一、这一篇在处理什么
这一篇只处理一件事：在新加坡运行的多语言门户，使用维科云的高防 CDN时，如何处理「源站 IP 被扫描暴露」。
攻击者绕过 CDN，直接访问源站历史解析、邮件头或证书透明度日志里留下的地址。边缘策略这时完全不生效。
看源站公网入口是否仍有非回源网段的访问。
二、新加坡的网络和高峰
当地工作日晚间 20:00–24:00 最集中，午间还有一次较短的高峰。用户多数走本地宽带和区域性移动网络，跨境访问常见下一跳是香港或日本。办公室测速不能代表住宅宽带。
排查时：日志按国家码 SG 单独看。若只有新加坡变慢，先核对解析是否落到新加坡或邻近边缘，再看回源是不是绕到欧洲。
不要这样做：把语言为中文的用户全部当成同一地区，会把人分到错误节点。按网络位置，不按界面语言。
三、多语言门户要分开的路径
每种语言使用稳定地址。已经带语言前缀的路径不要再被地区规则改写。
防护边界：用户手工选择的语言优先于按地区猜测。搜索引擎抓取每个语言地址时都应得到稳定内容。
验证：选中一种语言后连续点开三页，语言保持不变。另一种语言的同一内容使用另一个地址，而不是来回跳。
四、高防 CDN怎么接
公网只解析到 CDN 的 CNAME，源站安全组只放行回源网段。静态域名使用较长缓存时间，登录、下单和支付接口单独 Bypass，不与图片域名共用缓存键。清洗策略按 Host 分开：活动页可以更严，API 要按路径放行正常的高频轮询。
产品说明见高防 CDN。只改和「源站 IP 被扫描暴露」有关的域名或路径，不要把多语言门户的其他路径一起改掉。
五、排查步骤
下面五步按因果顺序执行，后一步依赖前一步的结果。步骤针对「源站 IP 被扫描暴露」，不是一套通用清单。
- 每种语言的地址分开统计。已经带语言前缀的路径单独标记。 把统计窗口分成两段：当地 20:00–24:00，以及午间短高峰，两段不要并成一个平均数。 这一故障在本步要完成的事：在源站访问日志里筛掉回源网段，剩下的来源就是绕过 CDN 的访问。
- 带语言前缀的地址禁止再被地区规则改写。手工选择的语言优先于地区猜测。 住宅宽带和办公室网络分开列表。办公室正常不能用来关闭用户侧的告警。 这一故障在本步要完成的事：核对 DNS 历史、备用域名和服务器面板是否仍把源站 IP 公开。
- 每种语言保持自己的稳定地址。不要用跳转把一种语言送去另一种语言。 核对解析是否落在新加坡或香港、日本的邻近节点。落到欧洲就先改调度。 这一故障在本步要完成的事：安全组改为只允许回源网段访问 80/443，其余来源丢弃。
- 源站按语言地址返回对应内容。不要只靠一个地址再做一次地区跳转。 回源若绕经欧洲，先把回源改到邻近区域，确认业务程序不用改。 这一故障在本步要完成的事：更换已经暴露的源站地址，并同步改回源配置。
- 选定一种语言后连续打开三页，语言保持不变。另一种语言使用另一个地址，两边都不循环跳转。 用新加坡住宅出口复测。界面语言是中文也不代表用户在中国大陆。 这一故障在本步要完成的事：连续观察 24 小时，确认公网扫描流量不再打到业务端口。
六、处理办法
- 业务域名只保留指向 CDN 的记录。
- 源站不要用同一个 IP 对外发邮件或开面板。
- 证书只挂在边缘，源站使用回源专用证书。
改完后在新加坡的用户网络上复查，不要只在机房内网看。复查时带上多语言门户的验证：选中一种语言后连续点开三页，语言保持不变。另一种语言的同一内容使用另一个地址，而不是来回跳。
七、案例
边缘流量正常，源站仍被打满。日志显示大量请求直接命中源站 443，且来源不是回源网段。收紧安全组并更换 IP 后，绕过流量消失。
若同样的现象出现在新加坡，额外核对：日志按国家码 SG 单独看。若只有新加坡变慢，先核对解析是否落到新加坡或邻近边缘，再看回源是不是绕到欧洲。
业务侧核对：每种语言使用稳定地址。已经带语言前缀的路径不要再被地区规则改写。
这个案例只说明怎么定位，不构成容量或可用性承诺。
八、常见问题
问：开了 CDN 为什么 IP 还会泄漏？
答：旧解析、源站跳转、邮箱和泄露的配置文件都会留下地址。CDN 不能挡住直接打到这个地址的流量。
问：只改 DNS 够不够？
答：不够。已经知道 IP 的人不会再查 DNS。必须在防火墙上拒绝非回源访问。
问：更换 IP 后要改什么？
答：回源地址、健康检查和监控探活。对外域名不用改，仍然指向 CDN。
问：同一故障换一个地区或一种业务，排查还一样吗？
答：不一样。每一步都先按多语言门户的路径处理，再按新加坡的网络条件收窄，最后才做「源站 IP 被扫描暴露」这一故障本身的动作。换地区或换业务，前两段操作就会变。
九、边界
只讨论高防 CDN在「源站 IP 被扫描暴露」上的处理，地区范围是新加坡，业务范围是多语言门户。请遵守当地法律。维科云提供网络能力，不对客户业务内容负责。