TG咨询第一次做高防IP回源配置时，最容易忽略的是：高防IP只负责接收和清洗流量，正常请求仍要转发到源站。只要源站地址、端口、证书或访问策略有一项不匹配，就可能出现网站打不开、部分接口失败，甚至源站被绕过攻击。
下面按实际配置顺序说明5个关键问题。文中的设置名称可能因云服务商控制台不同而变化，但判断思路适用于网站、接口和其他基于IP访问的业务。
一、先确认源站地址是否真的被保护
高防IP回源配置的第一步不是改解析，而是确认高防知道“回哪里”。源站可以是固定公网IP、云服务器弹性IP，也可以是负载均衡器地址。新手常见错误是填入旧服务器、内网地址，或把备用源站误当成主源站。
建议按以下顺序核对
- 在服务器、负载均衡或云平台控制台确认当前业务实际使用的源站地址。
- 确认源站已经部署了对应网站或接口，并能通过受控方式完成一次直连测试。
- 在高防控制台添加主源站；确有容灾需求时，再添加经过验证的备用源站。
- 修改DNS前，检查域名解析、证书和应用配置是否已经覆盖高防接入域名。
如果源站仍允许任意公网地址访问，攻击者可能通过历史DNS记录、证书透明度信息、邮件记录或应用泄露找到真实地址。因此，源站保护不仅是接入高防，也包括收紧源站安全组和防火墙，仅允许高防回源地址访问业务端口。
二、端口、协议与健康检查必须一致
高防IP回源配置中，端口填写错误很常见。外部访问端口、监听端口和源站服务端口可能并不相同。例如用户访问标准Web端口，但后端服务实际由负载均衡器转发到应用端口，此时不能只凭“网站能打开”来猜配置。
| 检查项目 | 需要确认的内容 | 常见后果 |
|---|---|---|
| 监听端口 | 高防接收客户端请求的端口 | 客户端连接失败 |
| 回源端口 | 高防连接源站的实际端口 | 连接被拒绝或超时 |
| 传输协议 | HTTP、HTTPS或其他受支持协议 | 协议握手异常 |
| 健康检查 | 检查路径、状态码和超时时间 | 源站被误判为不可用 |
健康检查最好使用返回稳定状态码的轻量路径，例如由应用提供的状态接口，避免调用需要登录、查询数据库或依赖第三方服务的页面。配置完成后，分别测试首页、静态资源和一个实际业务请求，因为只有首页正常并不代表回源链路完整。
三、决定HTTPS在哪一段终止
HTTPS有两段链路：客户端到高防，以及高防到源站。高防IP回源配置可以选择在高防侧终止TLS，再以明文或加密方式连接源站；也可以让高防把HTTPS继续转发到源站。两种方式没有绝对优劣，关键是证书和安全要求是否匹配。
两种方案的差异
- 高防终止加密：证书集中在高防侧，源站配置较简单；但高防到源站的链路需要结合网络环境判断，跨公网时通常不建议使用明文。
- 全链路加密：源站也使用证书，能降低中间链路被监听的风险；但需要维护源站证书、有效期、域名匹配和TLS版本。
如果源站按域名选择虚拟主机，还要确认回源请求携带的域名与证书校验规则一致。不要只验证浏览器首页，接口、文件下载和不同子域名可能使用不同证书或监听配置。证书即将到期时，应先在测试域名或备用链路验证替换结果，再调整生产配置。
四、回源访问控制不能只靠“隐藏IP”
隐藏源站地址只是降低暴露概率，不能替代访问控制。完成高防IP回源配置后，应在源站安全组、主机防火墙或云防火墙中建立允许列表，仅放行服务商公布的回源地址段。由于地址段可能调整，建议订阅服务商变更通知，并建立定期复核机制。
业务端口与管理端口要分开处理。网站或接口需要开放的通常是业务监听端口；远程管理、数据库、监控等端口应继续限制在办公网、VPN或专用管理网络，不应因为排查问题而临时对全网开放。若业务需要获取真实客户端地址，要先确认高防提供的转发方式，再让应用或Web服务器只信任来自高防的相关信息，避免客户端自行伪造。
五、切换前必须设计回滚和验证方案
DNS切换后，受本地缓存、递归DNS和TTL影响，不同用户看到新地址的时间可能不同，通常需要数分钟到更长时间。因此，高防IP回源配置不能只在切换瞬间观察一个浏览器结果，而应准备分阶段验证。
- 先用临时测试域名或指定解析环境验证高防接入，检查首页、登录、上传、下载和关键接口。
- 查看高防侧的请求日志、回源状态码、连接数和异常告警，确认请求确实经过高防。
- 在源站侧检查访问日志，确认来源、请求路径和响应时间符合预期。
- 逐步调整正式域名解析，保留原解析和原配置，直到主要缓存周期结束。
- 若出现持续的5xx、超时或接口异常，先恢复DNS，再按域名、端口、协议和源站日志逐项定位。
不要只用单一网络测试。可以分别从家庭宽带、移动网络和办公网络访问，并使用命令行检查DNS结果与TLS握手。正常网页打开但接口失败，通常要重点查看接口端口、请求路径、超时设置和源站应用日志。
常见问题
1. 高防接入后访问速度一定会变慢吗？
不一定。延迟会受到用户到高防节点的距离、清洗策略、回源线路和源站处理时间影响。静态资源、动态接口应分别观察，不能只凭一次访问判断。
2. 源站是否必须使用公网IP？
不一定。若高防与源站位于可互通的专有网络，可使用内网地址；但必须确认路由、端口和安全组允许回源，且服务商支持该网络方式。
3. DNS修改后为什么有些用户仍访问旧地址？
递归DNS和终端会缓存解析结果，实际生效时间受原TTL、运营商策略和本地缓存影响。切换前应降低TTL，并保留旧链路一段观察时间。
4. 只保护网站域名就够了吗？
如果接口、文件服务或其他业务使用独立域名，也要逐一评估。任何仍指向真实源站的公开入口，都可能成为绕过高防的通道。
5. 配置完成后最先检查什么？
先确认域名解析到高防，再确认高防能连通源站，最后检查应用日志和关键业务流程。按照“解析—端口—协议—权限—业务”的顺序排查，通常比反复重启服务更有效。
总的来说，稳定的高防IP回源配置依赖清晰的源站关系、匹配的端口协议、完整的加密链路、严格的访问控制和可回滚的切换方案。把这5项在上线前逐一验证，才能真正发挥高防接入的保护作用。
