刚好分享一下我们日常的做法，给需要的人参考。
我们的主机全部都藏在 Cloudflare 后面，Origin 只开放 Cloudflare IP 进来。
GCP / Linode 的防火墙都设定成白名单模式，非 Cloudflare 的流量直接被拒。
Origin IP 只有内部开发会知道（而且通常也懒得记 XD）。
比较敏感的路径会再加一层 WAF 或 Rate Limit 做保护，避免被扫描或暴冲。
整体目的很简单：
不让任何人绕过 CDN 直接敲主机。
这做法本身不复杂，但对避免常见的绕过攻击还蛮实用的。
如果你也有在做 Origin Lockdown，有更好招式也欢迎分享。 ^^
※ 引述《NTU87 (公馆の椰子树)》之铭言：
: 欸欸听说 cloudflare 挂了
: 阿他是 CDN
: 既然他是 CDN
: 代表他上面还是有个源头服务器
: 阿只要能猜到源头服务器 IP 是什么
: 不就能绕过去了吗？
: 原理就跟各位说到这里
: 源头服务器的 IP 各位自己找
: 加油
: