TG咨询网站已经接入代理服务，却仍能通过直接访问旧地址打开页面，通常说明源站暴露在公网，或代理与源站之间缺少访问限制。可靠的源站IP隐藏方法不是单纯修改一条DNS记录，而是同时处理解析、入口、应用配置和防火墙。下面按上线顺序整理7步操作，并附上可复核的检查清单。
第一步：盘点可能暴露源站的入口
先记录当前服务器的公网IPv4和IPv6地址、域名解析、历史子域名、云主机安全组、网站配置文件及管理面板入口。使用浏览器开发者工具或命令行查看页面请求时，重点确认资源和跳转是否仍指向独立的源站域名。
如果网站曾经更换过服务器，旧地址可能仍被第三方缓存、监控记录或历史解析资料保存。此时应把旧地址视为已暴露，而不是假设换一条解析记录就能重新隐藏。
第二步：选择代理架构并准备新地址
常见做法是让CDN或反向代理接收访客请求，再由它访问源站。访客只看到代理节点地址，源站则使用一个不曾公开使用的新公网地址。若业务不需要公网入站，也可以将源站放在私有网络中，通过专用网络连接代理。
代理模式与DNS仅解析模式必须区分。前者会转发网页请求，后者只负责返回地址，无法隐藏源站。以Cloudflare等服务为例，只有启用代理的记录才会经过其网络；具体图标、菜单名称和可用功能应以服务商控制台为准。
第三步：切换DNS并降低切换风险
- 提前检查A记录和AAAA记录，确认没有遗漏指向旧服务器的域名。
- 将网站主域名及实际使用的子域名切换到代理服务要求的目标记录。
- 在切换前适当降低DNS缓存时间，常见可先设为300至600秒；稳定运行后再恢复更长时间。
- 等待不同网络完成缓存更新，再从家庭宽带、移动网络和公共DNS分别查询解析结果。
DNS更新不是所有用户同时完成，缓存时间、递归解析器策略和本地网络都会造成延迟。因此不要刚改完记录就删除旧服务器，至少保留观察窗口，确认新路径稳定后再继续。
第四步：只允许代理访问源站
隐藏源站IP的核心是入口控制。源站防火墙应拒绝来自互联网的普通访问，仅允许代理服务公布的出口地址访问网站端口。代理地址范围可能变化，不能凭记忆长期手工维护，应订阅服务商的官方地址清单，并在变更后复核规则。
如果服务器使用Nginx、Apache或云安全组，应同时检查操作系统防火墙和云平台入站规则。管理端口不应因为网站接入代理就继续对全网开放，必要时只允许固定办公网络、跳板机或专用网络进入。
第五步：修正代理头和应用识别配置
反向代理会把访客请求转发给源站，应用需要正确识别原始协议、主机名和访客地址。Nginx常见检查项包括代理转发头、可信代理网段、HTTPS跳转和真实地址日志配置。配置错误可能导致循环跳转、错误生成绝对链接，甚至把源站地址写入页面。
应用后台、密码重置链接、跨域白名单和回调地址也要统一使用对外域名。不要把服务器内网名、公网地址或临时测试域名写进公开配置。
第六步：处理IPv6、旧域名与旁路服务
只隐藏IPv4而遗漏AAAA记录，是常见的失败原因。若源站没有配置IPv6，应删除指向它的AAAA记录；若必须使用IPv6，则要让IPv6入口同样经过代理并纳入防火墙限制。
同时检查文件下载、图片域名、测试站、面板域名和独立服务。某个旁路子域名若直接解析到同一台服务器，攻击者仍可能通过它绕过代理。对不再使用的域名应删除解析，对确需保留的服务应迁移到代理路径或单独隔离。
第七步：验证隐藏效果并建立复查机制
- 从多个网络查询主域名及子域名，确认返回的是代理地址而非源站地址。
- 直接访问旧源站地址，检查是否超时、拒绝连接，或只返回没有业务内容的默认站点。
- 分别测试网页、登录、上传、缓存、重定向和错误页面，确认代理没有改变业务行为。
- 查看源站访问日志，确认正常访客请求主要来自代理出口，而不是任意公网地址。
- 用外部端口探测和历史资产检索复核公开入口，但不要对无授权目标进行扫描。
验证通过后，才考虑回收旧地址。若旧地址已经公开过，彻底隐藏通常意味着更换源站地址，并在一段时间内继续监测异常访问，而不是依赖“旧地址没人知道”的假设。
上线后的配置检查清单
| 检查项目 | 合格状态 | 常见问题 |
|---|---|---|
| DNS | 网站记录指向代理，IPv6没有旁路 | AAAA记录仍指向源站 |
| 防火墙 | 仅允许代理出口访问网站端口 | 安全组仍允许全网访问 |
| 应用 | 公开链接统一使用正式域名 | 跳转或后台链接泄露旧地址 |
| 旁路服务 | 测试站、下载站和面板已隔离 | 子域名直接暴露同一服务器 |
| 监控 | 定期查询解析并检查日志 | 代理地址变化后规则未更新 |
常见问题
只使用CDN就一定能隐藏源站吗？
不一定。若DNS仍为仅解析模式、源站端口对全网开放，或存在旁路子域名，源站仍可能被直接访问。
源站必须使用公网IP吗？
不必须。稳定方案可以把源站置于私有网络，再通过专用连接或受控代理访问；是否可行取决于代理服务和云网络架构。
更换源站IP后旧地址还需要保留吗？
通常应保留短期观察，但要限制其访问范围。确认DNS、业务和监控均已迁移后，再按云厂商流程释放旧地址。
源站IP隐藏后还需要WAF吗？
需要视业务风险决定。隐藏地址主要减少直接暴露，WAF则负责识别和拦截部分恶意请求，两者作用不同，不能相互替代。
归纳来看，可靠的源站IP隐藏方法应完成“代理接入、DNS清理、入口限制、应用修正、旁路排查、上线验证”这一整套闭环。只改解析不改防火墙，通常只能隐藏表面，无法真正阻止绕过代理访问。
