高防生效后，必须复查源站防火墙是否还开着，否则错误的防火墙规则会导致高防失效，甚至引发业务中断。
高防生效后为什么必须复查源站防火墙
高防IP的工作原理是把所有流量先引到高防节点,过滤掉攻击流量，再把正常流量转发到源站，如果源站防火墙还开着，并且没有针对高防回源IP做特殊放行，这些正常流量就会被拦截，行业共识认为，高防与源站防火墙的冲突是配置初期最常见的故障原因之一，直接导致业务无法访问。
高防和源站防火墙的协作关系
高防负责外部攻击清洗,源站防火墙负责主机内部安全，两者本应各行其是，但实际中，很多源站防火墙规则会默认拒绝所有不在白名单的流量，高防回源IP通常是动态的，或者有多个节点，如果防火墙没有及时更新白名单，就会出现冲突。
常见冲突场景：高防回源IP被拦截
最典型的情况是,高防配置完成后，业务无法访问，或者出现间歇性中断，检查日志发现，源站防火墙拦截了大量来自高防节点的请求，特别是当防火墙开启了地域限制或IP黑名单时，高防回源IP可能被误认为恶意流量，还有，防火墙如果启用了SYN代理或连接跟踪，也可能与高防的流量特征冲突。
不复查的代价：业务中断案例
业内专家指出,有相当一部分高防客户在切换后遇到源站不可达，排查到最后发现是防火墙没有调整，有的企业甚至因此导致业务中断数小时，造成不必要的损失，复查这一步，看似简单，但往往被忽略，最终成为事故的根源。
高防生效后源站防火墙需要关闭吗
这是一个高频问题,很多用户看到高防生效后，第一时间想到关闭源站防火墙，但这样做并不总是正确，我们需要根据实际场景判断。
哪些情况建议关闭源站防火墙
如果源站只通过高防对外提供服务,且高防本身提供了WAF、IP黑名单等安全功能，那么关闭源站防火墙可以简化运维，避免规则冲突，一些高防服务商直接建议客户关闭源站防火墙，完全依赖高防节点，但前提是源站没有其他直接暴露的服务。
哪些情况只需调整规则
如果源站还有内部服务、数据库，或者需要防范内部攻击，那么防火墙必须保留，需要做的是调整规则：放行高防回源IP和业务端口，同时关闭可能干扰的深度包检测、限流、连接数限制等功能，调整规则比完全关闭更安全，也更灵活。
如何判断是否需要关闭
判断方法很简单：临时关闭防火墙，测试业务是否恢复正常，如果恢复正常，说明防火墙规则有问题，可以进一步决定是关闭还是调整，如果关闭后源站安全风险可控，则关闭；如果风险高，则调整规则，一个常见的做法是先关闭防火墙，等业务稳定后，再逐步放行必要的规则，同时确保高防回源IP始终在白名单中。
| 方案 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 关闭源站防火墙 | 彻底避免冲突，配置简单 | 源站安全防护降低，依赖高防 | 源站无其他服务，完全依赖高防 |
| 调整防火墙规则 | 保留多层防护，安全性高 | 配置复杂，需要持续维护 | 源站有其他服务，需要额外安全层 |
高防配置后源站防火墙检查步骤
以下是具体的检查步骤,可以按顺序操作，确保高防和防火墙协同工作。
第一步：获取高防回源IP段
登录高防服务商的控制台,找到回源IP配置页面，高防节点会分配一个IP段，或者多个IP，将这些IP完整记录下来，注意，有些服务商会提供动态回源IP，此时需要定期更新白名单，或者使用域名方式，但安全起见，建议使用IP段。
第二步：检查防火墙白名单
登录源站服务器,查看防火墙配置，Linux系统常见iptables，Windows系统有防火墙策略，云服务器还有安全组，检查是否已经包含高防回源IP段，如果没有，立即添加，注意防火墙规则的顺序，确保白名单规则在拒绝规则之前。
第三步：测试源站端口可达性
从高防节点或外部测试工具,尝试访问源站IP的端口，使用网络工具测试端口是否开放，如果测试成功，说明防火墙基本放行，如果失败，可能是防火墙规则未生效，或者有其他中间设备拦截，可以临时关闭防火墙（严格操作）再测试，以确认问题是否出在防火墙。
第四步：验证业务流量是否正常
通过高防域名访问业务,确认是否正常，同时观察高防控制台的回源状态，如果出现大量回源超时或失败，说明防火墙可能仍有问题，检查源站防火墙的日志，看看是否有被拦截的请求，特别是来自高防回源IP的。
第五步：持续监控和调整
高防上线后,防火墙规则不是一成不变的，高防回源IP可能变化，或者业务端口增加，需要持续监控防火墙日志，及时更新白名单，建议设置定期检查任务，或者使用自动化脚本同步。
解决高防和源站防火墙冲突的通用方法
当冲突已经发生,业务受影响时，可以快速采用以下方法解决。
添加高防回源IP白名单
最直接有效的方法,将所有高防回源IP加入防火墙的白名单，确保这些IP不受其他规则限制，注意，白名单要覆盖所有业务端口，包括HTTP、HTTPS、TCP等，考虑是否允许所有协议，如果需要，可以设置IP白名单允许所有协议。
调整防火墙规则优先级
有些防火墙的规则有顺序逻辑,比如先拒绝所有，再允许白名单，如果白名单规则放在拒绝规则后面，就不会生效，需要调整顺序，将白名单规则放在最前面，对于云安全组，通常优先级是数字越小越优先，所以给白名单设置较低的序号。
使用高防建议的防火墙配置
很多高防服务商会提供推荐的防火墙配置模板,可以直接套用，只允许高防回源IP和特定端口，拒绝其他所有流量，但注意，如果源站需要管理访问，比如SSH，需要额外放行管理IP，建议关闭防火墙的SYN Cookie、RST攻击等高级功能，避免与高防的流量清洗冲突。
高防生效后源站防火墙复查常见问题
Q1: 高防生效后源站防火墙需要关闭所有规则吗？
不需要,只需要确保高防回源IP和端口被放行，并关闭可能干扰的深度包检测等高级功能，保留基础规则可以增加安全性，例如防止内部攻击。
Q2: 如何快速验证源站防火墙是否影响高防？
临时关闭防火墙,测试业务是否正常；如果正常，再逐步排查具体规则，注意，关闭防火墙会暴露源站，操作需谨慎，最好在维护窗口进行，并确保高防已经正常工作。
Q3: 高防IP和源站防火墙冲突怎么办？
首先确认高防回源IP是否正确,然后检查防火墙日志，查找被拦截的请求，针对性添加白名单或调整规则，如果冲突持续，建议联系高防服务商获取最佳实践，服务商能提供准确的回源IP和配置建议。
复查源站防火墙是高防上线后不可省略的一步,只有确保高防与源站防火墙协同工作，才能真正发挥高防的防护能力，避免业务中断，忽视这一步，可能导致高防效果大打折扣，甚至引发二次事故。