网站防护实战：除了套CDN，源站还能怎么加固？

CDN不是万能盾，源站裸奔等于开门揖盗

不少站长有个误区：域名解析到CDN，网站就安全了。实际上，CDN只负责边缘节点的流量清洗，一旦攻击者通过历史DNS记录、邮件头、子域名爆破拿到你的真实源站IP，所有攻击流量会直接绕过CDN砸向服务器。

更麻烦的是，源站一旦暴露，CC攻击可以精准打在你的登录接口、搜索接口上，CDN的缓存规则根本拦不住动态请求。所以网站安全的第一课，不是买多贵的防护，而是先让源站“隐身”。

源站隐藏的四个实操动作

• 换IP并清理历史记录：把源站迁移到新IP，同时检查DNS历史解析、SSL证书透明度日志、网站源码里的绝对路径，把泄露点逐一清理。
• 只允许CDN回源：在服务器防火墙里设置白名单，只放行CDN节点的回源IP段，其他一律拒绝。这样即使IP泄露，攻击流量也进不来。
• 内网通信加密：源站和数据库之间走内网，管理后台加IP白名单和二次验证，别让phpMyAdmin这类入口裸奔在公网。
• 监控异常流量：给源站装个轻量监控，带宽曲线突然拉平或连接数暴涨时，第一时间收到告警。

如果业务本身容易招攻击——比如游戏、电商、金融类站点，那源站最好直接放在带防御能力的独立服务器上。像美国洛杉矶高防服务器28这类方案，单机自带百兆防御和E5-2683v4*2的算力，配合CDN做分层防护，比单纯依赖云端清洗更可控。

日常运维里最容易被忽视的三件事

安全不是一次配置就完事。很多入侵事件回头看，漏洞都出在不起眼的地方。

• 插件和CMS版本：WordPress、Discuz的旧版本漏洞是重灾区，能自动更新就别手动拖延。
• 弱口令和默认端口：SSH别用22端口，数据库别用root空密码，后台路径改掉默认的admin。
• 日志留存：至少保留30天访问日志，被入侵后能追溯入口，不然只能重装系统了事。

对于流量较大、又不想在安全上反复折腾的站长，直接上带硬防的独立服务器是省心选择。比如美国硅谷高防服务器 XVIII，E5-2620*2配32G内存和100M带宽，防御能力覆盖常见DDoS类型，适合作为源站长期运行。

说到底，网站安全是个系统工程：CDN负责挡明枪，源站加固负责防暗箭，两者缺一不可。先把源站藏好、把入口收紧，再谈高级防护才有意义。