一、查询源站IP地址

登录censys.io后，输入要查询的域名，即可查询源站IP、证书等信息；

如果查询后发现源站IP已泄露，请务必更换服务器IP地址，当然你也可忽略~~

换掉IP地址后，务必不要着急解析，一切准备就绪后，直接CNAME到CDN上。

二、宝塔设置默认站点及SSL证书，避免访客通过IP访问后泄露源站IP

随便创建一个网站，域名随便填，不创建FTP和数据库，PHP版本选择“纯静态”，我设置的域名是：www.baidubaidu.com

创建好网站后删除该网站目录下的所有文件，并将它设置为默认站点

打开网站设置，添加自签发SSL证书，并设置“强制HTTPS”，点击下载证书https://dfwl6.cn/1283.html；

打开https://源站IP，查看证书信息。

三、设置防火墙规则“只允许你所使用CDN的IP地址访问服务器”

firewall

#查看防火墙状态
systemctl status firewalld
#安装防火墙
yum install firewalld
#启动防火墙
systemctl start firewalld

#允许来源IP地址访问80端口（务必添加--permanent参数使其永久生效，否则重启失效）
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=193.168.0.1/24 port port=80 protocol=tcp accept"
#允许来源IP地址访问443端口
firewall-cmd --permanent --add-rich-rule="rule family=ipv4 source address=193.168.0.1/24 port port=443 protocol=tcp accept"

#使规则生效
firewall-cmd --reload
#重启防火墙
systemctl restart firewalld.service
#查看验证配置
firewall-cmd --list-all

iptables

#安装iptables服务
yum install iptables-services
#插入规则到第一条：允许来源IP地址访问22，8888端口（使用-m multiport参数可以添加不连续的端口）
iptables -I INPUT -p tcp -m multiport --dport 22,8888 -s 192.192.192.0/24 -j ACCEPT
#追加规则到末尾：禁止访问所有TCP端口
iptables -A INPUT -p tcp --dport 1:65535 -j DROP

#插入规则：允许来源IP地址访问80端口
iptables -I INPUT -p tcp --dport 80 -s 192.192.192.0/24 -j ACCEPT
······
#插入规则：允许来源IP地址访问443端口
iptables -I INPUT -p tcp --dport 443 -s 192.192.192.0/24 -j ACCEPT
······
#追加规则：禁止访问80,443端口
iptables -A INPUT -p tcp -m multiport --dport 80,443 -j DROP
#保存规则
service iptables save
#重启防火墙
service iptables restart

ufw

 #允许来源IP地址访问22,8888端口
ufw allow proto tcp from 193.168.0.0/24 to any port 22,8888

#允许来源IP地址访问80和443端口（指定多个端口时需使用proto tcp指定协议）
ufw allow proto tcp from 193.168.0.0/24 to any port 80,443 
······

四、宝塔网站设置“只允许你所使用CDN的IP地址访问服务器”

宝塔面板设置服务器只允许腾讯云CDN的IP地址访问，提高安全性。登录宝塔后台，打开“网站设置”中的“配置文件”，插入如下代码：

location / {
	allow 58.250.143.0/24
	allow 58.251.121.0/24
	allow 59.36.120.0/24
	allow 61.151.163.0/24
	allow 101.227.163.0/24
	allow 111.161.109.0/24
	allow 116.128.128.0/24
	allow 123.151.76.0/24
	allow 125.39.46.0/24
	allow 140.207.120.0/24
	allow 180.163.22.0/24
	allow 183.3.254.0/24
	allow 223.166.151.0/24
	deny    all;
}