高防IP回源配置到底该怎么设置？

高防IP回源配置不是简单地把域名解析到一个新地址，而是要同时处理流量路径、端口映射、协议加密和源站访问控制。配置错误时，常见表现包括 HTTPS 证书异常、源站收不到请求、访问出现 502/504，或者攻击者绕过高防直接访问源站。

下面以常见的“用户访问域名—高防IP清洗—源站服务器”链路为例，说明高防IP回源配置应该如何设置。不同厂商控制台的字段名称可能不同，但配置逻辑基本一致。

一、先确定回源链路和端口

配置前先画出实际链路：用户访问的业务域名指向高防IP，高防节点再按照设定的回源地址访问源站。源站地址可以是固定公网IP、云服务器地址或负载均衡入口，但必须确认它能够接收来自高防节点的连接。

常见端口对应关系

• 网站使用 HTTP 时，通常回源到 80 端口。
• 网站使用 HTTPS 时，通常回源到 443 端口，也可以根据实际服务设置其他端口。
• TCP 业务应确认高防IP是否支持对应端口和传输层转发，不能直接套用网站的七层配置。
• 如果外部访问端口与源站端口不同，例如外部使用 8443、源站监听 443，应在高防侧明确配置端口映射。

端口选择应以源站实际监听状态为准。Linux 服务器可以检查 Nginx、Apache 或应用服务的监听端口，并同步检查安全组、防火墙和本机访问控制规则。

二、回源协议怎么选

回源协议决定高防节点与源站之间采用 HTTP 还是 HTTPS。高防IP回源配置中，这一项不能只看用户侧是否使用 HTTPS，还要考虑源站是否配置了有效的 TLS证书。

HTTP回源

HTTP 回源配置简单、兼容性较好，适合源站位于受控内网或高防与源站之间已有其他加密保护的场景。但从高防节点到源站的内容可能以明文传输，不适合承载登录、支付和身份凭证等敏感数据。

HTTPS回源

HTTPS 回源能保护高防节点与源站之间的传输内容，适合登录系统、订单系统和管理后台。源站需要正确部署证书，并确认高防节点的证书校验方式。如果源站证书只覆盖内部主机名，应按服务商要求设置回源域名或关闭不必要的严格校验，不能直接忽略所有证书错误。

如果外部域名是 shop.example.com，而源站证书覆盖的是 origin.example.com，还要确认高防节点发送的 SNI 和 Host 是否与源站证书、虚拟主机配置相匹配，否则可能出现握手失败或返回错误站点。

三、源站地址与安全限制

高防IP回源配置完成后，源站不应继续对整个互联网开放。较稳妥的做法是把高防服务商公布的回源地址段加入源站白名单，只允许这些地址访问业务端口。

1. 记录当前源站公网地址、监听端口和应用使用的域名。
2. 在高防控制台添加源站地址，并填写对应端口、权重和协议。
3. 在云安全组或服务器防火墙中，仅放行高防回源地址段到必要端口。
4. 保留运维入口的独立访问方式，例如专用管理网段或临时授权通道，不要把 SSH 等管理端口交给业务回源规则。
5. 确认源站日志中没有持续出现绕过高防的公网访问。

如果源站必须保留其他合作方或监控系统的访问，应按来源和端口分别放行，避免使用“全部地址、全部端口”的宽泛规则。高防地址段发生调整时，也要同步更新防火墙策略。

四、真实客户端IP和域名转发

高防节点通常会把请求转发到源站，因此源站日志里看到的连接地址可能是高防节点，而不是最终用户。对于网站业务，可根据服务商支持情况使用 X-Forwarded-For、X-Real-IP 或 PROXY Protocol 传递客户端地址。

启用后要在 Nginx、Apache 或应用框架中配置可信代理范围，只信任高防回源地址写入的转发字段。不能直接信任任意请求携带的 X-Forwarded-For，否则访问控制、审计和风控判断可能被伪造。

同时确认 Host 头是否保持为用户访问的域名。多站点共用一个源站时，Host 错误可能导致 Nginx 选择错误的 server 配置，表现为默认页面、证书不匹配或应用跳转异常。

五、健康检查与容灾设置

高防IP回源配置通常支持健康检查。检查地址应选择稳定、无需登录且能反映应用基本可用性的路径，例如专门的状态页，而不是首页、搜索页或需要复杂数据库操作的页面。

• 检查协议、端口和 Host 必须与真实回源请求一致。
• 返回状态通常应设为 2xx；若业务使用明确的 3xx 跳转，要按实际规则判断。
• 检查间隔、超时和失败次数应结合业务响应时间设置，避免短暂抖动就摘除正常源站。
• 多源站时使用权重或主备策略，并确认恢复条件，防止故障源站反复加入。

六、上线前的验证步骤

1. 先将测试域名解析到高防IP，生产域名暂不切换。
2. 分别测试 HTTP、HTTPS、静态资源、登录、文件上传和核心接口。
3. 检查源站访问日志，确认请求来自高防回源地址，并验证客户端IP字段是否正确。
4. 模拟单台源站不可用，观察健康检查和切换结果；测试结束后及时恢复。
5. 确认源站公网直连已被限制，再切换正式域名的 DNS 记录。
6. 切换后观察 DNS 缓存、错误率、响应时间和回源连接数，保留原解析记录以便必要时回退。

DNS 修改的生效时间受 TTL、递归解析和本地缓存影响，不能只在一台电脑上验证。遇到 502，优先检查端口、协议和源站监听；遇到 504，则重点检查源站响应时间、健康检查以及防火墙是否丢弃连接。

常见问题

1. 高防IP能否直接回源到域名？

可以，但要确认该域名解析不会再次指向高防IP，否则可能形成回源循环。更常见的做法是使用独立的源站域名或固定源站地址。

2. 用户侧是HTTPS，源站可以用HTTP吗？

技术上通常可以，但高防到源站之间缺少加密保护。涉及账号、订单或隐私数据时，优先选择 HTTPS 回源。

3. 配置后源站日志全是高防IP，怎么办？

检查服务商提供的客户端IP传递方式，并在 Web 服务器中仅信任高防回源地址，不要盲目信任请求头。

4. 是否只配置一个源站？

小型业务可以先使用单源站，但关键业务更适合配置多个源站或负载均衡，并配合健康检查降低单点故障影响。

归根结底，高防IP回源配置要同时满足“流量能到达、协议能匹配、源站不被绕过、故障能发现”四个条件。完成端口、证书、白名单、真实客户端IP和健康检查验证后，再正式切换业务域名，整体风险会更可控。