隐藏服务器真实IP的几种做法与验证方法
想让别人访问网站时看不到服务器的真实 IP，核心思路只有一条：让用户只接触 CDN 或反向代理节点，源站服务器只接受来自这些节点的连接。
单纯改一个配置并不能隐藏 IP，域名解析历史、邮件头、证书日志、子域名都可能把源站暴露出来，所以要做的是整套“收口”。
本文按准备、操作、避坑、验证的顺序讲清楚。
适用场景是一台已经在运行的 Web 服务器（Nginx 或 Apache），你拥有域名解析权限和云防火墙或安全组的管理权限。
先搞清楚 IP 会从哪里泄露
在动手前，先知道自己要堵哪些口子，否则配了 CDN 仍然会被扫到源站。
常见泄露渠道有：
- 域名 A 记录直接指向源站 IP，或历史解析记录被第三方 DNS 历史库收录。
- 网站发信（如用户注册邮件、工单通知）的邮件头里带有源站 IP。
- 同一台服务器上其他子域名、测试域名直接解析到源站。
- 源站对所有来源开放 80/443，攻击者用全网扫描就能找到你的服务。
- SSL 证书透明日志（CT Log）记录了与源站相关的域名，配合扫描可反查。
判断标准很简单：只要有人能直接连上源站端口并拿到你的站点内容，隐藏就不算成功。
准备：接入 CDN 或反向代理
最常用的方式是使用 CDN 服务商（如 Cloudflare 或国内云厂商的 CDN），把域名解析交给 CDN，源站只保留回源。
操作前确认三件事：
- 域名已完成备案（国内节点要求）或选择不需要备案的接入方式。
- 记录当前源站 IP 和网站配置，方便回滚。
- 确认 CDN 的回源地址段，后续要在源站防火墙里放行。
以 Cloudflare 为例，添加站点后把域名的 NS 记录改为 Cloudflare 提供的名称服务器，等待解析生效。
然后在 DNS 页面把网站记录设为“已代理”（橙色云朵），这样外部解析到的是 Cloudflare 的 IP，而不是你的源站。
国内云 CDN 的路径类似：在控制台添加加速域名，源站类型选“源站域名”或“IP”，配置回源 Host，再把域名 CNAME 到 CDN 分配的地址。
源站收口：只放行回源地址
这是最关键的一步。
CDN 接入后，源站如果还对全网开放，扫描器照样能找到。
需要在云防火墙或安全组里限制 80/443 的入站来源。
如果使用 Cloudflare，可以只允许 Cloudflare 的 IP 段访问源站。
Cloudflare 官方会公布 IP 段列表，建议按其文档获取最新列表，不要照抄旧文章里的固定段。
用 ufw 的示例如下（IP 段需替换为官方最新值）：
sudo ufw allow from 173.245.48.0/20 to any port 443
sudo ufw allow from 103.21.244.0/22 to any port 443
sudo ufw deny 443使用 Nginx 时，也可以在站点配置里加一层来源限制，作为防火墙之外的补充：
server {
listen 443 ssl;
server_name example.com;
allow 173.245.48.0/20;
allow 103.21.244.0/22;
deny all;
location / {
proxy_pass http://127.0.0.1:8080;
}
}注意 deny all 会拦截所有不在白名单内的来源，配置前先在测试环境验证，避免把自己也挡在外面。
改完后执行 nginx -t 检查语法，再 systemctl reload nginx 平滑生效。
容易被忽略的泄露点
邮件泄露：网站如果用本机 sendmail 或 postfix 直接发信，邮件头会带源站 IP。
建议改为通过第三方 SMTP 服务发信，或在邮件服务里配置中继。
子域名与历史记录：检查所有子域名解析，测试环境不要直接指向源站。
历史解析记录无法删除，只能通过更换源站 IP 或确保源站只接受 CDN 回源来降低影响。
证书与端口：源站不要额外开放 8080、3306 等管理端口到公网；
数据库和 SSH 只允许固定管理 IP 访问。
怎么验证是否还暴露
配置完成后，从一台不在白名单内的机器上测试：
curl -I --resolve example.com:443:源站IP https://example.com
ping example.com如果 curl 直接连源站 IP 返回超时或被拒绝，说明收口生效；
如果仍能返回 200，说明防火墙或 Nginx 白名单没起作用。ping 域名应返回 CDN 节点 IP，而不是源站 IP。
还可以用第三方“多地 ping”或 DNS 查询工具查看域名解析结果，确认解析记录指向的是 CDN。
隐藏服务器真实 IP 不是一次配置就结束，新增子域名、更换发信方式、调整防火墙时都要重新检查。
只要源站坚持“只信回源地址”，大部分扫描和反查都会被挡在门外。
常见疑问
用了 CDN 就一定安全吗？ 不一定。
CDN 只隐藏了解析层面的 IP，源站端口若对公网开放，仍可能被扫描到，所以防火墙收口必须做。
源站 IP 已经泄露过怎么办？ 可以更换源站 IP，并同步更新 CDN 回源配置；
历史记录无法撤回，但收口后旧 IP 不再提供服务，影响会降低。
免费 CDN 够用吗？ 对小型站点通常够用，但要注意免费套餐的回源 IP 段和防护能力有限，重要业务建议评估付费方案。
