使用阿里云ESA云防火墙自动化防护源站IP图文教程

搞网站最怕什么？不是没流量，而是搞了CDN做边缘加速，结果源站IP被哪个别有用心的人给砸出来了，直接越过节点天天扫你的源站端口。之前老有站长问我，说为了防这种扫端口的，只能去安全组里手动贴节点IP，可阿里云ESA这类的边缘加速服务回源IP又不是死板不变的，稍微动一下IP库，源站要么直接断连，要么安全组规则越加越乱搞到最后自己都记不清，简直能把人逼疯。

说白了，这种动态IP管理就是个无底洞，全靠人工维护纯属找罪受。其实阿里云早就在云防火墙里藏了个自动拉取回源IP的方法，直接调用官方的动态地址簿。只要你这边按套路把策略挂上去，节点IP变动的时候后台自己就同步了，根本不用你天天盯着控制台手动加白名单。

没有阿里云ESA？ESA+域名注册优惠！8种后缀新域名注册只需1块钱！买ESA基础版+1年新域名低至10元，活动连接>>>

想干掉这些绕过CDN直连源站的流氓流量，前提条件得先捋清楚。你的源站必须跑在阿里云产品上，比如ECS或者SLB，而且云防火墙的互联网边界策略得是开着的。另外最重要的一点，ESA那边要开启源站防护，并且勾上自动启用最新回源IP列表的选项，这几个开关没弄好后面全是白忙活。

这套机制的底层原理其实特别简单。云防火墙内部自带了个叫ESA Back-to-origin Address的云服务IP地址簿，里面实时拉取了ESA全国甚至全球的所有回源节点。当你在入向策略里把这个地址簿设为源头，目的地址填你的源站服务器IP，动作给个放行，然后再把其他未知IP全部堵在外头，那来自非ESA节点的流量就彻底废了。等以后官方增加或者删减回源节点，这个地址簿会自动更新，算是一劳永逸的方案。

搞明白逻辑之后，跟着我在控制台上套用这套逻辑就行。

先登进阿里云控制台，找到云防火墙的页面，左侧导航栏里直接切到互联网边界的入向配置。页面默认是IPv4，如果你跑的是IPv6就切一下，大部分人直接用默认的IPv4就行，接着点击那个创建策略。

在弹出来的创建策略面板里，别选那些花里胡哨的模板，直接点自定义创建。在源类型那一行，下拉框切到地址簿。

这时候下面会多出来选项，找到云服务IP地址簿这一项，在搜索出来的结果列表里死死认准ESA Back-to-origin Address。看到它之后，点击右边的选择。

接着往下看，目的这一栏千万别填错，得填你真实的ECS源站IP或者CIDR网段。比如你源站IP是1.2.3.4，那就直接填1.2.3.4/32，别漏了这个掩码后缀。

协议类型这里，如果你明确知道自己只走HTTP或者HTTPS，可以单独选协议，但按照我的实测经验，搞不清楚业务场景的直接选ANY最保险，免得有些特殊端口的回源被你自己误杀。端口就写你业务实际开的端口，比如80或者443，应用也直接设成ANY。

最后这几个选项是关键。动作一定要改成放行，优先级直接拉到最前，策略有效期选择总是，启用状态保持勾选，弄完直接点击确定。

弄完这套配置之后，你这台ECS的源站防护才算真正闭环。估计不少站长以前都卡在手动更新白名单这一步，昨晚我测试完这套逻辑，基本上跑个几天都不用再去管它。那些想通过扫IP直连你源站的恶心流量，在云防火墙这层就被挡死，压根进不去你的服务器。老实说，建站搞安全没必要把自己弄得那么累，善用这种自动化联动工具，能省出不少精力去钻研站点性能和内容。

没有阿里云ESA？ESA+域名注册优惠！8种后缀新域名注册只需1块钱！买ESA基础版+1年新域名低至10元，活动连接>>>