网站总被攻击？聊聊Cloudflare之外的硬核防护思路

Cloudflare不是万能药，源站暴露就全完了

不少站长把网站往Cloudflare后面一挂，就觉得安全了。但实际情况是，只要源站IP被扫出来，攻击者直接绕过CDN打你的服务器，Cloudflare根本拦不住。尤其是用邮件服务、历史DNS记录、SSL证书信息这些渠道，源站IP泄露的途径比你想象的多。

我见过太多案例：网站接入了Cloudflare，结果被人通过扫描全网IP段+Host头碰撞找到源站，然后一波DDoS直接把服务器打趴。CDN防护再强，源站裸奔等于白搭。

隐藏源站IP的几个实用手段

第一，换IP后严格做隔离。源站服务器只允许Cloudflare的回源IP段访问，其他一律拒绝。防火墙规则要写死，别嫌麻烦。

第二，邮件服务分离。很多源站IP是通过发信记录的邮件头泄露的，把邮件服务放到独立的小机器或者第三方SMTP上，别跟Web服务器共用IP。

第三，SSL证书别用源站真实信息。申请证书时用Cloudflare的Universal SSL或者Let's Encrypt，避免证书透明日志暴露你的真实域名和IP关联。

• 防火墙只放行CDN回源段
• 邮件服务与Web服务分离
• 关闭不必要的端口和服务
• 定期检查DNS历史记录是否泄露

如果源站本身需要一定防护能力，可以考虑接入高防服务器做兜底。比如美国洛杉矶高防服务器2，自带100M带宽和基础DDoS清洗，配合Cloudflare使用，即使源站被扫到也能扛住一波攻击。

CC攻击和DDoS要分开应对

Cloudflare对CC攻击的防护确实不错，但大流量DDoS它主要靠Anycast分流，如果你的源站带宽小，回源流量照样能把服务器打满。这时候要么升级源站带宽，要么上高防清洗。

我的建议是：CDN层用Cloudflare扛CC和缓存，源站层用高防服务器扛流量。两层防护各司其职，比单靠一层靠谱得多。

如果预算允许，美国西雅图高防服务器52这种双路Platinum配置，100M带宽加高防清洗，适合中大型站点做源站。配置扎实，防御能力也比普通服务器强不少。

架构层面的安全习惯

再好的防护也架不住代码漏洞。定期更新CMS、关闭不必要的插件、数据库不对外暴露端口，这些老生常谈的事才是安全的地基。Cloudflare能挡外面的攻击，挡不住你程序里的后门。

另外，养成看日志的习惯。Cloudflare的防火墙日志、服务器访问日志，定期翻一翻，异常请求模式早发现早处理。安全这事，没有一劳永逸，只有持续投入。