高防IP怎么接入网站：源站配置、解析切换与验证
高防IP接入的本质是让用户流量先到高防节点，再由高防节点转发回你的源站。
所以不能只在服务商后台买一个高防IP就结束，源站必须同步做两件事：放行高防的回源IP，并且只允许这些IP访问业务端口。
否则攻击者查到真实IP后可以绕过高防直接打源站，接入就失去意义。
接入前要确认的三件事
动手前先把下面信息准备好，缺一项后面都容易卡住：
- 源站信息：源站服务器的公网IP、业务端口（如 80、443）、是否使用 CDN 或负载均衡。
- 高防回源地址段：在服务商控制台找到“回源IP”或“清洗节点IP”列表，高防转发回源时会用这些IP，源站防火墙要放行。
- 域名解析权限：能修改 DNS 记录，并且知道当前 TTL 值。切换前建议先把 TTL 调小，减少解析生效等待时间。
如果源站前面已经有 CDN，通常是把 CDN 回源地址改为高防IP，而不是直接把域名解析到高防，具体顺序以服务商文档为准。
源站先放行回源IP再切解析
正确顺序是先配置源站，再切换解析。
这样切换瞬间流量就能正常回源，不会出现短暂不可用。
以 Linux 上常见的 firewalld 为例，假设高防回源段是 203.0.113.0/24，业务端口为 80 和 443：
# 放行高防回源网段访问 Web 端口
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="80" protocol="tcp" accept'
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="443" protocol="tcp" accept'
firewall-cmd --reload
firewall-cmd --list-rich-rules使用 iptables 的环境可以按同样思路添加放行规则，关键是只放行高防回源段，不要对全网开放业务端口。
如果源站还开了 SSH，SSH 端口应单独限制为管理IP，不要跟着业务端口一起放开。
修改解析并观察回源是否正常
在 DNS 服务商处把域名 A 记录指向高防IP，而不是源站IP。
如果使用 CNAME 接入，则按服务商给的 CNAME 值配置。
切换后做两项检查：
- 在本地执行
nslookup 你的域名或dig 你的域名，确认返回的是高防IP。 - 登录源站查看 Web 访问日志，确认请求来源IP落在高防回源段内，而不是零散的公网IP。
日志里如果出现大量非高防段的直接访问，说明源站端口仍对公网开放，需要回到防火墙收紧规则。
怎么验证接入确实生效
验证不要只看网站能不能打开，要区分“能访问”和“走了高防”。
可以按下面顺序检查：
- 用浏览器或
curl -I https://你的域名访问，确认返回状态码正常。 - 在源站执行
ss -tnp | grep :443，观察连接来源是否集中在高防回源地址。 - 尝试从一台外部机器直接访问源站IP的业务端口，正常情况下应被拒绝或超时；如果仍能打开，说明源站暴露。
- 接入后观察高防控制台的流量和清洗报表，确认攻击流量在节点侧被处理，源站带宽没有被打满。
常见接入失败原因
接入后打不开，优先排查这几类问题：
- 回源段没放行：源站防火墙拦截了高防节点，表现为高防后台显示回源失败或 502。
- 源站端口未监听：Web 服务只监听
127.0.0.1，高防从公网回源连不上，需要改为监听0.0.0.0或对应内网地址。 - HTTPS 证书问题：高防节点回源时证书校验失败，需确认源站证书链完整，或在控制台选择正确的回源协议。
- 解析未生效：本地 DNS 缓存导致仍指向旧IP，可更换 DNS 或等待 TTL 到期后再测。
切换前保留原解析记录，一旦高防侧异常，可以快速改回源站IP完成回滚。
接入完成后建议持续观察几天源站日志，确认没有绕过高防的直接访问，再逐步收紧源站安全组和防火墙规则。
