原文地址

WordPress防CC攻击设置教程：https://www.hostloc.com/thread-750430-1-1.html

WordPress动静分离方法汇总：https://www.hostloc.com/thread-751158-1-1.html

做一个永不暴露真实IP的网站，防止DDoS：https://www.hostloc.com/thread-754357-1-1.html

备份镜像

WordPress防CC攻击设置教程

WordPress是一个功能强大的CMS，几乎可以通过插件和主题实现任意功能。功能强大的同时，WordPress因动态性而性能欠佳，不优化的情况下可能多刷新几次就挂了，更不用说恶意构造的CC攻击了。

cc攻击
cc攻击
前文 服务器简易防CC攻击设置 简要介绍了网站遇到CC攻击的通用解决办法，本文针对WordPress给出较为全面的WordPress防CC攻击设置。

WordPress的弱点
WordPress默认没有做静态化，所有请求都是动态生成内容再发送。访客少的情况下问题不大，流量起来了不使用缓存或者静态化基本上就GG了。所以WordPress性能优化中很重要的一条便是使用缓存/静态化插件。

开启了缓存/静态化插件，页面、文章访问一次后被缓存，下次请求不用再动态生成，性能极大改善，低配VPS也能轻松负载上万的ip，美滋滋。

但是对于WordPress的CC攻击，缓存远远不够，因为其致命弱点未解决：WordPress的动态性是其弱点，弱点中的弱点则是搜索。文章数量是固定的，但是搜索词无穷无尽，因此缓存对CC攻击不起作用。如果文章数上万，每一次搜索都很耗费资源，多来几次搜索型的CC攻击WordPress就趴下了。

总结一下：WordPress的弱点是动态化，致命弱点是搜索，必须解决这两个弱点才能防范住（缓解）CC攻击。

WordPress防CC攻击设置
了解了WordPress的弱点，接下来介绍WordPress防CC攻击设置。

安装缓存/静态化插件，解决WordPress动态生成网页的弱点。本站用的WordPress Super Cache，其配置简单，性能也好。安装、启用插件后主要设置为：1. “通用”中勾选“启用缓存功能 (推荐)”；2. 高级中做如下设置：
WP Super Cache设置
WP Super Cache设置
不勾选“不要为GET请求缓存”，理论上解决了搜索的攻击问题，但是会让你的网站不正常

2. 接着解决搜索的弱点。同通常CC攻击防范，主要手段是限制请求数和速率。假设我们用的Nginx，解决方法为：

2.1 在Nginx主配置文件(例如/etc/nginx/nginx.conf)的 http 段中分配限制计数区：

http {
# 一些其他配置

# 增加下面三行，作用分别是：1. 分配10MB大小的连接数计数区（能统计16万个ip）；
# 2. 分配正常请求的限制区，每秒请求次数不能超过10（请按照自己需求更改）
# 3. 分配搜索限制区，每分钟搜索不能超过10次
limit_conn_zone $binary_remote_addr zone=limit_conn:10m;
limit_req_zone $binary_remote_addr zone=limit_req:10m rate=10r/s;
limit_req_zone $binary_remote_addr zone=limit_req_s:10m rate=10r/m;

# 其他设置
}
2.2 打开网站配置文件（例如/etc/nginx/conf.d/tlanyan.conf），在server段中增加防CC攻击设置：

server {
# 一些其他配置

# 增加以下配置行
limit_conn limit_conn 10; # 单个ip的并发连接数不能超过10（请按照自己情况修改）
limit_req zone=limit_req burst=10 nodelay; # 使用limit_req限制正常请求
location / {
# 注意：一定要在 location / 添加，否则后台功能可能不正常
if ($query_string ~ "s=") {
rewrite ^ /search.php?$query_string last; # 将搜索请求重定向
}
# location / 的其他设置
}
location = /search.php {
limit_req zone=limit_req_s burst=5 nodelay; # 限制搜索频率
fastcgi_pass php-fpm; # 这里请改成你php的设置
include fastcgi_params;
fastcgi_param SCRIPT_FILENAME $document_root/index.php;
}

# 其他设置
}
上面的配置中，最重要的设置从 if ($query_string ~ "s=")开始，将搜索重定向，然后使用我们自定义的搜索频率设置。超过这个搜索频率，直接503返回错误信息。

2.3 使用 nginx -t 命令检查有无配置错误，然后 systemctl restart nginx 重启Nginx。

于是，通过连接数限制，单个ip无法无限发起对服务器的连接；通过正常请求速率，限制单ip对普通文章页面的请求速率；通过搜索限制，大大限制搜索频率，从而有效防止CC攻击，提升服务器性能。

配置好重启Nginx后，打开自己的WordPress博客，多搜索几次试试，就会出现”503 Service Temporarily Unavailable”提示，说明我们的搜索限制起作用了。

delay参数、其他事项请参考 服务器简易防CC攻击设置

其他
除了WordPress使用缓存插件，也可以开启Nginx的缓存功能提升性能，操作请参考：Nginx配置fastcgi cache
“503 Service Temporarily Unavailable”这个页面可以修改，操作请参考：Nginx自定义错误页
可以结合fail2ban将恶意ip加入黑名单，操作请参考：使用fail2ban防止恶意扫描和CC攻击

WordPress动静分离方法汇总

现代网页不仅只有一个html，经常还包含了大量的js脚本、css样式表、图片、字体等资源文件。因浏览器对单域名有连接数限制，优化网页加载速度的一个重要手段是动静分离。前文 WordPress性能优化 介绍了常用的WordPress性能优化方法，本文详细介绍几种WordPress动静分离方法。

WordPress动静分离
WordPress动静分离
WordPress动静分离方法
动静分离，即将js脚本、css样式表、图片图标、字体等静态资源文件托管在不同的域名上，从而浏览器可以同时下载页面内容和静态文件，以达到网页加速的目的。以本站的 V2ray教程 文章为例，页面内容和下面的评论是动态生成的，文章里的图是静态的。通过动静分离，文章内容、评论和图片可以同时下载，从而加快了网页打开速度。

下面介绍本人所知的WordPress动静分离方法，并指出其优缺点。作为例子，下文中总是以 tlanyan.me 为WordPress博客主域名，static.tlanyan.me 为静态资源用的域名。

WordPress域名替换
我们可以在WordPress页面输出前，将静态资源url替换成静态域名，从而达到动静分离的目的。

具体操作为：

1. 创建动态域名的nginx配置文件，输入如下内容：

server {
listen 80;
server_name static.tlanyan.me; # 请替换成自己的域名

return 301 https://static.tlanyan.me$request_uri; # 请替换成自己的域名
}

server {
listen 443 ssl http2;
ssl_certificate ssl证书路径；
ssl_certificate_key ssl密钥路径；
access_log /var/log/nginx/static.tlanyan.access.log main buffer=64k flush=30s;
error_log /var/log/nginx/static.tlanyan.error.log;

root /var/www/tlanyan; # 请修改成网站实际目录

# 非静态资源转发到主站。此配置涉及到安全问题，非常重要，请务必配置！！
location / {
if ( $request_uri !~* .*\.(js|css|png|jpeg|jpg|gif|bmp|ico|ogg|ogv|svg|svgz|eot|otf|woff|woff2|mp4|ttf|rss|atom|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf))
{
return 301 https://tlanyan.me$request_uri; #tlanyan.me请改成自己的域名
}
}

# 静态资源配置
location ~* .*\.(js|css|png|jpeg|jpg|bmp|ico|ogg|ogv|svg|svgz|eot|otf|woff|woff2|mp4|ttf|rss|atom|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf)$ {
expires max;
add_header Access-Control-Allow-Origin *; # 解决字体跨站问题
add_header Access-Control-Allow-Headers X-Requested-With;
add_header Access-Control-Allow-Methods GET,OPTIONS;
}
location ~ ^/(\.user.ini|\.htaccess|\.git|\.svn)
{
return 404;
}
}
2. 在网页内容输出前，修改静态资源域名为静态域名。具体操作是：编辑主题的functions.php文件，加入如下内容：

function replace_domain($content) {
# tlanyan.me请改成自己的域名
$pattern = '/https:\/\/tlanyan\.me\/wp-([^"\']*?)\.(js|css|png|jpeg|jpg|bmp|ico|ogg|ogv|svg|svgz|eot|otf|woff|woff2|mp4|ttf|rss|atom|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf)/i';
$replace = 'https://static.tlanyan.me/wp-$1.$2';
return preg_replace($pattern, $replace, $content);
}

add_action('init', 'replace_domain');
接下来重启Nginx，刷新网站文章，看看图片、js等文件路径的域名有没有换成静态域名吧。

修改WordPress上传域名
对于WordPress，除了主题所用的css、字体等静态资源，主要静态资源是用户上传的图片和文件。好消息便是，用户可以自定义上传目录和上传的域名，从而轻松做到静态分离。

操作方法为：

1. 登录网页后台，打开 https://你的域名/wp-admin/options.php（只能手动在浏览器打开），找到 upload_path 和 upload_url_path 两个选项，第一选项用来设置上传图片存放的文件夹(默认是 wordpress安装目录/wp-content/uploads)，第二个是设置文件的域名：

WordPress自定义上传文件域名
WordPress自定义上传文件域名
2. 我们修改 upload_url_path 为静态域名，然后页面拖到下面点击“保存修改”；

3. 新建静态域名的Nginx配置文件，输入如下内容：

server {
listen 80;
server_name static.tlanyan.me; # 请替换成自己的域名

return 301 https://static.tlanyan.me$request_uri; # 请替换成自己的域名
}

server {
listen 443 ssl http2;
ssl_certificate ssl证书路径；
ssl_certificate_key ssl密钥路径；
access_log /var/log/nginx/static.tlanyan.access.log main buffer=64k flush=30s;
error_log /var/log/nginx/static.tlanyan.error.log;

root /var/www/tlanyan/wp-content/uploads; # 请修改成网站实际目录，注意根目录为 wp-content/uploads
}
由于 wp-content/uploads 目录只有上传的文件，不存在敏感信息，因此无需做额外安全设置。

4. 经过上述配置，新文章中的图片会使用静态域名，但旧文章还是原来的链接。我们可以通过数据库批量更新链接，操作为：登录数据库，执行这个SQL语句：update wp_posts set post_content=replace(post_content, 'tlanyan.me/wp-content/uploads', 'static.tlanyan.me');。注意语句中的tlanyan.me域名请换成你自己的域名。

这样，文章中的图片和文件链接便与文章做到动静分离了。

Nginx重定向
如果我们使用Nginx作为前端服务器，可以通过Nginx重定向功能将所有的静态资源请求转到静态域名。

操作如下：

1. 按照 WordPress域名替换 的方法新建静态域名的Nginx配置文件；

2. 在主域名的Nginx配置文件对静态资源做如下转发处理：

server {
# 其他配置
# 静态资源文件重定向
location ~* .*\.(js|css|png|jpeg|jpg|bmp|ico|ogg|ogv|svg|svgz|eot|otf|woff|woff2|mp4|ttf|rss|atom|zip|tgz|gz|rar|bz2|doc|xls|exe|ppt|tar|mid|midi|wav|bmp|rtf)$ {
return 301 https://static.tlanyan.me$request_uri; # static.tlanyan.me请改成你的静态域名
}
# 其他配置
}
配置好后记得重启Nginx。

Nginx内容替换
WordPress可以做内容替换，Nginx有sub模块同样能替换网页内容，这样无需改动WordPress便能做到静态资源使用静态域名。

操作如下：

1. Nginx的PHP处理中增加如下替换命令：

location ～ \.php$ {
# 一些fastcgi 配置

# 替换配置
sub_filter_once off;
# 请修改成自己的域名
sub_filter 'https://tlanyan.me/wp-content/uploads' 'https://static.tlanyan.me';
}
2. 按照 修改WordPress上传域名 中的方法新建静态域名Nginx配置文件，然后重启Nginx。

总结
上文介绍了WordPress动静分离的四种办法，这里简单总结一下四种方法的优缺点：

方法 优点 缺点
WordPress域名替换 所有的静态资源都能走静态域名 静态网站需谨慎配置，否则有安全危险
修改WordPress上传域名 官方正统办法，无需对WordPress做修改 只能让上传的文件和图片走静态域名
Nginx重定向 只修改Nginx配置，比较简单 静态资源请求多了一次重定向
Nginx内容替换 只修改Nginx配置，操作简单 不支持正则匹配，只能让上传文件走静态域名

 

做一个永不暴露真实IP的网站

防范DDoS攻击最主要的手段是加钱上高防，同时隐藏网站真实IP。前文 隐藏网站的真实ip 简要介绍了网站隐藏真实ip的基本操作，但不够详细和深入。本文详细介绍几种网站隐藏真实ip的方法和优缺点，让你能真正做一个永不暴露真实IP的网站。

做一个永不暴露真实IP的网站
既然不想暴露网站的真实IP，那么真实服务器前面至少套一层代理。一般来说，位于最前线的反向代理主要有如下几种：

CDN：内容分发网络，就近为用户提供服务，加速访问；
高防IP：高防IP一般位于大带宽的骨干网节点上，用于清洗DDoS流量；
SLB：负载均衡器，用在大流量、繁忙的网站上，常见的SLB有LVS、F5等。
这三种反向代理主要作用不一样，配置好的情况下都能隐藏服务器真实IP。对于普通的网站，使用CDN或者高防就足够，业务量大的情况下才会用到SLB。

下面介绍使用了反向代理的情况下，隐藏网站真实IP的操作。

防火墙
使用防火墙是最简单的做法，即：将反向代理的回源IP加入白名单，屏蔽其他IP的任何请求。

例如使用CloudFlare的免费CDN服务，其回源IP可从 https://www.cloudflare.com/zh-cn/ips/ 获取，然后将其加入白名单，同时屏蔽其他IP：

# 将cf ip地址放在 cf_ips.txt
# 首先将cf的ip加入白名单
while read -r line
do
firewall-cmd --zone=trusted --add-source=$line
done < cf_ips.txt
# 然后移除其他ip对http和https服务的访问
firewall-cmd --remove-service=http
firewall-cmd --remove-service=https
经过上述设置，Cloudflare 的IP能正常访问，其他IP完全无法访问真实ip的网站服务器，很好的隐藏了真实IP。

该方法设置简单，适用于服务器托管单站点的情形。当服务器上托管多个网站，并且某些站点需要直接暴露外网时，这种做法缺乏灵活性，无法实现。

也可以通过Nginx的allow/deny指令达到相同效果

IPv6
对于防火墙和网络不熟悉的网友，可以考虑使用IPv6来隐藏网站的真实IP。具体操作为：

1.找一台有IPv6地址的服务器，只有IPv6的NAT VPS更好。目前IPv6地址正在普及中，许多商家都免费提供IPv6地址，例如 一些VPS商家整理 中的 阿里云、Vultr、Linode、CloudCone，有的还提供不止一个IPv6地址；

2. 设置网站只监听IPv6端口。以Nginx为例，网站配置文件形如：

server {
listen [::]:80;
server_name 主机名; # 请改成自己的主机名

return 301 https://主机名$request_uri;
}
server {
listen [::]:443 ssl http2;
server_name 主机名;
ssl_certificate 证书路径;
ssl_certificate_key ssl密钥路径;
# 其他设置
}
3. 找一家支持只有IPv6的CDN，例如 Cloudflare，设置IPv6解析：

CloudFlare设置ipv6解析
CloudFlare设置ipv6解析
经过上面三步设置，基本上可确保不会泄漏真实IP，原因如下：

1. 绝大多数情况下，人们都会理所当然的找IPv4，不会想到你的网站根本不存在IPv4网络上；

2. 相对于IPv4，IPv6的地址段实在太庞大。即使有zmap这种几小时扫描完全球ipv4段的神器，或者Shodan搜索引擎，也很难从海量地址中寻找单个地址。

如果不放心，可以同样加上防火墙，就万无一失了：

# 首先将cf的ip加入白名单
while read -r line
do
firewall-cmd --zone=trusted --add-source=$line
done < cf_ips.txt
# 然后屏蔽其他地址对ipv6的访问权限
firewall-cmd --add-rich-rule="rule family='ipv6' source address='::0/0' drop"
该方法同样设置简单，以奇招胜出，单台服务器能托管多个网站，并且其他网站可直接暴露不受影响。

CNAME
另一种常见隐藏真实IP方式是使用CNAME，同样无需设置防火墙。其操作如下：

1. CDN回源时使用CNAME方式回源到另一个主机名上。例如www.tlanyan.me回源的www.abcdexfd.com。需要注意的是，前端域名和源站域名最好不是同一个，防止通过爆破二级域名泄漏真实IP；

2. 在源站服务器上设置默认站点，防止通过host方式爆破。由于默认站点只是为了防止SNI方式泄漏真实IP，因此使用自签证书即可：

# 生成密钥
openssl genrsa -out example.key 2048
# 生成证书，期间需要填一些信息
openssl req -new -x509 -days 3650 -key example.key -out example.pem
接着以Nginx为例，设置默认站点：

server {
listen 80 default_server;
server_name example.com;
return 301 https://example.com$request_uri;
}

server {
listen 443 ssl http2;
server_name example.com default_server;
ssl_certificate example.pem;
ssl_certificate_key example.key;
}
然后重启Nginx即可。

该方法无需设置防火墙，设置较为简单，但是需要额外一个域名。

注意事项
以上操作只能让他人在明面上无法直接访问真实服务器，但请仔细阅读 隐藏网站的真实ip 中的建议，防止有发送邮件、WordPress pingback等隐式暴露IP的行为。

遇到DDoS怎么办?
如果域名之前从未用过，一出道就用上面提到的方法，基本上可以保证不会泄漏网站的真实IP。

但是不泄漏真实IP不代表不会被DDoS或者CC攻击，遇到DDoS怎么办？解决办法主要有：

1. 加钱上高防保平安；

2. DNS解析域名到127.0.0.1保平安；

3. 关机保平安。

请根据实际情况和业务需求采取相应措施。