如何加强源站防护IIS 配置？
美国、香港服务器
如何加强源站防护IIS 配置？
09-08 来源:
## 一、IIS【IP 地址和域限制】核心配置（站点级别，不要配置到全局）
1. 打开 IIS 管理器`inetmgr`，选中你的**具体网站站点**（不要选服务器根节点）
2. 双击打开【IP 地址和域限制】
3. 右侧 →【编辑功能设置】
- 对未指定的客户端：**拒绝**
4. 添加允许条目：
把 CDN 服务商提供的**全部回源 IP 段**逐条添加进来，只允许 CDN 节点访问源站。
开启之后现象：浏览器直接访问服务器公网 IP →返回 403；走域名 CDN 访问网站正常。
坑：不要在服务器级别设置 IP 限制，会把宝塔、远程管理页面一起拦截；**必须针对单个网站配置**。
## 二、web.config 配套（直接放到网站根目录）
## 三、Windows 防火墙配合加固（IIS 之外第二层）
管理员 PowerShell 执行，80、443 只放行 CDN 回源 IP 段，拒绝其余公网 IP 访问 web 端口。
#清除旧的80/443全部允许规则
Remove‑NetFirewallRule -DisplayName "*HTTP*" -ErrorAction SilentlyContinue
Remove‑NetFirewallRule -DisplayName "*HTTPS*" -ErrorAction SilentlyContinue
#新建仅CDN回源IP允许访问80、443，RemoteAddress替换成你的CDN回源网段
New‑NetFirewallRule -DisplayName "Web‑Allow‑CDN‑Only" -Direction Inbound `
‑LocalPort 80,443 -Protocol TCP `
‑RemoteAddress "CDN回源IP段" `
‑Action Allow
云服务器务必同步**云平台安全组**：80/443 端口只放行 CDN 回源 IP，不要开放 0.0.0.0/0。
## 四、URL 重写辅助加固（可选，进一步校验 CDN 请求）
前提：已安装 URL 重写模块。
> 可以增加规则：**拒绝不带 CDN 特定请求头的访问**（部分 CDN 提供自定义 Header 校验，防止伪造回源）。
使用方法：CDN 控制台配置回源时增加自定义请求头`X‑CDN‑Secret: yoursecretkey`；源站 IIS 校验这个头，没有直接拒绝。属于进阶防伪造回源攻击。
## 五、IIS 配套安全设置（源站加固必做）
1. 应用程序池权限：使用`ApplicationPoolIdentity`，不要用 LocalSystem 高权限账号；网站目录 NTFS 权限只给应用池身份读取执行，取消 everyone 权限。
2. 删除默认站点 Default Web Site，避免默认站点被访问。
3. 关闭详细错误，只返回自定义错误页面，不泄露程序堆栈、路径信息。
4. IIS 日志开启 W3C 格式，添加`X‑Forwarded‑For`自定义字段，记录真实访客 IP，方便溯源攻击。
5. HTTPS 关闭 TLS1.0、TLS1.1，仅启用 TLS1.2，规避老旧协议漏洞。
## 六、验证源站防护是否生效
1. 本机浏览器直接访问服务器公网 IP：返回 403，代表防护生效。
2. 通过域名 CDN 访问网站：页面正常打开。
3. Windows 服务器本机 PowerShell 测试回源：
curl -v -H "Host:shturl.cc/7KqnQaQa" http://127.0.0.1
返回 200，代表 CDN 回源正常。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
