高防 IP 切换后访问异常：回源配置的常见遗漏

发布时间:2026-10-16 15:57

## 症状现象 业务接入高防 IP，域名解析切到高防地址后出现异常：部分用户打不开、返回错误页，或时通时不通。高防本身工作正常（防护后台看不到攻击清洗记录），问题出在高防回源到源站这一段。回源链路有三处常见遗漏：回源线路与源站负载不匹配、源站白名单没放行高防回源段、真实 IP 透传没配，逐处核对能解决绝大多数切换异常。 ## 遗漏一：回源线路 高防节点回源走什么线路要先确认：回源走默认线路而源站是单线机房，跨网绕行会显著拖慢甚至超时；回源端口与源站监听端口不一致，连接直接被拒。核对方法：在高防配置里确认回源协议、端口与源站一致，用高防侧的连通性测试功能或从高防节点侧探测源站端口。回源走内网还是公网、走哪个网络出口，都影响时延与稳定性，切换前先测通再切解析。 ## 遗漏二：源站白名单 安全做得好的源站只允许白名单 IP 访问，接入高防后所有请求都来自高防的回源 IP 段——白名单没更新，高防的回源被源站防火墙丢弃，用户侧表现就是超时或间歇性不通。间歇性尤其迷惑：多个高防节点回源 IP 不同，部分 IP 在白名单里部分不在，表现成时好时坏。正确做法：向服务方获取完整的回源 IP 段清单，源站防火墙与顺云控制台的防火墙规则同步放行整段，并保留回源段更新时的同步机制。 ## 遗漏三：真实 IP 透传 不配透传，源站看到的客户端 IP 全是高防回源 IP：访问日志失去意义、基于 IP 的限流与封禁全部误伤、地区统计全错。配置透传两步：高防侧开启真实 IP 传递（HTTP 头方式或四层代理协议方式），源站 Web 服务从对应头字段取值改写客户端地址，Nginx 用 realip 模块配置可信的回源段即可还原。切完后 tail 日志验证：日志里的客户端 IP 应该回到五湖四海，而不是清一色回源地址。 **收尾。**切换高防是链路改造，建议留灰度窗口：解析分批切换、新旧链路并行观察几天、错误率对比无异常再全量。三处检查做成切换清单，每次变更照单执行，遗漏自然清零。