初期准备：选购CDN服务并绑定域名
在开始配置之前，需要先拥有一台服务器和一个已注册的域名。常见CDN服务商如Cloudflare、腾讯云CDN、阿里云CDN等均支持隐藏源站IP的功能。注册并登录CDN平台后，在控制台添加域名，并将域名的DNS解析托管到CDN服务商提供的DNS服务器上。这一步完成之后，用户访问的流量将先经过CDN节点，而不会直接触及源站IP。
第一步：在CDN面板中创建加速域名
添加域名时，源站IP填写你服务器的公网IP地址或源站域名。建议勾选“回源HOST”设置，确保回源时Host头与客户端请求保持一致。大部分CDN服务商会自动检测并提示DNS配置是否正确，一般情况下只需等待解析生效即可。
第二步：开启CDN的代理状态（Proxy / Orange Cloud）
在DNS记录页面，将A记录或CNAME记录的代理状态改为“已代理”（图标通常为橙色云朵）。只有开启代理后，CDN才会隐藏源站IP并加速分发内容。如果设置为“仅DNS”，则用户仍可以通过DNS查询到真实IP，失去隐藏效果。
第三步：限制源服务器只接受CDN的访问
这是隐藏真实IP最关键的一环。登录你的源服务器，采取以下措施之一或组合：
- 配置防火墙（iptables或ufw）：仅允许CDN服务商公布的IP地址段通过HTTP/HTTPS端口（80/443）访问服务器。可从CDN官方文档获取最新IP段列表。
- 使用Web服务器访问控制：在Nginx或Apache中设置
allow和deny规则，只允许CDN节点的IP段。 - 开启HTTP基础认证或回源鉴权：部分CDN支持在回源请求中添加特定Token或Header，源站验证通过后才响应内容。
第四步：禁用直接IP访问和端口扫描防御
修改Web服务器配置，使任何通过服务器公网IP直接访问的请求返回403或444状态码。例如Nginx中可以设置默认server块为空并拒绝所有请求。此外，建议关闭不使用的端口，开启Fail2ban等入侵防御工具，防止扫描工具直接探测到真实IP。
第五步：确保SSL/TLS证书正确部署
在CDN节点上配置SSL证书（通常支持一键申请免费证书），同时开启“全站HTTPS”或“强制HTTPS”选项。源站本身也可以配置SSL证书，但更推荐由CDN统一管理证书，以减轻源服务器负担并提升安全性。
常见问题与补充要点
- 源站IP泄露的常见渠道：通过历史DNS记录、子域名枚举、邮件头信息、网站备案查询等都可能暴露真实IP。建议同时清理不再使用的子域名解析记录，并在邮件Footer中避免出现源站IP。
- 动态IP与静态IP的选择：如果源站使用动态IP，隐藏效果不稳定，更换IP后需及时更新CDN的源站配置。
- 日志审计：定期检查源服务器的访问日志，若发现直接来自公网IP的非CDN请求，应立即排查漏洞或调整防火墙规则。
业内对博塔管理方式的质疑持续发酵。曾经与博塔共事的人士评价其属于自上而下的管理风格，和红杉传统合伙人协作文化存在冲突；另有两人称博塔与有限合伙人关系冷淡。这名共事人士同时提出，博塔近年缺少像莱昂那样亮眼的投资成果，莱昂执掌期间主导投资Wiz、Nubank。提示：隐藏真实IP是网站安全的重要防线，但并非万能。建议配合WAF（Web应用防火墙）和定期安全巡检，构建多层次防护体系。
评论区
热门讨论 · 占位展示期待你的精彩发言。