源站IP暴露风险及隐藏方法，重点不只是把服务器地址藏起来，还要避免外部请求绕过代理直接连到源站。即使网站前面部署了反向代理，只要源站仍对所有公网连接开放，扫描者找到地址后仍可能直接探测服务。以下六项设置可以按顺序检查；具体操作名称会因主机系统和服务商面板而异。
先收紧入口：三项基础设置
1. 只让代理层对外接收网站流量
检查公开的域名解析记录：面向访客的网站记录应指向代理服务，而不是直接指向源站。确认代理已能正常回源后，再从服务商控制台或服务器防火墙限制源站的网页端口，只允许该代理公布的回源地址段访问。地址段可能调整，应以服务商当前文档为准，并定期复核；不要照搬旧教程里的固定清单。
2. 配置源站防火墙的回源白名单
对外服务的端口采用“默认拒绝、按需放行”：仅开放代理所需的端口和来源，其余公网来源拒绝连接。管理入口应单独限制到固定办公出口或专用管理网络，不要因为需要排错，就把管理端口临时对全网开放。调整前先保留当前管理会话，并确认有云控制台等备用恢复途径，避免误封自己。
3. 关闭不必要的公网监听
在服务器和应用配置中核对实际监听地址。数据库、缓存、监控面板等服务若只供本机或内网使用，应绑定本地地址或私有网络接口，而不是所有网络接口。以 Nginx 为例，除了检查站点配置，也要检查默认虚拟主机：访问未知主机名时应拒绝请求或返回无敏感内容的页面，不能泄露内部站点信息。
再排除旁路：三项容易漏掉的设置
4. 检查所有子域名和辅助服务
盘点测试站、旧站、文件下载、状态页和临时预览等子域名。某个子域名如果仍直接指向源站，就可能成为绕过代理的入口。邮件服务通常需要独立的接收地址和邮件记录，不应为了隐藏网站源站而误改邮件配置；同时确认邮件、远程管理等服务没有意外暴露同一台服务器的其他入口。
5. 验证直连时的实际响应
从授权的外部网络测试源站地址：在不经过代理的情况下，网站端口应无法连接，或由防火墙拒绝非白名单来源。再通过正常域名访问，确认页面、登录和必要接口仍工作。只看到代理页面正常，并不能证明源站已受保护。测试应限定在自己管理的系统内，避免对无关地址扫描。
6. 暴露后轮换地址并清理引用
如果旧地址已经出现在公开配置、日志截图或历史解析记录中，单纯删除页面不等于地址失效。先准备新地址并迁移服务，再更新代理回源设置、防火墙白名单、监控和运维配置；验证访问正常后，关闭旧地址上的服务或释放旧地址。切换期间要考虑解析缓存和连接存续时间，具体等待多久取决于原有缓存设置及客户端行为。
实施顺序与常见问题
建议先确认代理能够稳定回源，再收紧防火墙，随后核对监听服务和子域名，最后从外部验证。源站IP暴露风险及隐藏方法不能保证地址永远不会被发现；真正关键的是，即使地址泄露，未经授权的连接也无法绕过代理访问服务。
只隐藏域名解析记录够不够？
不够。公开记录只是可能的发现途径之一，旧记录、邮件配置或其他子域名也可能暴露地址。访问控制才是阻止直连的关键。
使用代理后还需要防火墙吗？
需要。代理负责转发和过滤部分流量，源站防火墙则限制谁能连接源站，两者职责不同，配合使用更可靠。
轮换源站地址后，旧地址能马上停用吗？
先确认代理、监控和必要服务已切换，并完成外部验证，再停用旧地址。若仍有合法连接依赖旧地址，应先查明来源，避免中断业务。
