香港节点接入代理服务后，访客通常只会连接代理节点；但如果源站仍接受公网直连，或其他记录泄露了真实地址，隐藏就只是表面效果。配置香港节点源站隐藏与访问控制配置，关键是让源站只接收可信代理的流量，并把管理入口与公开业务分开。
先弄清流量经过哪里
常见架构是访客连接 CDN 或反向代理，再由代理回源到香港服务器。以 Cloudflare 为例，启用代理的主机名可经其网络转发请求；但未启用代理的 DNS 记录、邮件服务或其他子域名，仍可能暴露源站线索。代理并不会自动替你关闭源站端口。
先列出需要公开的域名、服务和端口，再确认它们实际使用的回源路径。不要把“使用香港节点”与“源站不可直连”画等号：如果源站本身就是该节点，或还有其他服务直接绑定公网地址，访问边界仍需在服务器防火墙上落实。
按顺序收紧源站入口
- 盘点暴露面。检查域名解析、旧记录、未代理子域名，以及服务器对公网开放的端口。特别留意测试站、文件下载和管理面板是否绕过代理。
- 配置代理回源。在 CDN 控制台确认目标主机名启用了代理，并选择适合业务的回源加密方式。若代理与源站之间使用 HTTPS，应检查证书、主机名和有效期，避免因回源配置错误导致服务中断。
- 设置源站白名单。在云平台安全组和操作系统防火墙两处核对规则，仅允许代理服务公布的回源地址访问网站端口。地址段应以服务商当前官方清单为准，并建立变更复核流程；不要复制来历不明的固定列表。
- 单独保护管理入口。SSH、控制面板和数据库不应因网站代理而对所有公网开放。管理访问可限制到固定办公出口，或通过 VPN 接入；确需临时放行时，设置到期时间并及时撤销。
- 验证直连是否被拒。从不在白名单内的网络访问源站公网地址，确认网站端口无法绕过代理；再通过正常域名检查业务可用性，并查看防火墙日志是否记录了被拒绝的直连请求。
访问控制不止是防火墙
限制页面和来源
防火墙控制网络层的来源与端口，WAF 则可按路径、请求特征或访问频率筛查应用请求。例如，公开页面可正常开放，管理路径则另加身份验证、来源限制或多因素认证。ACL 适合表达明确的允许与拒绝规则，但规则应由易读的白名单优先，不宜堆叠互相冲突的例外。
谨慎处理客户端地址
经代理转发后，源站看到的网络连接来源通常是代理，而非访客。应用若要记录或判断访客地址，应只信任可信代理写入的转发头；如果任意客户端都能直连源站并自行伪造该头，基于它的封禁和审计就不可靠。香港节点源站隐藏与访问控制配置应同时限制直连来源，并检查应用的代理信任设置。
容易被忽略的泄露与误配置
- 其他记录暴露地址：旧子域名、测试环境或未代理的服务可能指向同一台源站。变更解析后还应复查缓存和历史配置。
- 白名单没有维护：代理服务调整回源地址后，过时规则可能让正常访问失败；过度放宽则会重新允许直连。更新前先确认官方地址范围和业务影响。
- 日志记录缺失：保留代理访问日志、源站访问日志和防火墙拒绝日志，有助于区分代理故障、误封与异常扫描。日志保留周期应按隐私要求和存储条件确定。
较稳妥的验收标准是：正常域名访问可用，非可信来源不能直接访问网站端口，管理服务只对指定入口开放，且日志能分辨代理请求与被拒直连。完成后仍要定期复核规则。落实香港节点源站隐藏与访问控制配置，依靠的是代理、网络白名单和管理面隔离共同生效，而不是单独隐藏一个地址。
常见问题
只开启 CDN 代理就够了吗？
不够。若源站端口仍对公网开放，知道地址的人可能绕过代理直连；还需在源站防火墙限制回源来源。
源站必须绑定香港 IP 吗？
不必须。节点位置取决于实际部署架构；应先确认代理节点、回源服务器和业务延迟要求，再决定部署位置。
能否完全避免源站地址被发现？
无法保证绝对不被发现。旧记录、其他服务和历史资料都可能留下线索，因此重点是让发现地址后也无法绕过访问控制。
白名单多久更新一次？
没有适用于所有服务的固定周期。应订阅服务商的地址变更通知，并在变更公告、业务异常或定期安全复核时检查规则。