CDN 与源站保护的配置要点

使用 CDN/WAF 时真正的服务器（源站）不应直接对公网开放：回源请求应白名单化（CDN 回源 IP 段或带校验头），否则攻击者绕过防护直连源站。

源站保护配置思路

1. 源站仅放行 CDN 回源 IP 段（防火墙/安全组维护清单）
2. 或回源增加校验头（如携带内部 token，源站校验后才响应）
3. 源站不对外解析真实域名；内部解析分离
4. 变更 CDN 节点段时同步更新白名单

# 从外部环境直连源站 IP 访问站点
curl -sk -H 'Host: www.example.com' https://<源站IP>/ -o /dev/null -w '%{http_code}\n'
# 与经 CDN 访问的结果比对：直连也 200 说明源站未受保护

回源白名单要跟随 CDN 厂商的地址清单更新，长期不更新会在节点扩容后出现间歇性 5xx。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌