遭受DDoS攻击时如何判断源站是否暴露？关键不是只查一个IP，而是确认用户请求是否经过防护节点、源站是否仍能被外部直接访问，以及攻击期间源站是否收到异常流量。以下方法适用于使用代理、内容分发服务或直接解析的不同网站，不依赖特定行业。
先分清“暴露”指什么
判断时要区分三个层次：源站IP能否从公开信息中找到；该地址是否接受来自公网的连接；攻击流量是否实际到达源站。DNS记录泄露地址不一定代表攻击者能连通；反过来，即使当前解析已隐藏地址，旧解析、遗留子域名或未受限制的入站端口也可能留下直连路径。
因此，遭受DDoS攻击时如何判断源站是否暴露，最好结合解析记录、访问路径与服务端日志，而不是依据单一检测结果下结论。
按顺序检查解析与访问路径
盘点正在使用的域名。对主域名和业务子域名查询A、AAAA及CNAME记录，并与域名服务商控制台中的配置核对。A记录对应IPv4，AAAA对应IPv6；只检查IPv4，可能漏掉仍开放的IPv6入口。确认解析结果是否指向预期的代理或防护服务，而非直接指向源站。
从客户端确认连接终点。在浏览器开发者工具的网络面板查看请求连接信息，并与服务商控制台公布的边缘节点地址范围及配置相比较。若实际目的地址属于代理节点，说明用户访问经过该节点；响应头中出现代理标识可作为辅助线索，但不能单凭响应头证明源站不可直连。
核对历史与遗留记录。检查变更记录、旧环境配置和仍在使用的子域名，留意曾经直接指向源站的解析。第三方历史解析资料可以提供线索，但记录可能过期或缺失，需由自己控制的DNS配置、主机清单和服务商记录交叉验证。证书透明度记录通常列出域名信息，本身不能直接证明源站IP。
检查源站入站日志和防火墙。对照攻击发生时段，查看源站连接来源、请求量及防火墙拦截记录。如果公网来源能绕过代理直接连接服务端口，或源站日志持续出现与用户请求对应的异常流量，说明存在直达路径的风险。日志没有记录也不等于绝对安全：流量可能在网络边界被丢弃，或日志采集不完整。
用证据判断风险等级
| 观察结果 | 较合理的判断 | 后续核查 |
|---|---|---|
| 公开记录出现源站地址，但入站规则只允许指定代理来源 | 地址可能已被发现，直连能力受到限制 | 核查IPv4、IPv6和所有服务端口的规则 |
| 客户端连到代理节点，源站只接受代理回源 | 访问链路符合代理架构 | 确认规则覆盖全部源站实例和备用地址 |
| 客户端可直接连到源站，或攻击时源站收到大量公网连接 | 存在绕过代理或源站暴露风险 | 确认是否为预期管理入口，并收紧公网访问 |
这里的“回源链路”是代理服务向源站转发请求的路径。应核实源站日志中的来源是否符合服务商说明；若业务允许，可将源站入站范围限制为可信回源地址，或使用私有网络连接。地址名单需按服务商变更情况维护，不能照搬过期配置。
发现问题后如何处置
先保存攻击时段的DNS配置、连接日志和防火墙记录，明确受影响的地址、端口与实例。
移除不再使用的直接解析和旧环境入口；在网络防火墙或主机防火墙上限制源站公网入站，只保留业务必需的来源与端口。
若源站地址已公开且无法可靠限制访问，可评估更换地址，并同步更新代理回源、健康检查和运维配置。更换地址并不替代访问控制。
从外部再次核验解析结果和连接路径，并观察防护日志、源站入站日志是否仍显示绕行流量。
判断遭受DDoS攻击时如何判断源站是否暴露，最终要看三类证据是否相互印证：解析是否泄露地址、外部是否能直连、攻击流量是否抵达源站。只要源站仍接受不受限制的公网请求，就应先修补访问边界，再评估地址更换。
常见问题
只有DNS记录指向代理，是否就安全？
不能据此确认。还要检查旧记录、子域名、IPv6解析以及源站防火墙是否允许公网直连。
响应头能直接证明源站是否暴露吗？
不能。响应头可能显示代理信息，但无法单独证明源站地址不可访问，应与连接终点和入站规则核对。
怎样确认攻击流量是否到达源站？
对照攻击时段的防火墙、网络流量与应用日志；同时确认日志覆盖范围，避免把边界处已丢弃的流量误判为源站已收到。