Windows Server2012系统下配置CDN有哪些注意事项？
美国、香港服务器
Windows Server2012系统下配置CDN有哪些注意事项？
09-14 来源:
## 一、系统与 IIS 底层注意事项
1. **TLS 版本问题（高频踩坑）**
Windows Server2012 默认 TLS 版本老旧，部分 CDN 节点只支持 TLS1.2。
- 如果 CDN 回源走 HTTPS，**必须在服务器注册表开启 TLS1.2**，否则握手失败、回源超时。
- 不要保留 SSL3.0、TLS1.0/1.1，存在安全漏洞。
2. **IIS 版本是 IIS8，部分高级模块兼容性**
需要手动安装 **URL 重写模块 2.1**，系统默认不带；URL 重写用来做：禁止 IP 直访、回源校验、HTTP 响应头。
不装 URL 重写就无法在 IIS 做防源 IP 直接访问的规则。
3. **应用程序池设置**
- .NET 程序注意应用池 CLR 版本；
- 应用池标识权限不能过大，避免被上传脚本提权；
- 长时间 CDN 大量回源请求容易造成应用池假死，可以设置**快速故障保护、回收策略**。
## 二、CDN 控制台核心配置要点（IIS 多站点最容易出错）
1. **回源 HOST**
IIS 依靠主机头区分多个网站，**回源 HOST 必须和 IIS 站点绑定的主机头完全一致**。
> 填错 → 访问 404。
> 单站点（未绑定域名，直接 IP 访问）可以填源站 IP。
2. **回源端口**
- HTTP 回源：80
- HTTPS 回源：443
不要随意自定义端口，CDN 很多节点不支持非标端口。
> HTTPS 回源务必开启**回源 SNI**，否则多证书 IIS 服务器证书匹配失败。
3. **缓存规则**
- 静态资源（图片、css、js、字体）：设置较长缓存时间；
- 动态页面（PHP、ASP、带参数的内容）：**设置不缓存**，否则页面内容不会实时更新；
- 忽略 URL 参数：静态资源开启；动态程序关闭。
4. **HTTPS 证书两种模式，二选一**
① **推荐：CDN 上部署 SSL 证书，回源 HTTP（80）**
优点：源站不用维护证书，减少源站 TLS 压力。
② **源站 HTTPS：IIS 部署证书，CDN 回源 443**
注意：源站证书必须有效、域名匹配、未过期，且开启 TLS1.2。
## 三、源站防护（重中之重，CDN 场景必做）
CDN 只是加速，**不做源站防护，别人直接访问服务器公网 IP 就能绕过 CDN**。
防护三层方案（优先顺序）：
1. **云服务器安全组**：仅放行 CDN 节点 IP 段访问 80/443，拒绝其余公网 IP。
2. **IIS IP 和域限制**：站点内配置，只允许 CDN 节点 IP 访问网站。
3. **URL 重写规则**：拦截直接使用 IP 访问网站的请求。
Windows 防火墙作为兜底，不要全网开放 80、443 端口。
注意：CDN 节点 IP 段会**不定期变动**，需要定期更新安全组 / IIS 白名单。
## 四、IIS 响应头与缓存头注意事项
1. Cache-Control 头：静态资源设置 max-age；动态页面设置`no-cache/no-store`
2. 不要设置`Set-Cookie`给静态资源，否则 CDN 通常不缓存带 Cookie 的资源
3. `Server`响应头建议隐藏，减少服务器指纹泄露（URL 重写删除 Server 头）
## 五、域名与备案
国内 CDN：域名**必须完成 ICP 备案**，否则无法添加加速域名。
解析修改：域名 A 记录改成 CNAME，指向 CDN 分配的 CNAME 地址，DNS 生效需要几分钟。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
