde6Mr8
yzvPRbAXKVoVh4NPqpE6jWMTP38mh94bKc ITAE5QBRhCTQ0ah2Hq846ZiDAj6sY
hMJuhUWegVGd0vh0rvtzvYNx7NGyxzoj6MxkDiYfFiuBhF2R9Tmq2UW9KCZkEBVL
Q/YKQuvZZKFqR7WUU8GpCwzUm1FZbKtaCyRRvzLa5otghU2teKS5SKVI Tpxvasp
fu4eXBvveMgyWwDpKlzLCLgvoC9YNpbmdiVxNNkjwNsCAwEAAaN0MHIwDgYDVR0P
AQH/BAQDAgGGMA8GA1UdJQQIMAYGBFUdJQAwDwYDVR0TAQH/BAUwAwEB/zAfBgNV
HSMEGDAWgBSa8Z 5JRISiexzGLmXvMX4oAp UzAdBgNVHQ4EFgQUKIEmBdE0Gj/B
cw 7k88VHD8Dv38wDQYJKoZIhvcNAQELBQADggEBAEl01ufit9rUeL5kZ31ox2vq
648azH/r/GR1S mXci0Mg6RrDdLzUO7VSf0JULJf98oEPr9fpIZuRTyWcxiP4yh0
wVd35OIQBTToLrMOWYWuApU4/YLKvg4A86h577kuYeSsWyf5kk0ngXsL1AFMqjOk
Tc7p8PuW68S5/88Pe Bq3sAaG3U5rousiTIpoN/osq GyXisgv5jd2M4YBtl/NlD
ppZs5LAOjct Aaofhc5rNysonKjkd44K2cgBkbpOMj0dbVNKyL2/2I0zyY1FU2Mk
URUHyMW5Qd5Q9g6Y4sDOIm6It9TF7EjpwMs42R30agcRYzuUsN72ZFBYFJwnBX8=
-----END CERTIFICATE-----

然后把这个生成好的证书绑定到刚刚新建的站点

现在，你就可以访问 https://你的服务器ip 来查看证书效果了。

4.配置防火墙阻止其他IP访问服务器（本方法我未实测效果，但理论上没有问题）

！！！这个方法如果没有配置好可能会造成网站无法访问，请慎用！！！

这个方法比较极端，大概相当于就算你知道了我的IP，我只让腾讯云 CDN 访问，不让你访问，你也攻击不了我的服务器。

如果你使用了宝塔面板，那么只需要安装 Nginx 防火墙（有免费版防火墙，下图为官方的付费版），然后进入全局设置，将国外国内的访问禁止，并将腾讯云 CDN 的所有IP加入到IP白名单内。

上面的方法需要知道全部的腾讯云 CDN 的 IP ，为了方便我们也可以使用另一种方案，进入站点设置，将全部网站的禁国外，禁国内和CDN全部勾选（前提是你所有的网站都套了CDN）

当然你也可以使用 Linux 自带的 firewall 通过添加IP白名单实现以上效果，具体操作在这里就不多赘述了。

如果你依次把上面四步三步全部安排妥当的话，你那脆弱可怜幼小无助的源站IP就算安全了~~（或许吧）~~

腾云先锋（TDP，Tencent Cloud Developer Pioneer）是腾讯云 GTS 官方组建并运营的技术开发者群体。这里有最专业的开发者&客户，能与产品人员亲密接触，专有的问题&需求反馈渠道，有一群志同道合的兄弟姐妹。来加入属于我们开发者的社群吧。

cdn 全站加速网络轻量应用服务器CDN 源站IP

0 人点赞