Die IP Ihres Origin-Servers verbergen: Proxys, CDNs und Lecks

Ein CDN oder Reverse-Proxy vor einer Website nimmt Traffic auf und verbirgt die Adresse des Servers, aber nur so lange, wie die echte IP unbekannt bleibt. Angreifer knacken selten das CDN. Sie suchen direkt nach dem Ursprungsserver. Dieser Leitfaden zeigt, wo Ursprungsserver durchsickern und wie Sie ihn dazu bringen, alles außer Ihrem Proxy abzulehnen.

Wie Ursprungsserver gefunden werden

• DNS-Verlauf: Dienste speichern alte Einträge, daher ist eine IP, die Sie vor dem CDN verwendet haben, weiterhin aufgelistet.
• Subdomains: Einträge wie mail., ftp. oder dev., die direkt auf den Server zeigen.
• E-Mail-Header: Ausgehende Mails vom selben Host verraten dessen IP in den Headern.
• Certificate Transparency und Internet-Scans: Scanner ordnen ein Zertifikat jeder IP zu, die es ausliefert.
• Anwendungsverhalten: Webhooks, Bildabrufer und Funktionen wie „URL prüfen“ verbinden sich vom Ursprungsserver aus nach außen.

Schritt 1: Sauber neu beginnen

Wenn der Server bereits offengelegt wurde, ist die sicherste Lösung eine neue IP oder ein neuer Server samt Migration. Eine bereits öffentliche Adresse zu verbergen funktioniert nicht. Planen Sie den Umzug mit der Anleitung zur Migration ohne Ausfallzeit.

Schritt 2: Traffic nur vom Proxy annehmen

Erlauben Sie Web-Ports nur aus den veröffentlichten Adressbereichen des Proxys und von nirgendwo sonst. Mit UFW sieht das wie folgt aus, wobei Sie die Bereiche Ihres Anbieters verwenden.

sudo ufw default deny incoming
sudo ufw allow OpenSSH
for ip in $(cat proxy-ranges.txt); do sudo ufw allow from "$ip" to any port 443 proto tcp; done
sudo ufw enable

Aktualisieren Sie die Liste regelmäßig, da sich die Bereiche ändern. Für höhere Sicherheit nutzen Sie Authenticated Origin Pulls (Mutual TLS), damit Nginx jeden Client ohne das Zertifikat des Proxys abweist.

Schritt 3: Alles trennen, was durchsickern kann

• Versenden Sie E-Mails über einen anderen Host oder ein Relay, niemals vom Ursprungsserver.
• Halten Sie Subdomains, die nicht zum Web gehören, von der IP des Ursprungsservers fern.
• Leiten Sie ausgehende Abrufe der Anwendung über einen Proxy oder einen separaten Worker.
• Betreiben Sie einen Standard-Nginx-Server-Block, der bei unbekanntem Host eine leere Antwort liefert, sodass ein Scan der nackten IP nichts zeigt.

server {
    listen 443 ssl default_server;
    ssl_reject_handshake on;
}

Schritt 4: Wie ein Angreifer testen

Suchen Sie Ihre Domain in DNS-Verlaufswerkzeugen, scannen Sie Ihren eigenen IP-Bereich nach dem Zertifikat und prüfen Sie die Mail-Header einer Testnachricht. Zeigt einer davon den Ursprungsserver, ändern Sie die IP und wiederholen Sie den Vorgang.

Bedenken Sie, was das leistet und was nicht: Es schützt Verfügbarkeit und Privatsphäre der Adresse. Es verbirgt nicht, wem das Konto gehört. Lesen Sie dazu wie anonym anonymes Hosting wirklich ist, und zu Angriffen, die die Netzwerkebene umgehen, die Layer-7-Abwehr.