网站源站为何需要加大防护

接入CDN后，访问流量通常会经过CDN节点转发至源站。若源站IP被探测或泄露，攻击者可绕过CDN直接发起请求，导致源站负载飙升、业务中断，甚至被植入恶意程序。面对这类直连攻击，单纯依赖CDN侧防护已不够，必须在源站侧建立有效的访问控制策略。

1Panel实现源站防护的原理

1Panel是开源的Linux服务器运维管理面板，基于其内置的防火墙管理功能，可灵活配置入站规则。通过将源站防火墙设置为仅放行CDN回源IP访问指定端口，并拒绝其余来源IP的直连，即可从源头上阻断绕过CDN的恶意请求。该方案不依赖具体CDN厂商，适用于任何支持回源IP段列表的加速服务。

方案的适用条件

• 源站已成功接入CDN，并确认业务域名解析已切换至CDN节点。
• CDN服务商提供公开、可校验的回源IP段说明。
• 源站本身无需对公网用户直接开放Web端口。

在1Panel中配置源站防护的步骤

第一步：获取CDN回源IP段

登录CDN控制台，查找回源IP段相关文档，获取当前CDN节点回源时使用的公网IP段。建议同时保存多个备用IP段，避免因单一来源地址变动影响业务。若不确定IP段是否准确，可先放行后观察一段时间访问日志。

第二步：在1Panel中添加防火墙规则

登录1Panel面板，进入防火墙页面，确认系统防火墙已开启。接下来需要配置两条规则：先放行CDN回源IP，再拒绝其他IP。

1. 点击“添加规则”，选择端口放行，端口类型选择TCP，填写源站对外端口（如80或443）。
2. 来源IP填写CDN官方提供的回源IP段，若有多个IP段则逐条添加。
3. 保存规则后，再添加一条匹配同一端口的拒绝规则，来源IP暂时填写0.0.0.0/0，优先级调整为低于放行规则。

第三步：验证规则顺序并测试连通性

完成上述配置后，在1Panel规则列表中确认：CDN回源IP放行规则位于拒绝规则之前。实际生效时，系统会优先匹配放行规则，再将其他来源IP拒绝。配置完成后可通过以下方式验证：

• 在源站本机使用curl访问本机站点，确认返回正常状态码。
• 使用非CDN出口IP的设备直接访问源站IP，观察连接是否超时或被拒绝。
• 检查CDN节点能否正常回源，页面状态是否保持正常。

配置过程中的注意事项

• 防止误拦CDN节点：若CDN回源IP较多或变动频繁，建议将所有回源IP段一次性加入放行列表，减少后续调整频率。
• 不要封闭全部端口：仅对Web服务端口（如80、443）实施限制，SSH管理端口以及其他内部服务端口的访问策略应单独评估，以免影响正常运维。
• 结合云安全组联动配置：如果源站部署在云服务器中，建议同时在云平台安全组与1Panel防火墙中执行相同规则，实现多重防护。
• 定期复核规则：当CDN回源IP段发生变化时，及时同步更新1Panel防火墙规则，避免因IP过期导致回源失败。

总结

借助1Panel防火墙能力，将源站Web端口限制为仅放行CDN回源IP访问，是阻断IP直连攻击简单有效的手段。实施过程中，需重点确保规则优先级正确、回源IP段准确完整，并在配置完成后做好连通性测试。与CDN防护、安全组策略结合使用，可显著提升源站安全性，降低源站IP暴露所带来的风险。