凌晨两点，金融平台的安全团队刚刚完成高防CDN切换。网站已经可以通过CDN正常访问，DDoS防护、CC策略和WAF规则也全部启用。

技术团队原本以为可以松一口气，源站带宽却突然被占满。

攻击者没有继续攻击网站域名，而是绕过CDN，直接向交易系统的真实IP发起流量攻击。高防节点没有收到攻击流量，自然也无法进行清洗。几分钟后，行情接口开始超时，用户登录失败，交易API陆续出现502和504错误。

这种情况并不少见。

接入高防CDN只是隐藏源站IP的第一步。如果历史DNS记录、APP配置、API子域名、邮件服务器、测试环境或者防火墙规则仍然暴露真实地址，攻击者就可能绕过所有边缘防护，直接攻击金融平台的源站。

对于证券、期货、基金及金融科技平台来说，真正有效的源站保护，需要同时完成流量入口收敛、IP更换、访问白名单、域名清理、管理面隔离和持续暴露监测。

为什么金融交易系统必须隐藏源站IP？

高防CDN的基本防护逻辑，是让正常用户和攻击流量先到达CDN节点。

CDN在边缘完成DDoS清洗、CC识别、WAF检测和API访问控制，只有通过安全检查的请求才会被转发到金融平台源站。

理想访问路径是：用户或攻击流量 → CDN07高防节点 → 安全检测与流量清洗 → 金融平台源站

如果源站真实IP泄露，攻击者就可以绕开CDN：攻击流量 → 金融平台真实IP

这时，即使CDN拥有足够的防护能力，也无法清洗没有经过CDN的流量。

攻击者不一定需要攻破服务器。只要占满源站带宽、连接数或防火墙会话表，就可能导致：

• 官网和APP无法登录；
• 行情接口响应延迟；
• WebSocket连接大面积中断；
• API网关出现大量超时；
• 下单和撤单请求失败；
• 数据库与内部服务连接异常；
• 云服务商触发黑洞或流量限制；
• 主备源站同时受到攻击。

对金融业务来说，隐藏源站IP不是一项可选优化，而是高防CDN能够发挥作用的基础。

接入了高防CDN，为什么真实IP还会暴露？

不少平台认为，只要把主域名解析到CDN，源站IP就已经隐藏。实际上，攻击者寻找源站地址时，并不会只查看当前主域名的DNS记录。

真实IP通常从以下环节泄露。

历史DNS记录仍然指向旧源站

金融网站接入CDN之前，主域名可能长期直接解析到美国、香港、新加坡或其他地区的服务器。

即使现在已经改为CDN地址，过去的DNS解析结果仍可能被历史数据库、网络扫描系统或第三方监测平台保存。

如果接入CDN后继续使用原来的源站IP，攻击者仍然可能根据历史记录找到服务器。

正确做法

CDN切换完成后，应尽快更换源站公网IP，而不是继续使用已经暴露过的旧地址。

源站IP更换后，还要确认旧IP不再承载任何生产服务，并停止从旧地址转发到新源站，避免攻击者沿着旧入口继续追踪业务。

API、行情和WebSocket子域名没有接入CDN

主网站可能已经接入高防CDN，但其他业务域名仍然直接解析源站，例如：

• api.example.com
• trade.example.com
• quote.example.com
• account.example.com
• ws.example.com
• download.example.com
• upload.example.com

攻击者只需要找到其中一个没有接入CDN的子域名，就可能发现与主交易系统相同的源站IP或同一机房网段。

尤其是APP，页面访问的是CDN域名，登录、行情和交易请求却可能直接连接API服务器。用户感觉网站受到保护，核心交易系统实际上仍然完全暴露。

正确做法

平台需要对所有互联网入口进行资产梳理，而不是只处理官网域名。

网站、APP、API、WebSocket、文件上传、软件下载和公开回调接口，都应根据协议和业务性质接入相应的高防服务。

HTTP和HTTPS业务可以通过高防CDN代理；无法使用HTTP代理的TCP业务，则需要使用高防TCP代理、四层转发或专门的网络防护方案。

APP中写死了服务器IP

部分早期金融APP为了减少DNS解析时间，可能在客户端配置文件或代码中直接写入服务器IP。还有一些APP会同时保留域名和IP，在域名解析失败时自动连接备用IP。

这种设计看似提高了容灾能力，实际上可能直接暴露源站。

只要用户设备能够获得这个IP，攻击者也可能通过公开安装包、网络请求或错误日志发现它。

正确做法

APP不应直接连接源站IP。所有对外请求应通过受保护的业务域名进入CDN07高防网络。

如果需要备用接入，应配置多个受高防保护的域名或接入地址，而不是把真实源站作为客户端的备用入口。

更新APP配置后，还要考虑旧版本用户。只修复最新版本，并不能阻止旧版本继续暴露或访问源站。

邮件、客服和文件服务与交易系统共用IP

部分金融平台为了节省服务器资源，会将官网、邮件、客服后台、文件下载和交易API部署在同一个公网IP上。

即使官网已经接入CDN，邮件服务器的MX记录、客服系统或文件服务器仍可能直接暴露这个IP。

攻击者不需要从交易域名寻找源站，只要发现其他业务与交易系统共用地址，就能绕过CDN。

正确做法

交易系统的入口IP不应与以下服务共用：

• 邮件收发服务器；
• 企业官网后台；
• 在线客服系统；
• 开发测试环境；
• 文件传输服务；
• 远程管理端口；
• 监控和日志平台；
• 第三方回调服务。

对外邮件、后台管理、办公系统和交易业务应采用独立网络与独立公网地址。即使其中一个非核心系统暴露，也不能顺带暴露核心交易源站。

测试环境和临时域名暴露生产服务器

开发团队可能创建过测试域名、灰度域名、临时API域名或旧版本域名。上线完成后，这些记录没有及时删除，仍然指向生产源站。

常见情况包括：

• 测试域名直接解析生产IP；
• 灰度发布域名没有经过CDN；
• 旧版APP域名仍然可用；
• 运维临时创建的调试域名长期保留；
• 第三方监控使用直连域名；
• 备用源站域名可以从公网访问。

这些入口平时没有正常用户访问，因此很容易被安全团队忽略。

正确做法

建立完整的域名资产清单，定期检查DNS记录、证书、云平台负载均衡器和公网IP。

临时域名使用完毕后必须下线。内部监控和健康检查应通过专用网络、私有地址或经过严格认证的入口进行，不应为了监控方便，永久保留一个公开直连域名。

源站主动访问第三方服务时暴露出口地址

金融平台的源站可能主动连接第三方系统，例如支付服务、邮件平台、行情供应商、短信服务或风控系统。

如果源站的出站流量和入站业务使用同一个公网IP，第三方日志、错误信息或回调配置中可能记录这个地址。

一旦第三方系统、安全性较弱的合作方或相关账号发生泄露，源站IP也可能随之暴露。

正确做法

将源站的入站IP和出站IP分离。

生产服务器访问第三方服务时，可以通过独立NAT网关或出口代理。即使出站地址被记录，也无法直接定位到接收用户流量的源站入口。

对外回调地址同样应使用CDN或安全网关域名，避免第三方直接连接核心交易服务器。

错误页面、响应头和系统信息泄露网络结构

服务器报错时，可能在响应中返回：

• 内部服务器地址；
• 上游主机名；
• 真实端口；
• 反向代理信息；
• 调试路径；
• 云服务区域；
• 后端服务名称。

这些信息未必直接包含公网IP，却可能帮助攻击者逐步还原平台架构。

正确做法

生产环境必须关闭调试信息，统一处理错误页面，并删除没有必要向外暴露的服务器响应头。

CDN、反向代理和API网关应只返回用户需要知道的错误信息。详细的堆栈、上游地址和内部路由只保留在受保护的日志系统中。

隐藏源站IP的正确方案是什么？

真正有效的源站隐藏，不是单纯修改一次DNS，而是建立一个封闭的访问模型：

所有互联网用户只能访问CDN07，只有CDN07能够访问源站。

要实现这一点，需要完成以下几项关键工作。

第一步：梳理全部公网入口

平台首先需要建立完整的互联网资产清单，包括：

• 官网和移动端页面；
• 静态资源域名；
• 登录与认证API；
• 行情查询接口；
• WebSocket行情域名；
• 账户和持仓接口；
• 下单、撤单及订单查询接口；
• KYC文件上传；
• APP安装包和更新服务；
• 第三方回调接口；
• 管理后台和运维入口；
• 主源站、备用源站和灾备机房。

只有知道哪些入口正在使用，才能判断哪些流量应该接入高防CDN，哪些服务应该改为私有访问。

金融平台不能只问“主域名是否接入CDN”，而要问“是否还有任何用户能够直接连接源站”。

第二步：让所有公开业务先经过CDN07

对于HTTP和HTTPS业务，可以通过DNS或CNAME方式将流量接入CDN07。

CDN07在边缘完成：

• HTTPS接入；
• 静态内容缓存；
• 动态API转发；
• WebSocket代理；
• DDoS流量清洗；
• CC攻击识别；
• WAF应用防护；
• API访问频率控制；
• 机器人和异常行为识别。

用户看到的是CDN07高防节点地址，而不是金融平台源站地址。

不同业务不能使用完全相同的规则。官网、行情、账户和交易接口应分别设置缓存、超时、限流及防护策略。

第三步：切换到从未公开的新源站IP

如果原有源站IP曾经直接对外服务，就应视为已经暴露。

正确顺序不是简单把旧IP藏到CDN后面，而是：

1. 接入CDN07并完成业务测试；
2. 准备新的源站IP；
3. 将生产业务迁移至新地址；
4. 更新CDN07回源配置；
5. 验证新源站只接受CDN回源；
6. 停止旧IP承载业务；
7. 监测旧IP是否仍然收到攻击。

新源站地址不能再出现在公开DNS、APP代码、邮件配置、监控域名或第三方回调中。

如果攻击者仍然集中攻击旧IP，而新源站保持稳定，说明源站切换已经有效切断历史暴露路径。

第四步：防火墙只允许CDN07回源

隐藏IP只能降低源站被发现的概率，防火墙白名单才是阻止绕过CDN的关键。

源站应拒绝全部不必要的互联网访问，只允许：

• CDN07回源节点；
• 必要的内部服务；
• 经过授权的运维网络；
• 主备数据库及业务通信；
• 经过验证的监控系统。

即使攻击者偶然发现新IP，如果请求来源不在白名单中，也无法直接访问网站和API。

防火墙配置完成后，应从普通公网网络验证源站IP无法直接访问，同时确认CDN07仍然能够正常回源。

第五步：对CDN回源进行双重认证

仅依赖IP白名单还不够。平台还可以对CDN到源站的请求增加身份验证，例如：

• 使用HTTPS加密回源；
• 校验CDN回源证书；
• 使用双向TLS认证；
• 验证专用回源请求头；
• 对高敏感API校验请求签名；
• 拒绝未知Host和SNI；
• 定期轮换回源密钥。

专用请求头可以增加一层保护，但不能替代防火墙白名单。普通请求头可能被伪造，只有将网络来源限制和身份认证结合起来，才能建立可靠的回源边界。

第六步：管理后台不要与交易入口放在一起

运维后台、数据库管理、日志平台和服务器远程登录不应通过公开CDN域名直接暴露。

更稳妥的方式是通过：

• 企业VPN；
• 零信任访问系统；
• 堡垒机；
• 专用管理网络；
• 身份认证代理；
• 多因素认证；
• 设备可信校验。

管理面与用户交易面必须分离。即使公开网站遭受攻击，也不能影响运维人员进入后台处理故障；即使管理员账号异常，也不应直接暴露交易系统入口。

第七步：保护真实用户IP传递链路

接入CDN后，源站看到的连接来源通常是CDN回源节点，而不是用户真实IP。金融平台仍然需要用户IP进行登录风控、设备识别和安全审计。

CDN07可以通过受控请求头向源站传递真实客户端IP。但源站只能信任来自CDN07回源节点的对应请求头。

如果源站允许任意公网请求自行提交“真实IP”请求头，攻击者就可能伪造身份，干扰风控和审计结果。

因此，正确逻辑是：

• 公网只能访问CDN07；
• 源站只接受CDN07回源地址；
• 只有CDN07传递的用户IP请求头可以被信任；
• API网关对用户IP、账户和设备信息统一记录。

第八步：为主备源站建立同样的安全边界

有些平台保护了主源站，却让备用源站直接暴露公网。

攻击者一旦发现备用服务器，不仅可以直接发起攻击，还可能迫使主系统切换到已经被打满的灾备环境。

主源站、备用源站和灾备机房都应：

• 隐藏真实IP；
• 只允许CDN07回源；
• 使用HTTPS或双向TLS；
• 关闭非必要端口；
• 配置相同的安全基线；
• 接入统一监控和告警；
• 定期进行故障切换测试。

容灾系统不是“平时不用就可以少防护”，而是必须随时具备接管核心业务的能力。

证券平台还有FIX、TCP等非HTTP业务怎么办？

部分证券平台除了网站和REST API，还使用FIX、专有TCP协议或其他四层长连接。

普通HTTP CDN无法代理这类业务。如果相关服务直接暴露公网，攻击者仍可能通过它找到或攻击核心机房。

CDN07可以根据业务协议配置高防TCP代理、四层转发和独立防护入口，让用户或合作机构先连接高防地址，再由受保护链路转发至真实服务器。

对于FIX等机构交易接口，还应结合：

• 固定对手方白名单；
• 双向证书认证；
• 专线或加密隧道；
• 独立端口和网络区域；
• 会话级身份验证；
• 连接数和频率限制。

面向普通用户的网站高防与机构交易通道防护，不能混为一套方案。

常见的源站隐藏误区

误区一：域名解析到CDN，源站自然就安全了

如果源站仍允许所有公网地址访问，攻击者找到IP后依然可以绕过CDN。

误区二：旧IP暂时保留，方便发生问题时回退

旧IP如果继续连接新系统，就会成为攻击者绕过高防网络的备用入口。回退方案应使用受保护的备用域名和节点，而不是公开旧源站。

误区三：只隐藏官网，不保护API

对金融平台而言，API和行情系统通常比官网更重要。攻击者可能完全忽略官网，直接攻击登录、行情或交易接口。

误区四：使用一个秘密请求头就足够安全

请求头可以被伪造。必须同时配置源站防火墙白名单、HTTPS回源和必要的身份认证。

误区五：源站IP没人知道，所以暂时不用更换

只要这个IP曾经公开使用，就不能假设它没有被记录。历史DNS、监控、APP和第三方系统都可能保留地址。

误区六：防护带宽够大，就不需要隐藏IP

再大的高防能力，也只能清洗经过高防节点的流量。如果攻击直接到达源站，高防带宽无法发挥作用。

如何验证源站IP是否真正隐藏？

完成部署后，平台应进行一次独立验证，而不是只查看CDN控制台是否显示“接入成功”。

建议检查：

• 所有公开域名是否都解析至CDN07；
• 历史或临时域名是否仍然指向新源站；
• APP是否存在写死的IP或直连地址；
• API和WebSocket是否全部经过高防节点；
• 邮件、客服和下载服务是否与交易源站共用IP；
• 普通公网能否直接访问源站；
• 未携带正确Host或认证信息的请求是否被拒绝；
• 源站防火墙是否只允许CDN07回源；
• 管理端口是否对公网开放；
• 主备源站是否采用相同防护策略；
• 日志中的用户真实IP是否正确；
• 旧源站IP是否已经彻底停止业务。

源站隐藏不是一次性配置。新增域名、发布新APP、迁移机房或接入第三方服务时，都可能重新产生暴露风险。

CDN07如何建立金融交易系统的源站保护闭环？

CDN07并不是在金融网站前面简单增加一层代理，而是从公网入口到源站重新建立安全边界。

针对金融证券平台，CDN07可以提供：

• 网站、APP、API和WebSocket统一高防接入；
• DDoS流量清洗及CC攻击防护；
• WAF与API访问控制；
• 动态请求及跨境链路加速；
• 源站IP隐藏；
• 回源地址白名单；
• HTTPS加密回源；
• 回源身份认证；
• 多源站健康检查；
• 故障自动切换；
• 实时日志与攻击告警；
• TCP及非HTTP业务高防接入。

平台可以保留现有美国、香港、新加坡或其他地区的服务器，通过域名接入方式逐步迁移流量。CDN07会根据官网、行情、登录、账户和交易业务的不同特点，分别制定缓存、动态加速、防护和回源规则。

对已经暴露的旧IP，CDN07可以配合平台完成源站更换、流量灰度切换和防火墙收口。整个过程不需要一次性切换全部交易业务，可以先从官网和静态资源开始，再逐步接入行情、API和WebSocket。

最终形成的不是“域名看不到源站”这么简单，而是一套完整的防护闭环：

攻击流量在CDN07高防节点被清洗，正常请求通过受保护的跨境链路回源，真实服务器不再接受任何未经授权的公网连接。

结语

金融证券平台最危险的状态，不是没有接入CDN，而是以为接入CDN后已经安全。

只要一个旧域名、一条API记录、一个APP备用地址或一台测试服务器仍然暴露真实IP，攻击者就可能绕过高防节点，直接打到交易系统。

真正的源站隐藏，需要同时做到：

• 所有公开流量经过CDN07；
• 已暴露的源站IP完成更换；
• 源站只允许CDN07回源；
• 网站、APP、API和WebSocket统一纳入保护；
• 管理面与用户交易面完全隔离；
• 主备服务器采用相同安全策略；
• 持续监测新的IP暴露风险。

攻击者看不到源站只是第一层。即使偶然发现新IP，也无法直接连接，才是真正有效的源站保护。

对于不能承受停机、行情中断和交易接口失效的金融平台来说，高防CDN的价值不是攻击发生后临时救火，而是在攻击到来之前，就让攻击者找不到能够直接打击的目标。