棋牌游戏服务器被攻击怎么隐藏源站IP：三步处置顺序

源站IP已经暴露、攻击正打在服务器公网上的时候，顺序错了会白忙一轮：先换IP不封泄露渠道，新IP半天内又会被翻出来；先接防护不收口，攻击者照样绕过节点直连老IP。可行的顺序只有三段——先收口止血，再封死泄露途径并更换IP，最后按协议类型分通道封装接入，让公网上根本不存在指向源站的可达路径。

下面按动手顺序展开，棋牌业务的特殊点（TCP/UDP长连接、客户端容易被反编译抓包）单独标出来。

先确认你处在哪种状态，这决定第一步能不能做

动手前花两分钟判断：

源站还能连上、SSH/控制台可用：说明攻击量还没压死带宽，可以立刻做访问控制收口，这是见效最快的一步。
已经被机房或云厂商黑洞（路由级封禁）：此时你改任何防火墙规则都不会让业务恢复，黑洞是在上游丢包。要做的是准备好换IP方案，等黑洞解封窗口一到就切走，或直接申请更换公网IP。
只有玩家连不上、服务器负载正常：优先怀疑CC或连接耗尽类攻击，而不是纯带宽打满，处置重点在网关侧的连接限速和行为识别，仍然需要隐藏源站，但不必急着换IP。

第一步：源站侧访问控制收口

在安全组或系统防火墙上把策略改成默认拒绝、白名单放行：

只放行防护节点的回源IP段（接入哪家就找哪家要回源段，这个列表要留档，后续变更时同步更新）。
只放行运维跳板机的固定出口IP，用于SSH、数据库管理、监控采集。
关闭所有非必要端口，尤其是为了调试临时开的游戏服务端口、Redis/MySQL的公网监听、后台管理端口。
其余公网直连一律拒绝。

这一步在源站侧生效很快，能立即挡掉攻击者拿着已泄露IP做的直连探测和大部分应用层请求。但要清楚它的边界：已经把入口带宽打满的流量型攻击，规则拦截也救不回来，包丢在上游，收口只是为后面换IP和接入争取干净的起点。

棋牌业务这里有个容易翻车的地方：很多服务端进程依赖UDP心跳或自定义端口范围，收口时按端口段一刀切会把在线牌桌全断。先把线上实际用到的端口和回源来源列清楚再改，改完盯住在线人数曲线。

第二步：把IP是怎么漏出去的找出来并封死

这一步不做完就换IP，等于换个号继续被找。棋牌项目常见的泄露口子：

客户端里硬编码了源站IP或域名。安装包被反编译、配置文件被翻出来、或者直接抓一次登录包就能看到真实连接目标。这是棋牌场景里最主要的一条，也是最难靠改配置解决的，必须靠后面的封装接入来根治。
DNS历史解析记录。域名在接入防护之前指过源站IP，历史解析库里一直留着。换IP前先确认所有A记录、包括很久不用的子域名都已经指向防护节点。
未接防护的子域名和测试环境。后台、支付回调地址、更新服务器、测试服、监控面板，往往直接解析到同一台机器或同一段IP。全网扫描服务（Censys 这类）会主动收录这些开放端口和证书信息，攻击者按证书里的域名反查就能落到源站。
服务器主动外联时暴露出口IP。系统发信、第三方支付回调、短信通道、错误上报，只要是源站自己发起的请求，对端就能记录到真实出口IP。把这类外联改走独立的出口机器或代理。
被攻击期间的应急操作。为了排查临时解开一个端口、临时把域名切回源站，这类动作一旦忘记回滚，前面做的全废。

排查方法和更细的暴露面清单，可以对照源站隐藏怎么做？暴露面到mTLS回源的5道关口逐项过一遍；如果是已经确认泄露后的整体应急节奏，源站IP泄露后的应急处理与修复步骤里的止血顺序可以并行参考。

第三步：更换公网IP，并把核心节点挪进私网

确认泄露渠道都堵上之后，再换源站固定公网IP。换的时候顺手把架构调一层：

游戏逻辑服、数据库、缓存这些核心节点不再持有公网IP，只留内网地址。
对外只保留一层前置（SLB、反向代理或防护网关的回源目标），由它转发到私网。
管理面通过跳板机或内网VPN进入，不在公网上开管理端口。

这样即使将来某个环节又漏了一次，漏出去的也是可替换的前置层，而不是装着牌局数据和玩家账号的核心机器。换完IP之后，别忘了同步更新防护平台的回源配置、监控白名单和第三方回调地址。

棋牌业务长连接与Web两条通道分别接入游戏盾与高防反代的分工示意

第四步：按通道分别接入，棋牌要拆成两条路

棋牌项目的流量天然分两类，防护方式不一样，混在一起接会出问题。

游戏长连接（TCP/UDP）走游戏盾。 原理是客户端不再直连源站，而是通过SDK或登录器封装，与分布式网关建立加密隧道，用私有协议承载游戏数据；调度层把请求分散到多个网关节点，客户端拿到的只是网关地址或调度Token，抓包也解析不出源站真实IP。某个节点被打时可以切换节点，设计上尽量不中断已建立的长连接——对牌局中途掉线容忍度极低的棋牌来说，这一点比峰值数字更值得你在测试期重点验证。

接入方式取决于客户端形态，这是选型前要先确认的：

原生APP：嵌入SDK，改动在客户端侧，需要发新版本，并考虑老版本用户的过渡期。
微端/登录器：由登录器做动态封装，客户端主体可以少改甚至不改，适合不方便强制更新的项目。
H5或暂时无法改客户端：先用四层端口转发过渡，源站IP能隐藏，但客户端里若还留着直连逻辑就仍有风险，属于临时方案。

官网、注册登录、充值、后台、API 走高防CDN加WAF反代。 这部分是HTTP(S)流量，按域名接入，源站只放行回源段。同时在源站和前置层上补两个细节：关闭ICMP响应（不响应ping），拒绝空Host和无效SNI的请求——这两类请求基本都是扫描器拿着IP在试探你上面挂了什么站点。

两条通道怎么分工、什么情况下只用其中一条就够，可以看游戏盾和高防CDN该怎么选。如果你的服务在海外、又用了大量UDP心跳，接入前还要确认线路侧对UDP的策略，相关取舍见海外高防IP封海外UDP流量的优缺点。

真要落地这一步，可以直接看 RockCloud 的游戏盾接入形式（私有协议封装、TCP/UDP、隐藏源站），加速与防护在同一条链路完成、按峰值计费不限流量，上线前支持免费测试——棋牌项目务必在测试期把断线重连、切换节点时的牌局状态跑一遍，再决定正式割接。如果眼下正被打、源站已经进黑洞，把域名、端口、客户端形态和当前攻击表现整理好走应急接入，比自己反复换IP更省时间。