TG咨询很多人理解的高防IP接入方法，只是把域名解析到新的防护地址。实际上，接入结果还取决于回源策略、端口映射、协议配置和源站安全边界。任一环节填错，都可能出现网站打不开、HTTPS证书异常、接口超时，甚至攻击流量绕过防护直接打到源站。
下面以通用网站、API和TCP业务为例，说明配置时最容易被忽略的问题。不同服务商的控制台名称可能不同，但检查逻辑基本一致。
一、先确认业务链路，再修改DNS
高防IP接入前，应先画出“访问者—高防IP—源站”的实际链路，确认哪些域名需要防护、哪些端口对外提供服务，以及源站是否还有其他入口。不要一开始就全量切换DNS。
- 列出生产域名、测试域名和管理域名，避免把后台、数据库管理入口一并暴露。
- 记录当前域名的A、AAAA、CNAME、MX和TXT记录。邮件业务通常不应随意指向高防IP。
- 核对高防IP支持的业务类型、传输协议、端口范围和是否支持IPv6。
- 先用低TTL进行灰度切换，但要注意递归DNS缓存不会立即全部刷新，低TTL通常也需要经过一段传播时间才逐步生效。
一个常见误区是只修改A记录，却忘记AAAA记录。支持IPv6的客户端可能继续通过旧的IPv6地址访问源站，形成绕过路径。因此，IPv4和IPv6需要分别确认；如果高防侧不承载IPv6，应明确关闭或调整对应解析。
二、回源配置不能只填一个IP
1. 区分源站地址与防护地址
高防IP是对外入口，源站IP是防护平台回源的目标，两者不能混填。将高防IP再次设置为回源地址，可能造成回源循环；把业务域名解析到源站，则会使接入失去意义。
源站存在多台服务器时，应明确使用源站地址池、权重或健康检查。不同策略适用条件不同：轮询适合配置接近的节点，权重适合容量不一致的节点，主备模式则更适合需要固定故障切换顺序的业务。
2. 检查回源协议和端口
外部访问使用HTTPS，并不代表回源一定要使用HTTPS。若高防平台支持分别设置外层协议和回源协议，可以根据源站能力选择。但要确认TLS终止位置、证书校验方式以及Host头是否保持一致。
| 配置项目 | 常见误区 | 检查重点 |
|---|---|---|
| 回源端口 | 外部443端口直接对应源站443 | 确认源站实际监听端口及防火墙放行规则 |
| Host头 | 回源时被替换成IP或默认域名 | 检查虚拟主机、路由和证书匹配情况 |
| 源站协议 | HTTP、HTTPS混用但未验证重定向 | 避免循环跳转、协议降级和接口签名错误 |
| 健康检查 | 只检查TCP端口是否可连通 | 必要时增加HTTP状态码、响应内容或超时判断 |
三、源站白名单和真实客户端IP要同时设计
接入完成后，源站应尽量只允许防护平台的回源地址访问业务端口。这里不能凭经验填写网段，必须以服务商公布的回源地址范围为准，并在变更后重新核对。管理端口、数据库端口和内部服务端口则应继续限制在办公网、VPN或指定运维出口。
另一项容易出错的是客户端IP识别。经过代理后，应用看到的连接对端可能是防护节点，而不是访客地址。平台可能通过约定的HTTP头传递原始IP，但应用、审计系统和访问控制必须明确哪个头可信。若未经过可信代理校验就直接接受任意客户端提交的IP头，可能导致限流、封禁和日志审计失真。
四、证书、端口和长连接要逐项验证
证书配置至少要覆盖实际访问的域名，包括带不带“www”、不同子域名以及API域名。证书部署在高防侧时，要确认私钥格式、证书链和自动续期责任；证书仍部署在源站时，则要确认回源校验是否开启、源站证书域名是否匹配。
端口方面，不要为了省事开放整段端口范围。只发布实际需要的TCP或UDP端口，并核对高防侧、云安全组、主机防火墙和应用监听四层配置。WebSocket、SSE、数据库代理和游戏类长连接还需要单独检查空闲超时、连接保持时间和单连接资源占用。
五、上线前用小流量验证，不要直接等待攻击发生
- 从不同网络访问域名，确认解析结果已指向高防入口，并检查IPv4、IPv6是否一致。
- 验证首页、登录、文件上传、支付回调或API鉴权等关键路径，不能只打开一个静态页面。
- 查看高防侧的请求日志、回源状态和错误码，再与源站访问日志进行时间对照。
- 模拟一台源站不健康的情况，确认健康检查能摘除故障节点，恢复后也能按预期加入。
- 保留原解析、原防火墙规则和回切负责人，明确什么现象触发回滚。
切换后重点观察DNS命中、高防入口连接数、回源失败率、5xx比例、接口延迟和业务登录成功率。阈值应结合业务基线设定，不宜直接套用别人的固定数值。若只有部分地区异常，优先排查解析缓存、IPv6路径和区域性回源问题。
六、常见问题
高防IP接入后源站还需要隐藏吗？
需要。只要源站地址可被直接访问，攻击者就可能绕过防护。应通过访问控制、专用回源链路或变更源站地址等方式降低暴露风险。
DNS切换后为什么部分用户仍访问旧地址？
递归DNS和本地缓存可能仍在TTL有效期内，实际生效时间还受运营商缓存策略影响。应保留旧链路一段观察期，并提前降低TTL。
必须开启HTTP到HTTPS跳转吗？
不一定。若业务确实需要兼容HTTP，可以在高防侧统一跳转；但要检查回源协议，避免高防和源站互相跳转。
健康检查只做端口探测够不够？
对简单TCP服务可能够用；对网站和API，建议增加路径、状态码、超时及必要的响应内容检查，以免端口存活但应用已经不可用。
怎样判断高防IP接入方法是否配置正确？
至少要确认解析、端口、证书、回源、源站白名单和真实IP链路均通过验证，并完成一次故障摘除与回切演练。只有访问正常并且绕过路径被封闭，才算完成接入。
归根结底，可靠的高防IP接入方法应同时覆盖入口、回源、主机和运维流程。提前核对这些配置误区，比出现故障后临时修改DNS和防火墙更稳妥。
