Cloudflare CDN 会不会暴露源站IP？安全防护实用指南
最近幫客戶處理源站IP暴露問題時，發現不少團隊即便用了Cloudflare，伺服器依然被惡意流量打穿。這篇就來拆解那些「以為隱藏了IP卻翻車」的真實陷阱，以及多數人忽略的關鍵加固步驟。
Cloudflare預設架構確實能遮蔽源站IP，但魔鬼藏在操作細節裡。去年某電商平台被DDoS灌爆，攻擊者精準繞過CDN直擊源站。事後溯源發現，他們的開發環境DNS紀錄竟指向真實IP，攻擊者透過子域名爆破摸出主站位置。這種「旁路洩露」連資深工程師都可能中招。
這些隱形漏洞比你想的更常見：
1. 歷史DNS紀錄：遷移伺服器後舊A紀錄沒刪除，whois歷史庫裡躺著你的裸IP。曾遇過客戶更換主機商三年後，攻擊者仍從網域快照挖出原始IP段
2. 郵件伺服器直連：用office365或自建郵件服務？若MX紀錄指向源站IP，等於在防火牆開側門。某金融公司因此被勒索團夥精準打穿SMTP端口
3. 第三方服務回調：支付API、監控探針（如UptimeRobot）直接訪問源站IP。攻擊者偽造合法User-Agent就能騙過基礎ACL規則
實戰級加固策略這樣做：
‧ 源站隔離術：在伺服器防火牆設定「只允許Cloudflare IP段連入」，但別傻傻用官方公開列表。我寫了自動化腳本每小時抓取AS13335的BGP路由更新，動態更新iptables規則，擋掉新上線的邊緣節點漏洞
‧ SSL證書陷阱：當源站啟用SSL時，攻擊者可透過證書透明度日誌（CT logs）反查IP。解法是在Cloudflare生成專用證書，關閉源站的443端口監聽，迫使所有流量強制走CDN管道
‧ 真實案例操作：去年協助某遊戲公司防護時，我們在測試環境部署「蜜罐伺服器」並綁定閒置子域名。當監控到該IP有異常掃描行為，立即觸發Cloudflare WAF規則全網封殺AS號，成功攔截針對性滲透
最近還發現新型偵查手法：攻擊者利用Cloudflare的邊緣函數延遲特性，在HTTP請求夾帶特殊payload。若源站響應時間出現毫秒級差異，就能定位真實IP。防禦這招需要在Worker腳本植入擾碼邏輯，有興趣的讀者可以私訊交流腳本範例。
Cloudflare不是裝上就無敵，它像防彈玻璃——安裝角度偏差分毫，防護效果天差地別。養成每月用Pentest-tools跑源站IP嗅探測試的習慣，畢竟在攻防戰場上，隱藏自己比打造盔甲更重要。
評論: