概览
- 指南类型
- 运营与安全
- 示例
- 示例，因环境而异
- 集成范围
- 未连接远程机器
01
决定代理应承载哪些路径
Web 反向代理会改变访客与你的 HTTP 源站之间的路径。它不会自动代理 SSH、邮件或所有任意协议。在启用 Web 代理之前，请识别仅 DNS 的记录及其对邮件、验证和管理的影响。
02
委派区域并验证记录
在提供商处创建区域，审查导入的记录，并将注册商的名称服务器更改为分配的值。测试委派，然后代理预期的 A/AAAA 或 CNAME Web 记录。保持 MX 目标和不支持的服务路径配置正确。
03
使用 Full (strict) 验证源站
安装对所请求名称有效且受代理支持的源站证书，然后使用完全（严格）。在限制源站之前，确认源站能安全响应。仅边缘挂锁并不能证明边缘到源站的连接已通过身份验证。
04
在不失去管理能力的情况下限制直接源站访问
使用提供商当前发布的 IPv4 和 IPv6 范围作为 Web 允许列表，并制定变更维护计划。保留单独的经验证管理路径。审查每个源站主机名和监听器；同一 IP 上仅 DNS 的服务可能会暴露目的地。
05
测试信任链和应用程序行为
检查 HTTPS 重定向、证书名称、混合内容、缓存规则和记录的客户端 IP 处理。仅信任来自授权代理源的转发访客标头。应用程序 WAF 规则和机器人控制是与网络 DDoS 缓解不同的独立层。
下一步之前
带着可验证的结果离开。
- 决定代理应承载哪些路径。
- 测试信任链和应用程序行为。
- 将恢复信息和机密保存在公共文件之外。