网站接入 CDN 后，访问者通常通过 CDN 节点访问网站。但如果源站 IP 曾公开、仍允许公网任意访问，或其他服务暴露了相同 IP，源站仍可能被直接访问。

一、确认源站入口

检查网站 A 记录历史、邮件服务、FTP、面板、API 子域名和其他服务是否暴露相同服务器地址。不要在公开页面、错误信息或代码仓库中泄露源站信息。

二、限制源站访问来源

在确认 CDN 回源地址范围后，可在防火墙或 Web 服务层限制网站端口只允许可信回源地址访问。操作前必须保留管理端口和必要的健康检查通道，避免误封自己。

三、核对回源配置

确认 CDN 回源 Host、HTTPS 证书、端口和源站防火墙规则一致。不要仅依赖修改 DNS 记录作为安全措施。

四、检查其他暴露面

SSH、数据库、控制面板、邮件和其他应用端口应按需限制访问。若源站 IP 已被确认泄露，可评估更换 IP，并同步更新可信服务配置。

五、持续监控

监控源站是否出现非 CDN 来源的异常请求，定期核对 CDN 回源 IP 列表和防火墙规则变化。

总结：源站保护是 DNS、网络访问控制、应用配置和持续监控共同完成的工作。变更防火墙前应先确认业务依赖并准备回滚。