对于站长、运维人员来说，服务器真实IP泄露很容易遭受DDoS攻击、恶意扫描等安全威胁，通过二级域名隐藏真实IP是成本低、易操作的防护手段之一，下面布考网络就为大家详细介绍具体操作流程。
很多站长使用云服务器搭建站点时，直接将域名解析到服务器公网IP，一旦IP泄露，很容易被攻击者盯上，轻则站点被篡改、数据泄露，重则服务器瘫痪影响业务运行。而通过二级域名做转发、代理，可以避免攻击者直接获取到承载业务的真实服务器IP，同时还能实现业务分流、负载均衡等附加价值，是中小站点性价比很高的安全防护方案。
首先你需要准备一个主域名（比如你的站点域名xxx.com），以及一个用于隐藏IP的二级域名（比如cdn.xxx.com、proxy.xxx.com等，名称可以根据用途自定义）；其次需要有一台云服务器作为反向代理/转发服务器，这台服务器的IP可以对外暴露，不需要隐藏；最后你需要登录域名管理后台，拥有DNS解析的修改权限。如果你对操作流程不熟悉，也可以联系布考网络的专业运维团队获取配置指导。
第一步：配置二级域名的DNS解析。登录你的域名管理后台，找到DNS解析设置页面，添加一条二级域名的A记录，将二级域名（比如proxy.xxx.com）指向你准备的反向代理云服务器的公网IP，记录值填写对应的服务器IP，TTL时间可以设置为10分钟，方便后续修改。如果你使用的是CDN服务，也可以将二级域名指向CDN提供的CNAME地址，由CDN节点转发请求。
第二步：配置反向代理云服务器的转发规则。登录你的反向代理云服务器，安装Nginx、Apache等Web服务软件，在配置文件中添加反向代理规则，将所有访问二级域名的请求转发到你的真实业务云服务器的内网IP和对应端口。比如Nginx的配置可以这样写：server { listen 80; server_name proxy.xxx.com; location / { proxy_pass http://真实服务器内网IP:端口; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; } } 配置完成后重启Web服务生效。
第三步：修改主域名的解析规则。将原来主域名直接解析到真实服务器IP的记录，修改为CNAME记录，指向你刚刚配置的二级域名，这样用户访问主域名时，会先请求到反向代理服务器，再由反向代理转发到真实服务器，攻击者通过主域名只能获取到反向代理服务器的IP，无法直接访问真实服务器。如果你的业务有多个子站点，也可以分别为子站点配置不同的二级域名，实现业务隔离。
完成上述配置后，还需要做一些安全加固，避免真实IP泄露：第一，禁止真实云服务器直接对外暴露80、443等常用端口，只允许反向代理服务器的IP访问对应端口，可以通过云服务器的安全组规则设置；第二，不要在站点代码、日志中泄露真实IP，比如不要用真实IP作为API接口地址、不要打印访客真实IP到前端页面；第三，定期检查DNS解析记录，避免被恶意篡改。布考网络还建议站长定期对服务器进行安全扫描，及时修复漏洞。
问：用二级域名隐藏IP会影响站点访问速度吗？答：如果反向代理服务器的带宽、配置足够，且网络延迟低，基本不会影响访问速度，反而可以通过反向代理的缓存、压缩功能提升访问体验。如果担心速度问题，也可以选择高性能的云服务器作为反向代理节点。
问：配置后攻击者还是能获取到真实IP怎么办？答：首先检查是否还有直接解析真实IP的记录，比如子域名、MX记录等，其次检查站点是否有泄露IP的漏洞，比如SSH端口、邮件服务等是否直接暴露了真实IP，可以联系布考网络的安全团队协助排查。
问：二级域名隐藏IP和CDN隐藏IP有什么区别？答：本质原理类似，都是通过中间节点转发请求隐藏真实IP，CDN是分布式节点，更适合有跨区域访问需求的站点，而自建二级域名反向代理的成本更低，适合中小站点使用，两者可以结合使用提升防护效果。