CDN能在边缘节点缓存内容并转发请求，但如果源站仍可被公网直接访问，攻击者就可能绕过边缘规则。做好CDN边缘防护与源站隔离，关键是让正常请求经由可信边缘进入，同时保留独立、安全的管理与故障排查通道。以下六项配置可按现有架构逐步落实。
1. 收紧源站网络入口
先盘点源站实际需要接收请求的端口和来源，再在云安全组或源站防火墙中设置回源白名单，仅允许所用服务商公布的边缘回源地址访问业务端口。不要只依赖应用层判断来源：网络层先拦截，能减少绕过应用规则的机会。
- 确认业务监听端口、健康检查来源及必要的运维入口。
- 按服务商公开的回源地址范围建立允许规则，其他公网来源默认拒绝。
- 设置独立管理通道，例如受控的堡垒机或企业专用网络，不要为了运维长期开放源站管理端口。
回源地址范围可能随服务商调整，需订阅变更通知并安排更新。若多个服务共用一台主机，先确认白名单不会误拦其他依赖。
2. 给回源增加身份校验
只按来源地址放行并非总是足够。若服务支持，可启用回源鉴权，例如校验专用请求头或客户端证书，使源站同时检查“请求来自允许网络”和“请求具备正确身份”。密钥应使用随机值，通过安全配置渠道保存，并定期轮换；不要把它写入公开页面、客户端代码或普通访问日志。
不同服务商和源站软件支持能力不一。配置后先用测试域名或低风险路径验证：经边缘访问应成功，缺少凭据的直连请求应被拒绝。若采用共享密钥，注意避免多个环境共用同一凭据。
3. 规范域名、协议与主机头
明确边缘到源站使用的协议和预期主机名，源站仅响应已配置的业务域名；未匹配的主机头应由默认虚拟主机拒绝或返回无业务内容的页面。这样可以减少通过源站地址搭配异常主机名访问其他站点的风险。
逐项核对边缘回源协议、证书覆盖的域名、证书有效期和源站重定向规则。避免边缘与源站之间出现不必要的明文传输，也避免重定向循环。若同一源站承载多个站点，应分别核查虚拟主机边界。
4. 为缓存划定清晰边界
缓存规则决定哪些内容可由边缘直接响应。图片、样式文件等公开静态资源通常适合设置缓存；账户资料、订单状态及其他按用户变化的页面则应谨慎处理，通常不应被公共缓存。对查询参数、Cookie和授权状态的处理要明确，避免不同用户的内容落入同一缓存对象。
- 按路径和内容类型区分公开资源与个性化页面。
- 对不应缓存的响应设置明确的绕过或禁止缓存规则。
- 发布规则后检查响应头和缓存命中情况；内容更新时确认清理缓存的流程可用。
缓存键包含哪些字段会影响命中率与内容隔离，不能为了提高命中而随意忽略会改变页面内容的参数。
5. 把边缘防护规则按路径配置
开启服务商提供的基础防护后，再根据业务路径设置访问控制和速率限制。公开下载、搜索接口、登录页面的使用特征不同，不宜套用同一阈值。先观察正常流量和误拦记录，再逐步调整规则；对误判影响较大的路径，可先记录或挑战，再决定是否阻断。
同时明确规则优先级、例外范围和变更责任人。不要把长期、宽泛的放行条件留作临时排障方案。CDN边缘防护与源站隔离需要协同：边缘负责筛查请求，源站入口仍应拒绝未经授权的直连。
6. 验证隔离效果并持续监控
上线前后都要从允许的边缘链路和非允许的公网来源分别测试。确认正常页面、静态资源、回源失败提示和管理入口表现符合预期，并查看源站访问日志，核对请求来源是否符合设计。若源站地址曾公开，评估更换地址的必要性；仅隐藏地址不能替代访问控制。
保存防火墙规则、边缘策略和回源配置的变更记录。出现访问异常时，按“边缘规则、网络白名单、回源身份、源站日志”的顺序排查，逐项回滚或修正，避免临时开放全部来源。把这套检查纳入发布与定期复核，才能让CDN边缘防护与源站隔离长期有效。
常见问题
源站是否必须完全不对公网开放？
业务端口通常应限制为可信回源来源；运维访问可通过独立受控通道实现，不必向所有公网地址开放。
只隐藏源站地址够不够？
不够。历史记录、配置泄露或其他服务都可能暴露地址，真正的保护应依靠网络访问控制和回源身份校验。
启用白名单后访问失败怎么办？
核对服务商当前回源地址、健康检查来源及源站监听端口，再结合防火墙和访问日志定位，不要直接长期放开全部来源。
缓存规则多久检查一次？
建议在站点结构、登录流程或缓存策略变更后立即复核；没有变更时，也可按团队维护周期定期检查。