摘要：# CDN节点被穿了，攻击直怼源站？别慌，这几招能救急 那天半夜，手机突然狂震，一看监控，源站流量直接拉满，CPU飙到100%。我当时心里咯噔一下：**不对啊，明明前面挂着CDN和高防的，攻击怎么绕过去了？** 赶紧查日志，发现大量异常请求，IP五花八…

CDN节点被穿了，攻击直怼源站？别慌，这几招能救急

那天半夜，手机突然狂震，一看监控，源站流量直接拉满，CPU飙到100%。我当时心里咯噔一下：不对啊，明明前面挂着CDN和高防的，攻击怎么绕过去了？

赶紧查日志，发现大量异常请求，IP五花八门，但目标出奇地一致——全是我源站服务器的真实IP。那一刻我明白了，我们常说的“源站隐藏”，可能在某些情况下，早就“裸奔”了。这种感觉，就像你以为自家大门装了十道锁，结果小偷从后墙一个你压根没注意的狗洞钻了进来。

CDN是怎么被“穿”的？几个你可能忽略的漏洞

首先，咱们得搞清楚，攻击者是怎么摸到你源站真实IP的。这事儿说起来，很多运维都觉得“我配置好了就安全了”，其实不然。

1. 历史记录“出卖”了你 这是最常见，也最容易被忽略的一点。你的源站IP，可能在很久以前，在某个域名解析历史里留下过记录。攻击者用一些网络空间测绘引擎（比如Shodan、Censys，或者国内的一些类似平台），一搜你的域名，可能就把“黑历史”翻出来了。我自己就见过不少案例，问题就出在几年前迁移服务器时，老IP没彻底清理干净。

2. 你主动“告诉”了别人 听起来离谱，但真不少见。比如，你的网站某些非核心服务（像邮件服务器、FTP、测试环境）可能还直接解析到源站IP；或者网站里某些代码、图片、JS文件的链接，写的是绝对路径，直接带了IP。更绝的是，有些站长在第三方服务（比如云监控、统计代码）里，图省事直接填了源站IP。这等于把钥匙挂在了门把手上。

3. CDN配置“漏了风” CDN不是神，配置不当就是摆设。比如，你没设置“只允许CDN回源”，或者防火墙规则太宽松，导致攻击者可以伪装成CDN的节点IP直接访问你的源站。再比如，有些小众的、没接入CDN的子域名，直接指向了源站，成了攻击的跳板。

说白了，防护体系最脆弱的环节，往往是人。 很多所谓“无懈可击”的方案，PPT上很猛，真被高手盯上，几个小疏忽就能让你露馅。

攻击已经来了，第一反应该做什么？

当发现攻击穿透CDN直打源站时，别管什么根因分析了，先做三件事，把血止住：

第一步：立即切换源站IP（如果条件允许） 这是最直接、最有效的临时止损办法。如果你的云服务商支持快速更换服务器公网IP，别犹豫，马上操作。换完IP，立刻在CDN服务商那里更新回源地址。这能给你争取到宝贵的几个小时，去排查问题。别心疼那点IP费用，业务停摆的损失大得多。

第二步：在服务器前端做临时封禁 登录你的源站服务器，或者如果你有独立的防火墙（硬件或云WAF），立刻根据攻击特征设置临时的IP黑名单或速率限制规则。比如，发现攻击来自某个AS号（自治系统），可以整段封禁；或者针对异常高的请求频率，进行限流。这招虽糙，但能扛住一部分压力。

第三步：启用“备用源站”或静态化（如果有准备） 如果你有预案，比如一个只存放了关键静态页面的备用服务器（甚至对象存储），立刻把CDN回源地址切换到它。同时，可以考虑将核心业务页面紧急静态化，先确保用户能看到一个“公告页”或基础服务，而不是错误提示。

我知道，这时候你可能手忙脚乱。但记住顺序：先保业务可用，再查问题根源。

长远来看，怎么把“狗洞”彻底焊死？

救完火，该修墙了。下面这几条，是我自己踩过坑后总结的，算不上高深，但胜在实用：

1. 源站隔离，玩真的 别让源站服务器直接面向互联网提供任何服务。最好的做法是：

• 设置严格的防火墙策略：只允许你的CDN服务商提供的回源IP段访问你的服务器特定端口（如80、443）。国内各大云厂商和CDN服务商，官网上都能找到他们的回源IP段列表，把它配到安全组或iptables里，是铁律。
• 使用内网IP回源：如果你的服务器和CDN同在一个云厂商的体系内，尽量使用内网（VPC）进行通信和回源，这能从根本上杜绝公网IP暴露。

2. 信息排查，做“大扫除” 定期给自己做“体检”：

• 用那些网络空间搜索引擎，搜一下自己的主域名、相关子域名，看看有没有历史IP泄露。
• 检查网站源代码、各类配置文件、第三方服务对接点，有没有硬编码的IP地址。
• 确保所有对外提供服务的域名，都必须经过CDN或高防，没有“漏网之鱼”。

3. 高防IP/高防CDN，作为最后防线 对于真正重要的业务，别只依赖普通CDN。可以考虑：

• 将源站IP隐藏在独享的高防IP后面：所有流量先经过高防IP清洗，干净的流量再通过内网或专线回源。这样，你的源站IP对公网完全不可见。
• 使用具备强力CC防护和源站保护能力的高防CDN：有些高级产品能动态混淆回源IP，甚至提供“IP白名单+动态令牌”验证回源请求，安全性更高。

4. 监控与告警，耳朵要灵 建立针对源站IP的直接访问监控。一旦发现非CDN回源IP的流量异常增长，立即告警。这能让你在攻击规模变大前，就提前感知。

最后说点大实话

防护这事儿，没有一劳永逸。攻击技术也在迭代，今天安全，不代表明天就高枕无忧。很多公司舍得花大钱买高级防护产品，却忽视了最基础的配置管理和安全运维，问题往往就出在这儿。

所以，别再以为套个CDN就万事大吉了。定期审视你的安全边界，把源站隐藏当成一个动态的、持续的过程，而不是一次性的配置。

如果你的源站现在还在某种程度上“裸奔”，看完这篇文章，你心里应该有点数了。赶紧去查查吧，别等真被打穿了再拍大腿。

行了，不废话了，检查日志去吧。