Typecho使用阿里云CDN保護網站真實IP地址的完整指南

?? 我的個人網站：樂樂主題創作室

背景與問題分析

在互聯網環境中，網站直接暴露真實服務器IP地址會帶來多種安全隱患，包括但不限于：

1. DDoS攻擊風險：攻擊者可以直接針對源站IP發起流量攻擊
2. 掃描探測風險：黑客會定期掃描互聯網IP段尋找漏洞
3. 源站定位風險：一旦CDN被繞過，服務器將直接暴露

對于使用Typecho這類PHP博客系統的站長來說，保護源站IP尤為重要，因為PHP應用通常部署在性能有限的服務器上，難以承受大規模攻擊。

技術選型與方案設計

阿里云CDN作為國內領先的內容分發網絡服務，提供了完善的源站保護方案。我們將采用以下架構：

用戶請求 -> 阿里云CDN邊緣節點 -> (僅限CDN回源IP段訪問) -> Typecho源站

關鍵實現要點：

1. CDN基礎配置：域名解析、緩存策略設置
2. 源站防護：通過防火墻限制僅CDN回源IP可訪問
3. Typecho特殊處理：適應CDN環境下的配置調整

詳細實施步驟

第一步：阿里云CDN基礎配置

1. 登錄阿里云控制臺，進入CDN服務
2. 添加加速域名，選擇"圖片小文件"場景（適合博客）
3. 在"回源配置"中設置源站信息：

# 推薦使用源站域名而非IP，這樣即使IP變更也不影響
origin.example.com 源站域名
80 回源端口

4. 配置緩存策略（建議配置）：

/* 全部文件 - 緩存30天
.php 動態文件 - 緩存0秒
/wp-admin/* 后臺路徑 - 緩存0秒

第二步：DNS解析設置

將您的博客域名解析從A記錄(指向IP)改為CNAME記錄，指向阿里云提供的CDN域名：

記錄類型: CNAME
主機記錄: @ 或 www
記錄值: example.com.w.kunlunsl.com
TTL: 600

第三步：源站服務器防護配置

Nginx服務器配置

# 只允許阿里云CDN回源IP段訪問
location / {allow 47.99.0.0/16;allow 47.98.0.0/16;allow 120.55.0.0/16;# 其他阿里云CDNIP段...參考阿里云官方文檔更新deny all;# Typecho原始配置if (!-e $request_filename) {rewrite ^(.*)$ /index.php$1 last;}
}

防火墻配置（以Ubuntu為例）

# 清空現有規則
sudo iptables -F# 允許SSH等必要端口
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT# 允許阿里云CDN回源IP訪問80端口
sudo iptables -A INPUT -p tcp --dport 80 -s 47.99.0.0/16 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 -s 47.98.0.0/16 -j ACCEPT# 拒絕其他所有HTTP訪問
sudo iptables -A INPUT -p tcp --dport 80 -j DROP# 保存規則
sudo iptables-save > /etc/iptables.rules

第四步：Typecho配置調整

修改Typecho的config.inc.php文件：

/** 識別CDN的