第一次知道 https 会暴露服务器 ip

[ddgweb]

因为网站一直有用 cdn 加速，也没有泄露过 ip，但是在群里发一下域名，别人一下子就给我服务器 ip 找出来，然后随手给我来一发 udpfloor，然后封 1 天黑洞，这就很烦。

然后找了一些资料才知道，用 Nginx 部署网站，开启 ssl 的情况，直接访问 https+ip 会暴露证书，间接的别人就能扫到域名=ip

当然最后我通过各种办法，暂时解决了

[ColoThor]

@julyclyde #19 获取域名的证书

[ColoThor]

@julyclyde #19 具体逻辑我也没搞懂。不知道 cdn 到服务器是 https，也就是全程加密是不是就没 lz 的问题了

[imdong]

看懂了，虽然知道会被扫描，但是没想过 https + ip 会暴露域名这个问题。

自签名了个 口吐芬芳 的证书....


[julyclyde]

@imdong 哈哈哈哈，你这个证书真是 有意思

[Xusually]

@imdong DDOS 10TBps x 24 小时豪华套餐已经安排上了

[Xusually]

@imdong 补楼上 [手动狗头.gif]

[opengps]

说明问题出在了你 cdn 后端继续用了同一个证书？
这样的话或者不用证书，或者用单独的后端域名可解

[yanzhiling2001]

忽视是因为不知道....
上 ssl 还都是宝塔或者 acme 代劳的，没想到还会有人扫证书。

证书自签，再套 cdn ？ cdn 的证书用正确的，自己本机的用自签的？什么原理有没有大雕介绍一下

[des]

屏蔽非 cdn 的 ip 访问就好了，总有人扫确实很烦

[lcdtyph]

@julyclyde
扫各大机房 ip 的 443 端口就好了，发送 clienthello，对方回复的 serverhello 中有 ssl 证书，证书里的 common name 有域名信息。这样就知道了这个 ip 的域名

[lcdtyph]

@julyclyde
扫描一遍 ip 段就可以得到一个域名-ip 的多值映射表。然后以后想查某个域名对应的源站 ip 查这个表就行了

[westoy]

CDN 一般都有 IP 列表的， 你默认屏蔽然后针对 CDN IP 段 ipset 搞个白名单

[no1xsyzy]

@yanzhiling2001 可能是当直接访问 IP 时返回自己给自己 IP 自签的一个证书。
我觉得还是只给 CDN ip 白名单比较稳妥，其他 IP 过来直接 DROP，谁也不知道你开了 443

[yanzhiling2001]

@no1xsyzy OK 。知道了，这个可以。

[xiaofeifei8]

难道 cdn 的流量不是钱吗？最根本的问题没有解决掉啊，只要你有域名能访问，别人该打你还是打你，和知不知道 ip 没啥关系咋

[superrichman]

https://site.ip138.com/v2ex.com/

知道域名可以直接找历史 ip 的

[imdong]

另外，题主的描述是不对的。

不是 https 会暴露 IP，而是不正确配置 HTTPS 会导致服务器暴露网站域名。

[yanzhiling2001]

https://www.bnxb.com/nginx/27645.html

[mdzz]

@no1xsyzy 补充 OpenSSL 的： `openssl s_client -connect 39.156.69.79:443`

[weakish]

@xiaofeifei8 主帖说的 udpfloor 是针对 IP 的攻击，不涉及域名。一般这类攻击不会针对 CDN 节点的 IP 。