当前位置：首页 > news >正文

如何通过SSL证书配置防止源站IP泄露 - 全面防护指南

news 2025/7/1 13:21:22

问题背景：SSL证书如何导致源站IP泄露

近期多位站长反馈，即使已部署高防CDN并做好源站IP保密工作，服务器仍频繁遭受DDoS攻击。经深入排查，发现问题根源在于SSL证书。当前网络环境中存在大量爬虫工具24小时不间断扫描全网IP地址，这些工具会：

对所有IP地址发起HTTPS请求
捕获服务器返回的SSL证书信息
将证书中的域名与IP关联记录到公开数据库
攻击者通过这些数据库可轻松反查出源站真实IP

验证方法：直接在浏览器访问https://您的源站IP，如果显示锁形标志并出现您的域名证书，则存在IP泄露风险。

解决方案原理

通过在源站配置一个"无效"的默认SSL证书，当爬虫扫描IP地址时：

只会获取到这个无效证书
无法关联到您的真实域名
从而切断IP与域名的关联链条
有效隐藏真实业务域名与IP的对应关系

宝塔面板详细操作指南

第一步：创建"诱饵"网站

登录宝塔面板，进入【网站】菜单
点击【添加站点】按钮
在域名栏填写任意内容（如1.1.1.1或无效域名）
其他设置保持默认，点击提交

第二步：清理默认文件

进入该网站的根目录
删除宝塔自动生成的所有文件（包括index.html等）
确保目录完全为空

第三步：配置无效SSL证书

进入【SSL】选项卡
选择"其他证书"选项
将提供的证书内容粘贴到"证书(PEM格式)"栏
将提供的密钥内容粘贴到"密钥(KEY)"栏
点击保存配置

注：本文提供的证书专用于防护，虽然显示过期但不影响防护效果

第四步：设为默认站点

返回宝塔面板【网站】首页
找到【默认站点】设置
选择刚才创建的"诱饵"网站
保存设置

技术原理解析

这种防护方法之所以有效，是因为：

HTTPS握手特性：客户端在TLS握手阶段就会收到服务器证书
爬虫工作逻辑：大部分IP扫描工具仅分析证书中的域名信息
证书优先级：当请求直接访问IP时，服务器会返回默认站点的证书
信息脱钩：无效证书切断了IP与真实域名的关联性

高级用户自定义证书指南

对于有技术能力的用户，可以自行生成专用防护证书：

# 生成RSA私钥

openssl genrsa -out dummy.key 2048

# 创建CSR配置文件

cat > dummy.cnf <<EOF

[req]

distinguished_name = req_distinguished_name

req_extensions = v3_req

prompt = no

[req_distinguished_name]

C = US

ST = California

L = Mountain View

O = Dummy Inc

OU = Dummy Department

CN = invalid.example.com

[v3_req]

keyUsage = nonRepudiation, digitalSignature, keyEncipherment

extendedKeyUsage = serverAuth

subjectAltName = @alt_names

[alt_names]

DNS.1 = invalid.example.com

EOF

# 生成自签名证书

openssl req -x509 -nodes -days 365 -newkey rsa:2048 \

-keyout dummy.key -out dummy.crt -config dummy.cnf