如何在Windows Server2012上配置源站防护？
美国、香港服务器
如何在Windows Server2012上配置源站防护？
08-10 来源:
第一层：云平台安全组
删除安全组中原先全网开放的 80、443 入站规则。
新增入站规则：
协议 TCP，端口 80、443，源地址填写 CDN 全部回源 IP 段，策略：允许。
RDP 远程端口（3389）只放行你自己办公公网 IP，不要 0.0.0.0/0 全网开放。
如果回源 IP 段更新，需要同步更新安全组规则。
第二层：Windows Server2012 系统防火墙（PowerShell 管理员执行）
①放行 CDN 回源 IP 访问 80、443
powershell
# 示例，把"CDN_IP段"替换为真实回源IP，多段用逗号隔开
New-NetFirewallRule -DisplayName "CDN回源_允许80_443" -Direction Inbound `
-LocalPort 80,443 -Protocol TCP -RemoteAddress "100.100.0.0/16" -Action Allow
②拒绝所有其他外部 IP 访问网站端口
powershell
New-NetFirewallRule -DisplayName "拒绝外部直连80_443" -Direction Inbound `
-LocalPort 80,443 -Protocol TCP -Action Block
查看防火墙规则：
powershell
Get-NetFirewallRule -DisplayName "*CDN*"
注意：不要把 RDP (3389) 端口被 Block 规则覆盖，RDP 单独放行你的办公 IP。
第三层：IIS8 IP 地址和域限制（应用层防护）
即使防火墙、安全组配置失误，IIS 层依旧拦截非法访问。
IIS 管理器 → 选中你的网站 → IP 地址和域限制
右侧【编辑功能设置】
默认行为：拒绝访问
点击【添加允许条目】，逐条填入 CDN 回源 IP/CIDR 段。
效果：直接访问服务器公网 IP，IIS 返回403.6 禁止访问，只有 CDN 节点可以访问网站。
第四层：防伪造 X‑Forwarded‑For 请求头（非常关键）
风险：攻击者直接访问源站，手动伪造X‑Forwarded‑For:真实用户IP，欺骗程序拿到伪造 IP。
解决方案：只信任 CDN 回源 IP 过来的 X‑Forwarded‑For 头，外部直接访问源站丢弃该请求头。
Windows2012 IIS8 需要安装 F5XForwardedFor ISAPI 模块。
模块配置里开启：仅信任指定 CDN 回源 IP 段，才解析 XFF 头
非 CDNIP 访问源站，直接丢弃 X‑Forwarded‑For，防止伪造 IP 攻击。
不做这一步，攻击者绕过 CDN 可以随意伪造客户端 IP。
验证源站防护是否生效
本机以外网络直接访问 http://服务器公网IP
预期：返回 403 拒绝访问，不能打开网站。
通过域名访问（走 CDN 节点）：网站正常打开。
IIS 日志查看：访问源站 IP 的非法请求全部记录 403。
运维注意事项
CDN 厂商会不定期更新回源 IP 段，IP 段更新后，云安全组、防火墙、IISIP 限制三处都要同步更新，否则会出现回源 502、504 报错。
测试更新 IP 段之后，先小流量验证网站可以正常访问，再正式上线。
紧急排错：如果网站 502，先核对是否 CDN 新增回源 IP 没有加入白名单。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
