宝塔面板怎么配置 CDN 回源

学完这篇你能得到什么：你会在宝塔面板上把源站准备妥当，在 CDN 控制台正确填写回源配置，并解决真实 IP 丢失、源站被绕过、301 死循环这几个最常见的坑。

下面以宝塔 Linux 面板 8.x + 阿里云/腾讯云 CDN 为例。

第一步：确认源站能独立访问，记下回源地址

这一步的目的是拿到一个「CDN 能访问、外网不直接暴露」的源站入口。

先在宝塔面板左侧点「网站」，找到你的站点，点「设置」→「域名管理」，确认站点当前绑定的域名。

注意：CDN 回源时，节点是拿「源站地址」去请求的，所以这个地址必须能直接返回内容。如果源站开了强制 HTTPS 跳转，而 CDN 回源配的是 HTTP，就会互相跳转报 301 循环。

第二步：给 CDN 单独绑一个源站域名

这一步做完，你就有个只给 CDN 用的内部域名，别人拿到 IP 也访问不到正确内容。

推荐做法：新建一个只在 DNS 里解析、不对外公开的域名，例如 origin.yourdomain.com，A 记录指向服务器公网 IP。

回到宝塔「网站」→ 站点 →「设置」→「域名管理」→「添加域名」，把 origin.yourdomain.com 加进去。

注意：这个源站域名绝对不能也接入 CDN，否则回源时会解析到 CDN 节点，形成回源死循环。

第三步：放行端口和 CDN 节点 IP

这一步是防止 CDN 节点被服务器防火墙挡在门外，出现 502、超时。

在宝塔「安全」→「防火墙」里，放行 80 和 443 端口。云服务器还要在云厂商控制台的「安全组」里再放行一次，两处都要。

如果宝塔装了 Nginx 免费防火墙或云 WAF，把阿里云 CDN 的 IP 段（阿里云官网「CDN IP 地址列表」页面可下载）加进白名单。

第四步：在 CDN 控制台添加加速域名并填回源

这一步是真正把域名接到 CDN 上。

阿里云 CDN 控制台 → 左侧「域名管理」→「添加域名」：

• 加速域名：填 www.yourdomain.com
• 业务类型：选「图片小文件」或「视音频点播」
• 源站信息：源站类型选「域名」，填 origin.yourdomain.com，端口 80
• 回源协议：选「HTTP」或「协议跟随」

腾讯云 CDN 控制台 →「域名管理」→「添加域名」，逻辑一样，源站类型选「自有源」，填写域名和端口。

提交后，按控制台提示到 DNS 服务商处，把 www.yourdomain.com 的 CNAME 记录改成 CDN 给出的 xxx.cdn... 地址。

注意：CNAME 生效通常几分钟到几小时，可用 nslookup www.yourdomain.com 验证是否已指向 CDN 域名。

第五步：处理 HTTPS

这一步决定你的站点能不能用 https 访问。

在 CDN 控制台的域名详情页 →「HTTPS 配置」→ 上传证书（阿里云可直接选云盾里的证书）。

源站这边两选一：

• 回源协议选 HTTP：宝塔站点只需要 80 端口正常，不用配证书。
• 回源协议选 HTTPS：宝塔「网站」→ 站点 →「设置」→「SSL」里也要部署一张证书（可以是同一张，也可以是自签但必须被 CDN 信任，自签通常不被信任）。

推荐第一种，最简单。

第六步：让站点拿到访客真实 IP

不配这一步，宝塔「网站」→「网站日志」里记录的全是 CDN 节点 IP，封 IP 会误伤。

如果你用的是宝塔自带的 Nginx，打开「网站」→ 站点 →「设置」→「配置文件」，在 server {} 段上方加入：

set_real_ip_from 0.0.0.0/0;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

保存后点「重载配置」。

注意：0.0.0.0/0 表示信任所有来源，配合 CDN 隐藏源站时够用；如果源站 IP 已公开，建议改成 CDN 官方 IP 段，防止伪造 X-Forwarded-For 头。

第七步：验证

在浏览器打开 https://www.yourdomain.com，按 F12 →「网络」→ 刷新，看响应头里是否出现 X-Cache: HIT/MISS、Via: ... 等 CDN 标识。

再改一下首页文件内容，刷新看是否变化，判断缓存是否生效。缓存规则可在 CDN 控制台「缓存配置」里按后缀（如 .jpg、.css）设置过期时间。

小结

• 源站要单独绑一个内部域名，且该域名不接 CDN，避免回源死循环。
• 宝塔「安全」和云厂商「安全组」两处都要放行 80/443。
• CDN 回源协议和源站跳转策略必须一致，否则 301 循环。
• 加上 real_ip_header X-Forwarded-For 才能在日志里看到访客真实 IP。
• CNAME 生效后再测试，缓存用 F12 响应头的 X-Cache 字段判断。